« AWS Lambda 函数创建或更新 AWS Lambda 层添加到现有函数 »
Elastic 文档 ›Elastic Security Solution [8.17] ›检测和警报 ›预构建规则参考

AWS Lambda 函数策略更新为允许公共调用

编辑

AWS Lambda 函数策略更新为允许公共调用

编辑

识别 AWS Lambda 函数策略何时更新为允许公共调用。此规则专门查找 AddPermission API 调用，并将 Principal 设置为 *，从而允许任何 AWS 账户调用 Lambda 函数。攻击者可能会滥用此权限在 Lambda 函数中创建一个后门，允许他们执行任意代码。

规则类型: 查询

规则索引:

  • filebeat-*
  • logs-aws.cloudtrail-*

严重性: 中

风险评分: 47

运行频率: 10 分钟

搜索索引范围: now-60m (日期数学格式，另请参阅 额外的回溯时间)

每次执行的最大警报数: 100

参考:

标签:

  • 域: 云
  • 数据源: AWS
  • 数据源: Amazon Web Services
  • 数据源: AWS Lambda
  • 用例: 威胁检测
  • 战术: 持久性

版本: 1

规则作者:

  • Elastic

规则许可: Elastic License v2

调查指南

编辑

分类和分析

调查 AWS Lambda 函数策略更新为允许公共调用

此规则检测 AWS Lambda 函数策略何时更新为允许公共调用。它专门查找 AddPermission API 调用，并将 Principal 设置为 *，这允许任何 AWS 账户调用 Lambda 函数。攻击者可能会滥用此权限在 Lambda 函数中创建一个后门，允许他们执行任意代码。了解此类更改的上下文和合法性对于确定该操作是良性还是恶意至关重要。

可能的调查步骤

  • 识别行为者: 查看 aws.cloudtrail.user_identity.arn 和 aws.cloudtrail.user_identity.access_key_id 字段，以识别谁进行了更改。验证此行为者是否通常执行此类操作，以及他们是否具有必要的权限。
  • 查看请求详细信息: 检查 aws.cloudtrail.request_parameters，以了解对 Lambda 函数策略所做的具体更改。查找任何可能暗示未经授权或恶意修改的异常参数。
  • 分析请求来源: 调查 source.ip 和 source.geo 字段，以确定请求的地理来源。外部或意外位置可能表明凭据已泄露或未经授权的访问。
  • 结合时间戳进行关联: 使用 @timestamp 字段检查更改发生的时间。在非工作时间或常规维护窗口之外进行的修改可能需要进一步审查。
  • 与其他活动关联: 在此更改之前和之后搜索相关的 CloudTrail 事件，以查看同一行为者或 IP 地址是否参与了其他潜在的可疑活动。

误报分析

  • 合法的管理操作: 确认允许公共调用的更新是否与计划的更新、开发活动或变更管理系统中记录的合法管理任务一致。
  • 一致性检查: 将该操作与用户或组织内执行的类似操作的历史数据进行比较。如果该操作与过去合法的活动一致，则可能表明是误报。
  • 通过结果验证: 检查 aws.cloudtrail.response_elements 和 event.outcome，以确认更改是否成功，并符合策略的预期。

响应和补救

  • 必要时立即审查和撤销: 如果更改是未经授权的，请更新 Lambda 函数策略以删除公共调用权限，并将其恢复到之前的状态。
  • 增强监控和警报: 调整监控系统以针对类似操作发出警报，尤其涉及敏感函数或权限的操作。
  • 教育和培训: 对具有管理权限的用户进行额外的培训，让他们了解 Lambda 函数管理和权限使用的安全最佳实践的重要性。
  • 审计 Lambda 函数和策略: 对所有 Lambda 函数和相关策略进行全面审计，以确保它们遵守最小权限原则。
  • 事件响应: 如果有恶意意图或安全漏洞的迹象，请启动事件响应协议，以减轻任何损害并防止将来发生类似事件。

其他信息

有关管理 Lambda 函数和保护 AWS 环境的更多指导，请参阅 AWS Lambda 文档 和 AWS 安全最佳实践。此外，请查阅以下资源，了解有关 Lambda 持久性技术的具体细节： - AWS Lambda 持久性 - AWS Lambda 后门函数 - AWS API AddPermission

规则查询

编辑
event.dataset: aws.cloudtrail
    and event.provider: lambda.amazonaws.com
    and event.outcome: success
    and event.action: AddPermission*
    and aws.cloudtrail.request_parameters: (*lambda\:InvokeFunction* and *principal=\**)

框架: MITRE ATT&CKTM

« AWS Lambda 函数创建或更新 AWS Lambda 层添加到现有函数 »