AWS RDS 数据库实例或集群密码修改

识别 AWS RDS 数据库实例或集群的主密码修改。数据库实例可能包含敏感数据，如果未经授权的参与者访问，可能会被滥用。Amazon RDS API 操作永远不会返回密码，因此此操作提供了一种在密码丢失时重新获得访问权限的方法。具有适当权限的攻击者可以利用这一点来逃避防御并获得对数据库实例或集群的未授权访问，以支持持久化机制或特权提升。

规则类型: eql

规则索引:

filebeat-*
logs-aws.cloudtrail-*

严重性: 中

风险评分: 47

运行频率: 5分钟

搜索索引时间范围: now-6m (日期数学格式，另请参阅 额外回溯时间)

每次执行的最大告警数: 100

参考:

标签:

域: 云
数据源: AWS
数据源: 亚马逊网络服务
数据源: AWS RDS
资源: 调查指南
用例: 威胁检测
战术: 持久化
战术: 权限提升
战术: 防御规避

版本: 2

规则作者:

Elastic

规则许可: Elastic License v2

调查指南

编辑

初步分析

调查 AWS RDS 数据库实例或集群密码修改

此规则识别何时修改了 RDS 数据库实例或集群密码。虽然更改主密码是在密码丢失时重新获得访问权限的合法方法，但攻击者可能会利用此功能来维持持久性或逃避受损环境中的防御。

可能的调查步骤

识别参与者: 查看 aws.cloudtrail.user_identity.arn 和 aws.cloudtrail.user_identity.access_key_id 字段以识别谁进行了更改。验证此参与者是否通常执行此类操作以及他们是否具有必要的权限。
审查修改事件: 识别涉及的数据库实例并审查事件详细信息。查找更改了 masterUserPassword 参数的 ModifyDBInstance 操作。
请求和响应参数: 检查 CloudTrail 事件中的 aws.cloudtrail.request_parameters 字段，以识别数据库实例标识符以及对实例进行的任何其他修改。
验证修改的实例: 检查修改的数据库实例及其内容，以确定其中存储的数据的敏感性。
与近期更改进行上下文关联: 将此修改事件与 RDS 数据库或集群配置和部署中的近期更改进行比较。查找任何其他近期权限更改或异常的管理操作。
与其他活动关联: 在此更改之前和之后搜索相关的 CloudTrail 事件，以查看同一参与者或 IP 地址是否参与了其他潜在的可疑活动。
采访相关人员: 如果修改是由用户发起的，请与负责管理数据库实例的个人或团队验证此操作的意图和授权。

误报分析

合法的实例修改: 确认数据库实例修改是否与合法任务一致。
一致性检查: 将该操作与用户或组织内执行的类似操作的历史数据进行比较。如果该操作与过去合法的活动一致，则可能表明是误报。

响应和补救

立即审查和撤销: 如果更改未经授权，请更新实例密码。如果主用户密码是使用 AWS Secrets Manager 管理的，请确定是否已将 manageMasterUserPassword 属性更改为 false，并在必要时还原。
加强监控和告警: 调整监控系统，以告警类似操作，特别是涉及敏感数据或权限的操作。
审计实例和策略: 对所有实例和相关策略进行全面审计，以确保它们符合最小权限原则。
策略更新: 审查并可能更新您组织关于数据库实例访问的策略，以加强控制并防止未经授权的访问。
事件响应: 如果确认存在恶意意图，则将其视为数据泄露事件并启动事件响应协议。这包括进一步调查、遏制和恢复。

其他信息

有关管理数据库实例和保护 AWS 环境的进一步指导，请参阅 AWS RDS 文档和 AWS 安全最佳实践。此外，请查阅以下资源，了解有关数据库实例安全的具体细节：- AWS RDS ModifyDBInstance - Amazon RDS 和 Secrets Manager

规则查询

编辑

any where event.dataset == "aws.cloudtrail"
    and event.provider == "rds.amazonaws.com"
    and event.action in ("ModifyDBInstance", "ModifyDBCluster")
    and event.outcome == "success"
    and stringContains(aws.cloudtrail.request_parameters, "masterUserPassword=*")

框架: MITRE ATT&CK^TM

战术
- 名称: 持久化
- ID: TA0003
- 参考 URL: https://attack.mitre.org/tactics/TA0003/
技术
- 名称: 账户操纵
- ID: T1098
- 参考 URL: https://attack.mitre.org/techniques/T1098/
子技术
- 名称: 额外的云凭证
- ID: T1098.001
- 参考 URL: https://attack.mitre.org/techniques/T1098/001/
战术
- 名称: 权限提升
- ID: TA0004
- 参考 URL: https://attack.mitre.org/tactics/TA0004/
战术
- 名称: 防御规避
- ID: TA0005
- 参考 URL: https://attack.mitre.org/tactics/TA0005/

« AWS RDS 数据库实例或集群删除保护禁用 AWS RDS 数据库快照创建 »