用户首次 STS GetFederationToken 请求

编辑

识别用户在过去 10 天内首次发出的 AWS 安全令牌服务 (STS) GetFederationToken 请求。 GetFederationToken API 调用允许用户请求临时安全凭证以访问 AWS 资源。攻击者可能会使用此 API 获取临时凭证,以访问他们通常无权访问的资源。

规则类型: new_terms

规则索引:

  • filebeat-*
  • logs-aws.cloudtrail-*

严重性: 低

风险评分: 21

运行频率: 5 分钟

搜索索引起始时间: now-9m ( 日期数学格式, 另请参阅 额外回溯时间)

每次执行的最大告警数: 100

参考:

标签:

  • 域: 云
  • 数据源: 亚马逊 Web 服务
  • 数据源: AWS
  • 数据源: AWS STS
  • 用例: 威胁检测
  • 战术: 防御规避

版本: 1

规则作者:

  • Elastic

规则许可证: Elastic License v2

规则查询

编辑
event.dataset: "aws.cloudtrail"
    and event.provider: sts.amazonaws.com
    and event.action: GetFederationToken

框架: MITRE ATT&CKTM