AWS RDS 数据库快照已创建

识别何时创建 AWS RDS 数据库快照。这可以被利用来规避防御，允许攻击者绕过访问控制，或通过将实例恢复到之前的状态来掩盖他们的踪迹。这是一个[构建块规则](https://elastic.ac.cn/guide/en/security/current/building-block-rule.html)，本身不会生成告警。它旨在与其他规则关联使用，以检测可疑活动。要生成告警，请创建一个使用此信号作为构建块的规则。

规则类型: 查询

规则索引:

严重性: 低

风险评分: 21

运行频率: 10 分钟

搜索索引起始时间: now-60m (日期数学格式，另请参见 额外回溯时间)

每次执行的最大告警数: 100

参考: 无

标签:

版本: 1

规则作者:

规则许可证: Elastic License v2

event.dataset: "aws.cloudtrail" and event.provider: "rds.amazonaws.com"
    and event.action: ("CreateDBSnapshot" or "CreateDBClusterSnapshot") and event.outcome: "success"