クラウド侵害時の初動を選ぶ

クラウドの責任分界、配置、記憶域、認証、運用管理を区別する。

証拠を残さず全ログと全資源を即時削除する。

調査と復旧を不可能にする。

不審な管理者にさらに広い権限を与える。

被害を拡大する。

該当認証情報を無効化・ローテーションし、監査ログと資源状態を保全して影響範囲を調べる。

封じ込めと証拠保全を同時に進める。

検知を無効化して通常運用へ戻す。

攻撃継続を見逃す。

containment

被害拡大を止める封じ込め。

credential rotation

漏えいした認証情報の交換。