Cloud Forensics AWS

Définition

Le Cloud Forensics AWS désigne l'ensemble des techniques d'investigation numérique appliquées spécifiquement aux incidents de sécurité survenant dans un environnement Amazon Web Services, qui diffère fondamentalement de la forensique traditionnelle par l'absence d'accès physique aux systèmes et la dépendance quasi exclusive aux journaux et API natifs du fournisseur cloud. L'analyse de CloudTrail constitue le point de départ systématique de toute investigation, retraçant chronologiquement l'ensemble des appels API effectués sur le compte compromis, permettant d'identifier précisément les actions entreprises par un attaquant : création de nouvelles clés d'accès, modification de règles IAM, exfiltration de données via des appels S3 GetObject inhabituels. Les VPC Flow Logs complètent cette analyse en révélant les métadonnées du trafic réseau échangé, utiles pour identifier des connexions sortantes suspectes vers une infrastructure de commande et contrôle. Les journaux d'accès S3 (Server Access Logs) permettent une granularité plus fine sur les accès aux objets stockés, essentielle pour caractériser précisément l'ampleur d'une fuite de données. Les snapshots d'instances EC2, capturés dès la détection de l'incident et avant toute action de remédiation susceptible d'altérer l'état de la machine compromise, préservent une image forensique exploitable pour une analyse mémoire et disque approfondie ultérieure, une pratique préventive essentielle en environnement cloud où l'instance originale peut être arrêtée ou détruite rapidement.