Como investigar um incidente em um ambiente de nuvem difere de fazer isso on premises?

O control plane vira a cena do crime principal. Em vez de disco e memória em um host fixo, a sua melhor evidência é o log de auditoria de API: qual identidade chamou o quê, de onde, com quais credenciais. Instâncias são efêmeras, então tire snapshot antes de encerrar. Identidade é o perímetro, então rastreie roles, credenciais temporárias e caminhos de escalonamento de privilégio em vez de posição de rede, e espere que a responsabilidade compartilhada limite parte da telemetria.

A maior virada é que o control plane é onde o incidente de fato acontece. On premises eu pegaria memória e disco de um host. Na nuvem a minha primeira puxada é o log de auditoria de API, porque ele me diz qual identidade chamou qual ação de qual endereço de origem, e se usou uma chave de vida longa ou uma role assumida com credenciais temporárias. Efemeridade é a segunda diferença: uma instância pode sumir antes de eu chegar nela, então a minha primeira ação de contenção é tirar snapshot do volume e capturar memória se a ferramenta permitir, e depois isolar com um security group restritivo em vez de encerrar, porque encerrar destrói a minha evidência. Terceiro, os caminhos de escalonamento parecem diferentes. Eu estou atrás de políticas de confiança de role, políticas de identidade permissivas demais e acesso a metadados de instância, e não de administrador de domínio. E eu sou honesto sobre a fronteira: abaixo do hipervisor eu não recebo telemetria, então se eu precisar disso tenho que pedir por um processo formal do provedor, que é lento, e eu planejo em torno disso.