AWS IAM 组删除

编辑

识别指定 AWS Identity and Access Management (IAM) 资源组的删除操作。删除资源组不会删除该组的成员资源,只会删除组结构。

规则类型: 查询

规则索引:

  • filebeat-*
  • logs-aws.cloudtrail-*

严重性: 低

风险评分: 21

每隔: 10 分钟

搜索索引范围: now-60m (日期数学格式,另请参见 额外回溯时间)

每次执行的最大告警数: 100

参考:

标签:

  • 领域: 云
  • 数据源: AWS
  • 数据源: Amazon Web Services
  • 数据源: AWS IAM
  • 战术: 影响

版本: 206

规则作者:

  • Elastic

规则许可证: Elastic License v2

调查指南

编辑

设置

编辑

AWS Fleet 集成、Filebeat 模块或类似结构的数据需要与该规则兼容。

规则查询

编辑
event.dataset:aws.cloudtrail and event.provider:iam.amazonaws.com and event.action:DeleteGroup and event.outcome:success

框架: MITRE ATT&CKTM