« AWS S3 存储桶策略已添加以与外部账户共享 AWS S3 存储桶服务器访问日志已禁用 »
Elastic 文档 ›Elastic 安全解决方案 [8.17] ›检测和警报 ›预构建规则参考

AWS S3 存储桶复制到其他账户

编辑

AWS S3 存储桶复制到其他账户

编辑

识别何时使用 PutBucketReplication 操作将 S3 对象复制到另一个 AWS 账户中的存储桶。攻击者可能会使用存储桶复制将敏感数据泄露到他们控制的环境中。

规则类型: eql

规则索引:

  • filebeat-*
  • logs-aws.cloudtrail-*

严重性: 中

风险评分: 47

运行频率: 5 分钟

搜索索引范围: now-6m (日期数学格式，另请参见 额外回溯时间)

每次执行的最大警报数: 100

参考:

标签:

  • 域: 云
  • 数据源: AWS
  • 数据源: 亚马逊网络服务
  • 数据源: AWS S3
  • 资源: 调查指南
  • 用例: 威胁检测
  • 策略: 数据渗漏

版本: 1

规则作者:

  • Elastic

规则许可: Elastic License v2

调查指南

编辑

分类和分析

调查 AWS S3 存储桶复制到其他账户

此规则识别 S3 存储桶何时被复制到另一个 AWS 账户。虽然共享存储桶复制是一种常见做法，但攻击者可能会利用此功能通过将对象复制到其控制下的外部账户来泄露数据。

可能的调查步骤

  • 识别行为者: 查看 aws.cloudtrail.user_identity.arn 和 aws.cloudtrail.user_identity.access_key_id 字段以识别是谁进行了更改。验证此行为者是否通常执行此类操作以及他们是否具有必要的权限。
  • 审查共享事件: 识别涉及的 S3 存储桶并审查事件详细信息。查找包含 Account 键值对的 PutBucketReplication 操作，这表示复制到外部账户。
  • 请求和响应参数: 检查 CloudTrail 事件中的 aws.cloudtrail.request_parameters 和 aws.cloudtrail.response_elements 字段，以识别使用的角色以及存储桶复制到的账户 ID。
  • 验证共享存储桶: 检查已复制的 S3 存储桶及其内容，以确定其中存储的数据的敏感性。
  • 验证外部账户: 检查存储桶复制到的 AWS 账户。确定此账户是否已知并且之前已授权访问此类资源。
  • 结合最近的更改进行上下文分析: 将此共享事件与 S3 配置中的最近更改进行比较。查找任何其他最近的权限更改或不寻常的管理操作。
  • 与其他活动关联: 搜索此更改前后相关的 CloudTrail 事件，以查看同一行为者或 IP 地址是否参与了其他潜在的可疑活动。
  • 采访相关人员: 如果共享是由用户发起的，请与负责管理数据库备份和快照的人员或团队验证此操作的意图和授权。

误报分析

  • 合法的备份操作: 确认 S3 存储桶复制是否符合计划的备份或合法的自动化任务。
  • 一致性检查: 将此操作与用户或组织内执行的类似操作的历史数据进行比较。如果该操作与过去合法的活动一致，则可能表示误报。

响应和补救

  • 立即审查和撤销: 如果更改未经授权，请更新 S3 配置以删除任何未经授权的复制规则。
  • 增强监控和警报: 调整监控系统以对类似操作发出警报，尤其是涉及敏感数据或权限的操作。
  • 策略更新: 审查并可能更新组织关于 S3 存储桶/对象共享的策略，以加强控制并防止未经授权的访问。
  • 事件响应: 如果确认存在恶意意图，则将其视为数据泄露事件并启动事件响应协议。这包括进一步的调查、控制和恢复。

其他信息

有关在 AWS 环境中管理和保护 S3 存储桶的进一步指导，请参阅 AWS S3 文档和 AWS 安全最佳实践。

规则查询

编辑
any where event.dataset == "aws.cloudtrail"
   and event.action == "PutBucketReplication"
   and event.outcome == "success"
   and stringContains(aws.cloudtrail.request_parameters, "Account")

框架: MITRE ATT&CKTM

« AWS S3 存储桶策略已添加以与外部账户共享 AWS S3 存储桶服务器访问日志已禁用 »