AWS EC2 快照活动
编辑AWS EC2 快照活动
编辑尝试修改 AWS EC2 快照属性。威胁行为者有时会共享快照，以便从 EC2 集群中泄漏批量数据。如果权限被修改，请验证快照是否未与未经授权或意外的 AWS 账户共享。
规则类型: 查询
规则索引:
- filebeat-*
- logs-aws.cloudtrail-*
严重程度: 中
风险评分: 47
运行频率: 10 分钟
搜索索引时间范围: now-60m ( 日期数学格式，另请参阅 额外回溯时间)
每次执行的最大警报数: 100
参考:
标签:
- 域：云
- 数据源：AWS
- 数据源：Amazon Web Services
- 用例：资产可见性
- 战术：数据渗漏
- 资源：调查指南
版本: 209
规则作者:
- Elastic
规则许可证: Elastic License v2
调查指南
编辑分类和分析
调查 AWS EC2 快照活动
Amazon EC2 快照是一种机制，用于创建对存储卷中数据的即时引用。系统管理员通常使用它进行备份操作和数据恢复。
此规则查找使用 API ModifySnapshotAttribute 操作修改快照属性的操作。这可用于与未经授权的第三方共享快照，从而使其他人可以访问快照上的所有数据。
可能的调查步骤
- 确定执行操作的用户帐户，以及该帐户是否应该执行此类操作。
- 在 CloudTrail 中搜索其他用户帐户对快照的资源 ID 进行的试运行尝试。
- 调查过去 48 小时内与该用户帐户相关的其他警报。
- 通过查找其他用户参与的类似事件来评估此行为在环境中是否普遍存在。
- 联系帐户所有者并确认他们是否了解此活动。
- 考虑发出命令的用户的源 IP 地址和地理位置
- 对于调用用户来说，它们看起来正常吗？
- 如果来源是 EC2 IP 地址，它是否与您帐户中的 EC2 实例相关联，或者来源 IP 是否来自不受您控制的 EC2 实例？
- 如果是授权的 EC2 实例，该活动是否与实例角色或多个角色的正常行为相关联？是否存在任何其他与此实例相关的警报或可疑活动迹象？
- 检查此操作是否已获得批准并按照组织变更管理政策执行。
- 检查快照的共享权限是否已修改为
Public或包含未知帐户 ID。 - 如果您怀疑帐户已被入侵，请通过跟踪该帐户在过去 24 小时内访问的服务器、服务和数据来确定可能受损的资产范围。
误报分析
- 如果此规则由于预期活动而在您的环境中发出过多警报，请考虑添加例外情况，最好结合用户和 IP 地址条件。
响应和补救
- 根据分类结果启动事件响应过程。
- 在调查和响应期间禁用或限制该帐户。
- 确定事件可能造成的影响并相应地确定优先级；以下操作可以帮助您了解上下文
- 确定云环境中帐户的角色。
- 评估受影响服务和服务器的关键性。
- 与您的 IT 团队合作，以识别和尽量减少对用户的影响。
- 确定攻击者是否正在横向移动并入侵其他帐户、服务器或服务。
- 确定与此活动相关的任何监管或法律影响。
- 调查在被攻击者入侵或使用的系统上的凭据泄露情况，以确保识别所有受损的帐户。根据需要重置密码或删除 API 密钥，以撤销攻击者对环境的访问权限。与您的 IT 团队合作，以尽量减少这些操作期间对业务运营的影响。
- 检查是否创建了未经授权的新用户，删除未经授权的新帐户，并请求其他 IAM 用户重置密码。
- 考虑为用户启用多因素身份验证。
- 查看分配给相关用户的权限，以确保遵循最小权限原则。
- 实施 AWS 概述的安全最佳实践。
- 采取必要措施，使受影响的系统、数据或服务恢复到正常的运行水平。
- 确定攻击者滥用的初始向量，并采取行动以防止通过同一向量再次感染。
- 使用事件响应数据，更新日志记录和审计策略，以提高平均检测时间 (MTTD) 和平均响应时间 (MTTR)。
设置
编辑需要 AWS Fleet 集成、Filebeat 模块或类似结构的数据才能与此规则兼容。
规则查询
编辑event.dataset:aws.cloudtrail and event.provider:ec2.amazonaws.com and event.action:ModifySnapshotAttribute
框架: MITRE ATT&CKTM
-
战术
- 名称：数据渗漏
- ID：TA0010
- 参考 URL：https://attack.mitre.org/tactics/TA0010/
-
技术
- 名称：将数据传输到云帐户
- ID：T1537
- 参考 URL：https://attack.mitre.org/techniques/T1537/