› › ›

AWS RDS 快照删除

识别 AWS RDS 数据库快照的删除操作。快照包含整个数据库实例的完整备份。未经授权删除快照可能会导致无法恢复关键或敏感数据。此规则检测已删除的快照和已被修改的实例，这些实例将 backupRetentionPeriod 设置为 0，这将禁用自动备份，功能上类似于删除系统快照。

规则类型: eql

规则索引:

filebeat-*
logs-aws.cloudtrail-*

严重程度: 中

风险评分: 47

运行频率: 5 分钟

搜索索引范围: now-6m (日期数学格式，另请参阅 额外回溯时间)

每次执行的最大告警数: 100

参考:

标签:

域: 云
数据源: AWS
数据源: Amazon Web Services
数据源: AWS RDS
用例: 资产可见性
策略: 影响

版本: 2

规则作者:

Elastic

规则许可证: Elastic License v2

规则查询

编辑

any where event.dataset == "aws.cloudtrail"
    and event.provider == "rds.amazonaws.com"
    and event.outcome == "success"
    and (
        event.action in ("DeleteDBSnapshot", "DeleteDBClusterSnapshot") or
        (event.action == "ModifyDBInstance" and stringContains(aws.cloudtrail.request_parameters, "backupRetentionPeriod=0"))
    )

框架: MITRE ATT&CK^TM

策略
- 名称: 影响
- ID: TA0040
- 参考 URL: https://attack.mitre.org/tactics/TA0040/
技术
- 名称: 数据销毁
- ID: T1485
- 参考 URL: https://attack.mitre.org/techniques/T1485/

« AWS RDS 安全组删除 AWS RDS 快照导出 »