« 通过假定角色获取 AWS EC2 管理员凭据 AWS EC2 加密已禁用 »
Elastic 文档 ›Elastic 安全解决方案 [8.16] ›检测和告警 ›预构建规则参考

与其他账户共享的 AWS EC2 EBS 快照

编辑

与其他账户共享的 AWS EC2 EBS 快照

编辑

识别与其他 AWS 账户共享的 AWS EC2 EBS 快照。EBS 虚拟磁盘可以复制到快照中，然后可以与外部 AWS 账户共享或公开共享。攻击者可能会尝试这样做，以便将快照复制到他们控制的环境中以访问数据。

规则类型: esql

规则索引: 无

严重性: 低

风险评分: 21

每隔: 5 分钟运行

搜索索引自: now-9m (日期数学格式，另请参见 额外回溯时间)

每次执行的最大告警数: 100

参考资料:

标签:

  • 领域：云
  • 数据源：AWS
  • 数据源：Amazon Web Services
  • 数据源：AWS EC2
  • 用例：威胁检测
  • 策略：数据泄露

版本: 2

规则作者:

  • Elastic

规则许可证: Elastic License v2

调查指南

编辑

分类和分析

调查与其他账户共享的 AWS EC2 EBS 快照

此规则检测何时将 AWS EC2 EBS 快照与其他 AWS 账户共享。EBS 虚拟磁盘可以复制到快照中，然后可以与外部 AWS 账户共享或公开共享。攻击者可能会尝试这样做，以便将快照复制到他们控制的环境中以访问数据。了解此类更改的上下文和合法性对于确定该操作是良性还是恶意的至关重要。

可能的调查步骤

  • 识别行为者: 查看 aws.cloudtrail.user_identity.arn 和 aws.cloudtrail.user_identity.access_key_id 字段以识别谁进行了更改。验证此行为者是否通常执行此类操作以及他们是否具有必要的权限。
  • 查看请求详细信息: 检查 aws.cloudtrail.request_parameters 以了解对快照权限所做的具体更改。查找任何可能表明未授权或恶意修改的异常参数。
  • 分析请求来源: 调查 source.ip 和 source.geo 字段以确定请求的地理来源。外部或意外位置可能表明凭据被泄露或未经授权的访问。
  • 结合时间戳进行分析: 使用 @timestamp 字段检查更改发生的时间。在非工作时间或常规维护窗口之外进行的修改可能需要进一步审查。
  • 与其他活动关联: 搜索此更改之前和之后相关的 CloudTrail 事件，查看相同的行为者或 IP 地址是否参与了其他可能可疑的活动。

误报分析

  • 合法的管理操作: 确认快照共享是否与计划的更新、开发活动或变更管理系统中记录的合法管理任务相符。
  • 一致性检查: 将该操作与用户或组织内执行的类似操作的历史数据进行比较。如果该操作与过去的合法活动一致，则可能表示误报。
  • 通过结果进行验证: 检查 aws.cloudtrail.response_elements 和 event.outcome 以确认更改是否根据策略成功并按预期进行。

响应和补救措施

  • 立即审查并在必要时撤销: 如果更改未经授权，请更新快照权限以删除任何未经授权的帐户并将其恢复到之前的状态。
  • 增强监控和告警: 调整监控系统以针对类似操作发出警报，尤其是涉及敏感数据或权限的操作。
  • 教育和培训: 为具有管理权限的用户提供更多培训，重点介绍有关快照管理和共享权限的安全最佳实践的重要性。
  • 审核快照和策略: 对所有快照和相关策略进行全面审核，以确保它们符合最小权限原则。
  • 事件响应: 如果有恶意企图或安全漏洞的迹象，请启动事件响应协议以减轻任何损害并防止将来发生。

其他信息

有关管理 EBS 快照和保护 AWS 环境的更多指导，请参阅 AWS EBS 文档 和 AWS 安全最佳实践。此外，请参阅以下资源，了解有关 EBS 快照安全的具体详细信息： - AWS EBS 快照权限 - AWS API ModifySnapshotAttribute - AWS EBS 快照转储

规则查询

编辑
from logs-aws.cloudtrail-* metadata _id, _version, _index
| where event.provider == "ec2.amazonaws.com" and event.action == "ModifySnapshotAttribute" and event.outcome == "success"
| dissect aws.cloudtrail.request_parameters "{%{?snapshotId}=%{snapshotId},%{?attributeType}=%{attributeType},%{?createVolumePermission}={%{operationType}={%{?items}=[{%{?userId}=%{userId}}]}}}"
| where operationType == "add" and cloud.account.id != userId
| keep @timestamp, aws.cloudtrail.user_identity.arn, cloud.account.id, event.action, snapshotId, attributeType, operationType, userId

框架: MITRE ATT&CKTM

« 通过假定角色获取 AWS EC2 管理员凭据 AWS EC2 加密已禁用 »