AWS RDS 数据库快照创建

识别何时创建 AWS RDS 数据库快照。这可用于逃避防御，攻击者可以通过绕过访问控制或通过将实例恢复到先前状态来掩盖其踪迹。这是一个 [构建块规则](https://elastic.ac.cn/guide/en/security/current/building-block-rule.html)，不会自行生成警报。它旨在用于与其他规则相关联以检测可疑活动。要生成警报，请创建一个使用此信号作为构建块的规则。

规则类型: 查询

规则索引:

严重性: 低

风险评分: 21

每隔: 10 分钟

搜索索引自: now-60m (日期数学格式，另请参见 额外回溯时间)

每次执行的最大警报数: 100

参考: 无

标签:

版本: 1

规则作者:

规则许可证: Elastic License v2

event.dataset: "aws.cloudtrail" and event.provider: "rds.amazonaws.com"
    and event.action: ("CreateDBSnapshot" or "CreateDBClusterSnapshot") and event.outcome: "success"