用户首次创建 AWS Cloudformation 堆栈
编辑用户首次创建 AWS Cloudformation 堆栈
编辑此规则检测主体首次调用 AWS Cloudwatch CreateStack 或 CreateStackSet API 的情况。Cloudformation 用于通过定义的模板文件创建一个名为堆栈的云资源集合。拥有适当权限的攻击者可以利用 Cloudformation 创建进一步利用环境所需的特定资源。这是一个新术语规则，它查找在过去 10 天内，在特定帐户中的角色或 IAM 用户首次出现此行为的实例。
规则类型: new_terms
规则索引:
- filebeat-*
- logs-aws.cloudtrail-*
严重性: 中
风险评分: 47
运行频率: 5 分钟
搜索索引起始时间: now-6m (日期数学格式，另请参阅 额外的回溯时间)
每次执行的最大警报数: 100
参考:
- https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/using-cfn-cli-creating-stack.html/
- https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/stacksets-concepts.html/
- https://docs.aws.amazon.com/AWSCloudFormation/latest/APIReference/API_CreateStack.html/
- https://docs.aws.amazon.com/AWSCloudFormation/latest/APIReference/API_CreateStackSet.html/
标签:
- 域: 云
- 数据源: AWS
- 数据源: Amazon Web Services
- 数据源: Cloudformation
- 用例: 资产可见性
- 策略: 执行
版本: 1
规则作者:
- Elastic
规则许可证: Elastic License v2
规则查询
编辑event.dataset:aws.cloudtrail and event.provider:cloudformation.amazonaws.com and
event.action: (CreateStack or CreateStackSet) and event.outcome:success
框架: MITRE ATT&CKTM
-
策略
- 名称: 执行
- ID: TA0002
- 参考 URL: https://attack.mitre.org/tactics/TA0002/