L’analisi forense del cloud consiste nella raccolta e nell’esame delle prove provenienti da servizi e infrastrutture cloud per indagare sugli incidenti di sicurezza. Le prove possono includere log della piattaforma e della rete conservati dal provider, log delle applicazioni e delle identità accessibili al cliente, immagini di macchine virtuali e registrazioni delle modifiche alla configurazione. Poiché responsabilità e visibilità sono ripartite tra il provider cloud e il cliente, gli investigatori potrebbero aver bisogno della collaborazione di entrambe le parti per ricostruire una cronologia affidabile.
È un’attività importante perché log incompleti o conservati per poco tempo possono rendere difficile determinare come un aggressore abbia ottenuto l’accesso, quali sistemi siano stati interessati o se i dati siano stati consultati o copiati. In pratica, i provider possono conservare le prove relative all’infrastruttura sottostante, mentre i clienti proteggono i log a cui hanno accesso, verificano la presenza di processi e connessioni in uscita insoliti e ruotano le credenziali potenzialmente esposte. Un coordinamento tempestivo e la conservazione delle prove aiutano a distinguere una compromissione confermata da una possibile esposizione.