AWS VPC 流日志删除

识别 AWS 弹性计算云 (EC2) 中一个或多个流日志的删除操作。攻击者可能会删除流日志以试图逃避防御。

规则类型: 查询

规则索引:

严重性: 高

风险评分: 73

运行频率: 10 分钟

搜索索引时间范围: now-60m (日期数学格式，另请参见 额外回溯时间)

每次执行的最大告警数: 100

参考:

标签:

版本: 209

规则作者:

规则许可证: Elastic License v2

分类和分析

调查 AWS VPC 流日志删除

VPC 流日志是 AWS 的一项功能，使您可以捕获有关进出虚拟私有云 (VPC) 中网络接口的 IP 流量的信息。流日志数据可以发布到 Amazon CloudWatch Logs 或 Amazon S3。

此规则使用 API DeleteFlowLogs 操作识别 VPC 流日志的删除操作。攻击者可以这样做来掩盖他们的踪迹并影响依赖此数据源的安全监控。

可能的调查步骤

误报分析

响应和补救

根据分类的结果启动事件响应流程。
在调查和响应期间禁用或限制帐户。
确定事件的可能影响并相应地确定优先级；以下操作可以帮助您了解上下文
确定帐户在云环境中的角色。
评估受影响的服务和服务器的关键程度。
与您的 IT 团队合作，确定并最大程度地减少对用户的影响。
确定攻击者是否正在横向移动并入侵其他帐户、服务器或服务。
确定与此活动相关的任何监管或法律后果。
调查受攻击者入侵或使用的系统上的凭据泄露，以确保识别所有受入侵的帐户。根据需要重置密码或删除 API 密钥以撤销攻击者对环境的访问权限。与您的 IT 团队合作，在执行这些操作期间最大程度地减少对业务运营的影响。
检查是否创建了未经授权的新用户，删除未经授权的新帐户，并为其他 IAM 用户请求密码重置。
考虑为用户启用多因素身份验证。
查看分配给涉嫌用户的权限，以确保遵循最小权限原则。
实施 AWS 概述的安全最佳实践。
采取必要的措施，使受影响的系统、数据或服务恢复到正常的运行级别。
确定攻击者滥用的初始媒介，并采取措施防止通过相同媒介再次感染。
使用事件响应数据，更新日志记录和审计策略以提高平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

需要 AWS Fleet 集成、Filebeat 模块或结构类似的数据才能与此规则兼容。

event.dataset:aws.cloudtrail and event.provider:ec2.amazonaws.com and event.action:DeleteFlowLogs and event.outcome:success

框架: MITRE ATT&CK^TM

战术
- 名称: 防御规避
- ID: TA0005
- 参考网址: https://attack.mitre.org/tactics/TA0005/
技术
- 名称: 削弱防御
- ID: T1562
- 参考网址: https://attack.mitre.org/techniques/T1562/
子技术
- 名称: 禁用或修改工具
- ID: T1562.001
- 参考网址: https://attack.mitre.org/techniques/T1562/001/