AWS EC2 实例连接 SSH 公钥上传
编辑AWS EC2 实例连接 SSH 公钥上传
编辑当使用 EC2 实例连接服务将新的 SSH 公钥上传到 AWS EC2 实例时进行识别。此操作可能表示攻击者试图保持对实例的访问权限。该规则还会检测 SendSerialConsoleSSHPublicKey API 操作，如果启用了串行控制台，则该操作可用于特权提升。监控这些活动有助于确保及时检测和缓解未经授权的访问尝试。
规则类型: 查询
规则索引:
- filebeat-*
- logs-aws.cloudtrail-*
严重性: 中
风险评分: 47
运行频率: 5 分钟
搜索索引时间范围: now-9m (日期数学格式，另请参见 额外回溯时间)
每次执行的最大警报数: 100
参考:
- https://stratus-red-team.cloud/attack-techniques/AWS/aws.lateral-movement.ec2-instance-connect/
- https://cloud.hacktricks.xyz/pentesting-cloud/aws-security/aws-privilege-escalation/aws-ec2-privesc
- https://medium.parttimepolymath.net/aws-ec2-instance-connect-a-very-neat-trick-4d2fc0c28010
- https://docs.aws.amazon.com/ec2-instance-connect/latest/APIReference/API_SendSSHPublicKey.html
- https://docs.aws.amazon.com/ec2-instance-connect/latest/APIReference/API_SendSerialConsoleSSHPublicKey.html
标签:
- 域: 云
- 数据源: AWS
- 数据源: 亚马逊网络服务
- 数据源: AWS EC2
- 用例: 身份和访问审计
- 战术: 特权提升
版本: 1
规则作者:
- Elastic
规则许可: Elastic License v2
调查指南
编辑分类和分析
调查 AWS EC2 实例连接 SSH 公钥上传
此规则检测何时使用 EC2 实例连接服务将新的 SSH 公钥上传到 AWS EC2 实例。攻击者可能会将 SSH 公钥上传到 EC2 实例，以保持对该实例的访问权限。该规则还涵盖使用 SendSerialConsoleSSHPublicKey API 操作将 SSH 公钥上传到串行连接的情况，这可以被利用进行特权提升。
可能的调查步骤
-
识别执行者: 查看
aws.cloudtrail.user_identity.arn和aws.cloudtrail.user_identity.access_key_id字段，以识别执行此操作的人员。验证此执行者是否通常执行此类操作，以及他们是否具有必要的权限。 -
审查请求详细信息: 检查
aws.cloudtrail.request_parameters以了解 SSH 公钥上传的具体详细信息。查找任何可能表明未经授权或恶意修改的异常参数。 -
分析请求来源: 调查
source.ip和source.geo字段，以确定请求的地理来源。外部或意外位置可能表示凭据已泄露或未经授权的访问。 -
使用时间戳进行上下文关联: 使用
@timestamp字段检查 SSH 公钥的上传时间。在非工作时间或常规维护窗口之外的更改可能需要进一步审查。 - 与其他活动关联: 在此操作前后搜索相关的 CloudTrail 事件，以查看同一执行者或 IP 地址是否参与了其他潜在的可疑活动。
-
检查串行控制台访问: 如果使用了
SendSerialConsoleSSHPublicKey操作，请验证是否也使用了ec2:EnableSerialConsoleAccess权限，这可能表明有人试图启用和利用串行控制台。
误报分析
- 合法的管理操作: 确认 SSH 公钥上传是否符合变更管理系统中记录的计划更新、开发活动或合法的管理任务。
- 一致性检查: 将该操作与用户或组织内部执行的类似操作的历史数据进行比较。如果该操作与过去的合法活动一致，则可能表示误报。
-
通过结果进行验证: 检查
aws.cloudtrail.response_elements和event.outcome以确认上传是否成功并符合策略预期。
响应和补救
- 立即审查并在必要时撤销: 如果上传未经授权，请从 EC2 实例中删除上传的 SSH 公钥，并查看实例的访问日志是否有任何可疑活动。
- 增强监控和警报: 调整监控系统以对类似操作发出警报，尤其是涉及敏感实例或异常文件扩展名的操作。
- 教育和培训: 向具有管理权限的用户提供有关 SSH 密钥管理的安全最佳实践以及未经授权密钥上传的风险的额外培训。
- 审计 EC2 实例策略和权限: 对所有 EC2 实例策略和相关权限进行全面审计，以确保它们符合最小权限原则。
- 事件响应: 如果有恶意意图或安全漏洞的迹象，请启动事件响应协议，以减轻任何损害并防止将来发生此类事件。
附加信息
有关管理 EC2 实例和保护 AWS 环境的更多指导，请参阅 AWS EC2 实例连接文档和 AWS 安全最佳实践。此外，请参考以下资源了解有关 SSH 密钥管理和特权提升技术的具体细节：- Stratus Red Team - AWS EC2 实例连接 - HackTricks - AWS EC2 特权提升 - AWS EC2 实例连接 API 参考
规则查询
编辑event.dataset: aws.cloudtrail
and event.provider: ec2-instance-connect.amazonaws.com
and event.action: (SendSSHPublicKey or SendSerialConsoleSSHPublicKey)
and event.outcome: success
框架: MITRE ATT&CKTM
-
战术
- 名称: 特权提升
- ID: TA0004
- 参考 URL: https://attack.mitre.org/tactics/TA0004/
-
技术
- 名称: 帐户操控
- ID: T1098
- 参考 URL: https://attack.mitre.org/techniques/T1098/
-
子技术
- 名称: SSH 授权密钥
- ID: T1098.004
- 参考 URL: https://attack.mitre.org/techniques/T1098/004/