用户首次使用 STS GetFederationToken 请求

识别用户在过去 10 天内首次使用 AWS 安全令牌服务 (STS) GetFederationToken 请求的情况。 GetFederationToken API 调用允许用户请求临时安全凭证以访问 AWS 资源。攻击者可能会使用此 API 获取临时凭证以访问他们通常无权访问的资源。

规则类型: new_terms

规则索引:

严重性: 低

风险评分: 21

运行频率: 5 分钟

搜索索引起始时间: now-9m (日期数学格式，另见 额外回溯时间)

每次执行的最大告警数: 100

参考资料:

标签:

版本: 1

规则作者:

规则许可证: Elastic License v2

event.dataset: "aws.cloudtrail"
    and event.provider: sts.amazonaws.com
    and event.action: GetFederationToken