用户首次创建 AWS CloudFormation 堆栈
编辑用户首次创建 AWS CloudFormation 堆栈
编辑此规则检测主体首次调用 AWS Cloudwatch CreateStack 或 CreateStackSet API 的情况。CloudFormation 用于通过定义的模板文件创建称为堆栈的单个云资源集合。拥有适当权限的攻击者可以利用 CloudFormation 创建进一步利用环境所需的特定资源。这是一个新的术语规则，用于查找特定帐户中角色或 IAM 用户在过去 10 天内此行为的首次实例。
规则类型：new_terms
规则索引:
- filebeat-*
- logs-aws.cloudtrail-*
严重性：中等
风险评分: 47
运行频率：5 分钟
搜索索引时间范围：now-6m (日期数学格式，另请参见 额外回溯时间)
每次执行的最大告警数: 100
参考资料:
- https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/using-cfn-cli-creating-stack.html/
- https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/stacksets-concepts.html/
- https://docs.aws.amazon.com/AWSCloudFormation/latest/APIReference/API_CreateStack.html/
- https://docs.aws.amazon.com/AWSCloudFormation/latest/APIReference/API_CreateStackSet.html/
标签:
- 领域：云
- 数据源：AWS
- 数据源：Amazon Web Services
- 数据源：Cloudformation
- 用例：资产可见性
- 策略：执行
版本: 1
规则作者:
- Elastic
规则许可证：Elastic License v2
规则查询
编辑event.dataset:aws.cloudtrail and event.provider:cloudformation.amazonaws.com and
event.action: (CreateStack or CreateStackSet) and event.outcome:success
框架：MITRE ATT&CKTM
-
策略
- 名称：执行
- ID：TA0002
- 参考网址：https://attack.mitre.org/tactics/TA0002/