« AWS Lambda 函数策略已更新为允许公共调用 AWS 管理控制台对 Root 用户身份进行暴力破解 »
Elastic 文档 ›Elastic 安全解决方案 [8.16] ›检测和告警 ›预构建规则参考

已存在函数中添加 AWS Lambda 层

编辑

已存在函数中添加 AWS Lambda 层

编辑

识别何时将 Lambda 层添加到现有的 Lambda 函数中。AWS 层是一种在多个函数之间共享代码和数据的方法。通过向现有函数添加层，攻击者可以在函数上下文中持久化或执行代码。

规则类型: 查询

规则索引:

  • filebeat-*
  • logs-aws.cloudtrail-*

严重性: 低

风险评分: 21

每: 10 分钟运行一次

搜索索引自: now-60m (日期数学格式，另请参见 额外回溯时间)

每次执行的最大告警数: 100

参考资料:

标签:

  • 领域：云
  • 数据源：AWS
  • 数据源：Amazon Web Services
  • 数据源：AWS Lambda
  • 用例：威胁检测
  • 策略：执行

版本: 2

规则作者:

  • Elastic

规则许可证: Elastic License v2

调查指南

编辑

分类和分析

调查已存在函数中添加 AWS Lambda 层

此规则检测何时将 Lambda 层添加到现有的 Lambda 函数中。AWS Lambda 层是用于在多个函数之间共享代码和数据的机制。通过向现有函数添加层，攻击者可以在函数上下文中持久化或执行代码。了解此类更改的上下文和合法性对于确定操作是良性还是恶意至关重要。

可能的调查步骤

  • 识别行为者: 查看 aws.cloudtrail.user_identity.arn 和 aws.cloudtrail.user_identity.access_key_id 字段以识别谁进行了更改。验证此行为者是否通常执行此类操作，以及他们是否具有必要的权限。
  • 查看请求详细信息: 检查 aws.cloudtrail.request_parameters 以了解添加到 Lambda 函数的特定层。查找任何可能表明未授权或恶意修改的异常参数。
  • 分析请求来源: 调查 source.ip 和 source.geo 字段以确定请求的地理来源。外部或意外位置可能表明凭据被盗或未授权访问。
  • 结合时间戳进行分析: 使用 @timestamp 字段检查更改发生的时间。在非工作时间或常规维护窗口之外进行的修改可能需要进一步审查。
  • 与其他活动关联: 在此更改之前和之后搜索相关的 CloudTrail 事件，查看相同的行为者或 IP 地址是否参与了其他可能可疑的活动。

误报分析

  • 合法的管理操作: 确认 Lambda 层的添加是否与计划中的更新、开发活动或变更管理系统中记录的合法管理任务相符。
  • 一致性检查: 将操作与用户或组织内执行的类似操作的历史数据进行比较。如果该操作与过去的合法活动一致，则可能表明误报。
  • 通过结果进行验证: 检查 aws.cloudtrail.response_elements 和 event.outcome 以确认更改是否根据策略成功且符合预期。

响应和补救措施

  • 立即审查并在必要时撤销: 如果更改未经授权，请从 Lambda 函数中删除添加的层，以减轻任何意外的代码执行或持久性。
  • 增强监控和告警: 调整监控系统以对类似的操作发出警报，尤其涉及敏感函数或层。
  • 教育和培训: 为具有管理权限的用户提供更多关于 Lambda 函数管理和层使用的安全最佳实践重要性的培训。
  • 审核 Lambda 函数和策略: 对所有 Lambda 函数和相关策略进行全面审核，以确保它们符合最小权限原则。
  • 事件响应: 如果有恶意意图或安全漏洞的迹象，请启动事件响应协议以减轻任何损害并防止将来发生。

附加信息

有关管理 Lambda 函数和保护 AWS 环境的更多指导，请参阅 AWS Lambda 文档 和 AWS 安全最佳实践。此外，请咨询以下资源以了解有关 Lambda 层和持久性技术的具体详细信息： - AWS Lambda 层持久性 - AWS API PublishLayerVersion - AWS API UpdateFunctionConfiguration

规则查询

编辑
event.dataset: aws.cloudtrail
    and event.provider: lambda.amazonaws.com
    and event.outcome: success
    and event.action: (PublishLayerVersion* or UpdateFunctionConfiguration)

框架: MITRE ATT&CKTM

« AWS Lambda 函数策略已更新为允许公共调用 AWS 管理控制台对 Root 用户身份进行暴力破解 »