« AWS RDS 数据库实例已恢复 AWS RDS 数据库实例或集群密码已修改 »
Elastic 文档 ›Elastic 安全解决方案 [8.17] ›检测与告警 ›预构建规则参考

AWS RDS 数据库实例或集群删除保护已禁用

编辑

AWS RDS 数据库实例或集群删除保护已禁用

编辑

识别对 AWS RDS 数据库实例或集群的修改，以移除删除保护功能。删除保护会自动为通过控制台设置的实例启用，并可用于保护它们免受意外删除活动的影响。如果禁用，实例或集群可能会被删除，从而销毁敏感或关键信息。拥有适当权限的攻击者可以利用这一点，针对受损环境设置未来的删除事件。

规则类型: eql

规则索引:

  • filebeat-*
  • logs-aws.cloudtrail-*

严重性: 中

风险评分: 47

运行频率: 5 分钟

搜索索引起始时间: now-6m (日期数学格式，另请参阅 附加回溯时间)

每次执行的最大告警数: 100

参考:

标签:

  • 域: 云
  • 数据源: AWS
  • 数据源: 亚马逊云服务
  • 数据源: AWS RDS
  • 资源: 调查指南
  • 用例: 威胁检测
  • 策略: 影响

版本: 2

规则作者:

  • Elastic

规则许可证: Elastic License v2

调查指南

编辑

分类和分析

调查 AWS RDS 数据库实例或集群删除保护已禁用

此规则识别何时从 RDS 数据库实例或集群中删除删除保护功能。删除删除保护是删除数据库实例的先决条件。攻击者可能会利用此功能永久删除受损环境中的数据。

可能的调查步骤

  • 识别操作者: 查看 aws.cloudtrail.user_identity.arn 和 aws.cloudtrail.user_identity.access_key_id 字段，以识别是谁进行了更改。验证此操作者是否通常执行此类操作，以及他们是否具有必要的权限。
  • 查看修改事件: 识别所涉及的数据库实例并查看事件详细信息。查找 ModifyDBInstance 操作，其中 deletionProtection 参数已更改。
  • 请求和响应参数: 检查 CloudTrail 事件中的 aws.cloudtrail.request_parameters 字段，以识别数据库实例或集群标识符以及对实例进行的任何其他修改。
  • 验证已修改的实例: 检查已修改的数据库实例及其内容，以确定其中存储的数据的敏感性。
  • 结合最近的更改: 将此修改事件与 RDS 数据库实例或集群配置和部署中的最近更改进行比较。查找任何其他最近的权限更改或不寻常的管理操作。
  • 与其他活动相关联: 搜索此更改之前和之后的相关 CloudTrail 事件，以查看是否同一操作者或 IP 地址参与了其他潜在的可疑活动。
  • 采访相关人员: 如果修改是由用户发起的，请与负责管理数据库实例的人员或团队核实此操作的意图和授权。

误报分析

  • 合法的实例修改: 确认数据库实例修改是否与合法任务一致。
  • 一致性检查: 将此操作与用户或组织内执行的类似操作的历史数据进行比较。如果该操作与过去合法的活动一致，则可能表明是误报。

响应和补救

  • 立即审查和撤销: 如果更改未经授权，请将 deletionProtection 重置为 true。
  • 增强监控和告警: 调整监控系统以对类似操作发出告警，尤其是在涉及敏感数据或权限的情况下。
  • 审计实例和策略: 对所有实例和相关策略进行全面审计，以确保它们遵守最小权限原则。
  • 策略更新: 审查并可能更新组织关于数据库实例访问的策略，以加强控制并防止未经授权的访问。
  • 事件响应: 如果确认存在恶意意图，请将其视为数据泄露事件并启动事件响应协议。这包括进一步的调查、遏制和恢复。

附加信息

有关管理数据库实例和保护 AWS 环境的更多指导，请参阅 AWS RDS 文档和 AWS 安全最佳实践。此外，请参阅以下资源，了解有关数据库实例安全的具体细节： - AWS RDS ModifyDBInstance - 删除 AWS RDS 数据库实例

规则查询

编辑
any where event.dataset == "aws.cloudtrail"
    and event.provider == "rds.amazonaws.com"
    and event.action in ("ModifyDBInstance", "ModifyDBCluster")
    and event.outcome == "success"
    and stringContains(aws.cloudtrail.request_parameters, "deletionProtection=false")

框架: MITRE ATT&CKTM

« AWS RDS 数据库实例已恢复 AWS RDS 数据库实例或集群密码已修改 »