« 通过 Windows BITS 进行入口传输 InstallUtil 活动 »
Elastic 文档 ›Elastic 安全解决方案 [8.16] ›检测和警报 ›预构建规则参考

AWS EC2 VPC 安全组入口规则不安全

编辑

AWS EC2 VPC 安全组入口规则不安全

编辑

识别何时为 AWS EC2 中的 VPC 安全组添加或调整指定的入站（入口）规则。此规则检测何时添加允许来自任何 IP 地址或来自特定 IP 地址到常见远程访问端口（例如 22（SSH）或 3389（RDP））的流量的安全组规则。攻击者可能会添加这些规则以允许从任何位置远程访问 VPC 实例，从而增加攻击面并可能使实例面临未经授权的访问。

规则类型: 查询

规则索引:

  • filebeat-*
  • logs-aws.cloudtrail-*

严重性: 中等

风险评分: 47

每隔: 10 分钟

搜索索引自: now-60m (日期数学格式，另请参见 其他回溯时间)

每次执行的最大警报数: 100

参考:

标签:

  • 领域：云
  • 数据源：AWS
  • 数据源：Amazon Web Services
  • 数据源：AWS EC2
  • 用例：威胁检测
  • 战术：防御规避

版本: 1

规则作者:

  • Elastic

规则许可证: Elastic License v2

调查指南

编辑

分类和分析

调查 AWS EC2 VPC 安全组入口规则不安全

此规则检测向 VPC 安全组添加入口规则，这些规则允许来自任何 IP 地址（0.0.0.0/0 或 ::/0）到通常用于远程访问的敏感端口（例如 SSH（端口 22）和 RDP（端口 3389））的流量。此配置更改可能会大大增加 EC2 实例面临潜在威胁的风险，因此必须了解此类更改的上下文和合法性。

可能的调查步骤

  • 识别行为者: 查看 aws.cloudtrail.user_identity.arn 和 aws.cloudtrail.user_identity.access_key_id 字段以识别谁进行了更改。调查此行为者是否具有必要的权限，以及通常是否执行这些操作。
  • 查看请求详细信息: 检查 aws.cloudtrail.request_parameters 以准确了解对安全组进行了哪些更改。检查是否有任何异常参数可能表明配置错误或恶意意图。
  • 分析请求来源: 查看 source.ip 和 source.geo 字段以确定请求的地理来源。外部或异常位置可能表明凭据被盗。
  • 与时间戳关联: 使用 @timestamp 字段检查更改发生的时间。在正常业务时间之外进行的修改可能需要进行额外审查。
  • 与其他活动相关联: 搜索此更改之前和之后相关的 CloudTrail 事件，以查看同一行为者是否参与了其他可能可疑的活动。

误报分析

  • 合法的管理操作: 验证入口规则更改是否与计划更新、维护活动或变更管理票证或系统中记录的合法管理任务相一致。
  • 一致性检查: 将操作与用户或组织内执行的类似操作的历史数据进行比较。与过去合法操作的一致性可能表明误报。
  • 通过结果进行验证: 检查 aws.cloudtrail.response_elements 和 event.outcome 以确认更改是否成功，以及是否按策略预期。

响应和补救措施

  • 立即审查并在必要时撤消: 如果更改未经授权，请将安全组规则恢复到其先前状态以关闭任何意外访问。
  • 增强监控和警报: 调整监控系统以针对类似的安全组更改发出警报，尤其是那些从任何 IP 地址打开对众所周知端口的访问的更改。
  • 教育和培训: 为具有管理权限的用户提供更多培训，让他们了解有关安全组管理的安全最佳实践的重要性。
  • 审核安全组和策略: 对所有安全组和关联策略进行全面审核，以确保它们符合最小权限原则。
  • 事件响应: 如果有恶意意图或安全漏洞的迹象，请启动事件响应协议以减轻任何损害并防止将来发生。

其他信息

有关管理安全组规则和保护 AWS 环境的更多指导，请参阅 Amazon VPC 安全组文档 和 AWS 安全最佳实践。

规则查询

编辑
event.dataset: "aws.cloudtrail"
    and event.provider: ec2.amazonaws.com
    and event.action: AuthorizeSecurityGroupIngress
    and event.outcome: success
    and aws.cloudtrail.flattened.request_parameters.cidrIp: ("0.0.0.0/0" or "::/0")
    and aws.cloudtrail.flattened.request_parameters.fromPort: (
        21 or 22 or 23 or 445 or 3389 or 5985 or 5986)

框架: MITRE ATT&CKTM

« 通过 Windows BITS 进行入口传输 InstallUtil 活动 »