› › ›

AWS RDS 快照已删除

识别 AWS RDS DB 快照的删除操作。快照包含整个 DB 实例的完整备份。未经授权的快照删除可能会导致无法恢复关键或敏感数据。此规则检测已删除的快照和修改后的实例（其 backupRetentionPeriod 设置为 0，这将禁用自动备份，并且在功能上类似于删除系统快照）。

规则类型: eql

规则索引:

filebeat-*
logs-aws.cloudtrail-*

严重性: 中等

风险评分: 47

每隔: 5 分钟

搜索索引自: now-6m (日期数学格式，另请参阅 额外回溯时间)

每次执行的最大告警数: 100

参考:

标签:

领域：云
数据源：AWS
数据源：Amazon Web Services
数据源：AWS RDS
用例：资产可见性
战术：影响

版本: 2

规则作者:

Elastic

规则许可证: Elastic License v2

规则查询

编辑

any where event.dataset == "aws.cloudtrail"
    and event.provider == "rds.amazonaws.com"
    and event.outcome == "success"
    and (
        event.action in ("DeleteDBSnapshot", "DeleteDBClusterSnapshot") or
        (event.action == "ModifyDBInstance" and stringContains(aws.cloudtrail.request_parameters, "backupRetentionPeriod=0"))
    )

框架: MITRE ATT&CK^TM

战术
- 名称：影响
- ID：TA0040
- 参考网址：https://attack.mitre.org/tactics/TA0040/
技术
- 名称：数据破坏
- ID：T1485
- 参考网址：https://attack.mitre.org/techniques/T1485/

« AWS RDS 安全组删除 AWS RDS 快照导出 »