AWS EC2 实例与 IAM 服务交互

识别 EC2 实例何时通过承担角色与 AWS IAM 服务交互。这是一种不常见的行为，可能表明攻击者正在使用泄露的凭据进一步利用环境。例如，承担的角色可用于创建新用户以实现持久性或添加权限以进行特权提升。EC2 实例使用其 EC2 ID 作为会话名称来承担角色。此规则查找 “i-” 模式，该模式是 EC2 实例启动的承担角色会话的起始模式。这是一个[构建块](https://elastic.ac.cn/guide/en/security/current/building-block-rule.html)规则，它本身不会生成警报。它旨在与其他规则结合使用，以检测可疑活动。

规则类型: eql

规则索引:

filebeat-*
logs-aws.cloudtrail-*

严重性: 低

风险评分: 21

运行频率: 5 分钟

搜索索引时间范围: now-6m (日期数学格式，另请参阅 附加回溯时间)

每次执行的最大警报数: 100

参考:

https://redcanary.com/blog/aws-sts/

标签:

域：云
数据源：AWS
数据源：Amazon Web Services
数据源：AWS EC2
数据源：AWS IAM
用例：身份和访问审计
策略：特权提升
策略：持久性
规则类型：BBR

版本: 2

规则作者:

Elastic

规则许可证: Elastic License v2

规则查询

编辑

any where event.dataset == "aws.cloudtrail"
    and event.provider == "iam.amazonaws.com"
    and aws.cloudtrail.user_identity.type == "AssumedRole"
    and stringContains(user.id, ":i-")
    and (
            startsWith(event.action, "Update")
            or startsWith(event.action, "Attach")
            or startsWith(event.action, "Detach")
            or startsWith(event.action, "Create")
            or startsWith(event.action, "Delete")
            or startsWith(event.action, "Add")
            or startsWith(event.action, "Remove")
            or startsWith(event.action, "Put")
            or startsWith(event.action, "Tag")
    )

框架: MITRE ATT&CK^TM

策略
- 名称：持久性
- ID：TA0003
- 参考 URL: https://attack.mitre.org/tactics/TA0003/
技术
- 名称：有效账户
- ID：T1078
- 参考 URL: https://attack.mitre.org/techniques/T1078/
子技术
- 名称：云账户
- ID：T1078.004
- 参考 URL: https://attack.mitre.org/techniques/T1078/004/
技术
- 名称：账户操纵
- ID：T1098
- 参考 URL: https://attack.mitre.org/techniques/T1098/
子技术
- 名称：额外的云凭据
- ID：T1098.001
- 参考 URL: https://attack.mitre.org/techniques/T1098/001/
子技术
- 名称：额外的云角色
- ID：T1098.003
- 参考 URL: https://attack.mitre.org/techniques/T1098/003/
策略
- 名称：特权提升
- ID：TA0004
- 参考 URL: https://attack.mitre.org/tactics/TA0004/

« AWS EC2 实例通过承担角色进行控制台登录 AWS EC2 多区域 DescribeInstances API 调用 »