Pokrytí může zahrnovat řídicí roviny, identity, úlohy, kontejnery, orchestraci, sítě, úložiště, přístup k datům a aplikace software-as-a-service, ale implementace se široce liší.
CDR koreluje administrativní volání API, události autentizace, změny konfigurace, aktivitu runtime, síťová pozorování a výstrahy poskytovatele. Analytici používají vztahy cloudových prostředků a kontext identit k rekonstrukci událostí a výběru reakcí jako odvolání relace, vypnutí klíče, omezení úlohy, zachování důkazů či přebudování prostředku.
Klíčové body
Detekční pokrytíMapujte cloudové útočné techniky na dostupné události, aktiva, identity, účty a služby. Validujte, že logování je zapnuté, včasné, správně parsované, uchovávané a chráněné.
VyšetřováníZachovávejte důkazy poskytovatele i úloh, korelujte identity s efemerními prostředky, rozlišujte automatizaci od zneužití a určete dotčená data a závislosti.
Řízená reakceKde je vhodné, předautorizujte nízko-rizikové akce, vyžadujte schválení pro narušující změny, používejte identity reakce s nejmenšími oprávněními a testujte zadržení, rollback, obnovu a eskalaci k poskytovateli.
Důležité omezeníCDR nemá standardizované minimální pokrytí a nemůže detekovat to, co služby, identity, úlohy či události nevystavují. Chybějící logy, krátkodobé prostředky, šifrovaná aktivita, výpadky, slabé detekce a nebezpečná automatizace mohou způsobit minutí či škodu; výstraha je důkaz, nikoli důkaz kompromitace.