« 通过通配符记录创建的潜在 ADIDNS 中毒 通过高令牌计数和大型响应大小潜在滥用资源 »
Elastic 文档 ›Elastic 安全解决方案 [8.17] ›检测和警报 ›预构建规则参考

潜在的 AWS S3 存储桶勒索软件提示上传

编辑

潜在的 AWS S3 存储桶勒索软件提示上传

编辑

识别上传到 AWS S3 存储桶的潜在勒索软件提示。此规则检测具有常见勒索软件提示文件扩展名（例如 .ransom 或 .lock）的 PutObject S3 API 调用。有权访问配置错误的 S3 存储桶的攻击者可能会检索、删除和替换对象，并使用勒索提示来敲诈受害者。

规则类型：esql

规则索引：无

严重性：中

风险评分: 47

运行频率：5 分钟

搜索索引时间范围：now-9m（日期数学格式，另请参阅 额外回溯时间）

每次执行的最大警报数: 100

参考:

标签:

  • 领域：云
  • 数据源：AWS
  • 数据源：Amazon Web Services
  • 数据源：AWS S3
  • 用例：威胁检测
  • 战术：影响

版本: 3

规则作者:

  • Elastic

规则许可证：Elastic License v2

调查指南

编辑

分类和分析

调查潜在的 AWS S3 存储桶勒索软件提示上传

此规则检测具有常见勒索软件提示文件扩展名（例如 .ransom 或 .lock）的 PutObject S3 API 调用。有权访问配置错误的 S3 存储桶的攻击者可能会检索、删除和替换对象，并使用勒索提示来敲诈受害者。

可能的调查步骤

  • 识别参与者：查看 aws.cloudtrail.user_identity.arn 和 aws.cloudtrail.user_identity.access_key_id 字段，以识别执行操作的人员。验证此参与者是否通常执行此类操作以及他们是否具有必要的权限。
  • 审查请求详细信息：检查 aws.cloudtrail.request_parameters 以了解 PutObject 操作的具体详细信息。查找任何可能暗示未经授权或恶意修改的异常参数。
  • 分析请求的来源：调查 source.ip 和 source.geo 字段以确定请求的地理来源。外部或意外位置可能表示凭据泄露或未经授权的访问。
  • 使用时间戳进行上下文关联：使用 @timestamp 字段来检查勒索提示的上传时间。在非工作时间或常规维护窗口之外进行的更改可能需要进一步审查。
  • 检查勒索提示：检查 aws.cloudtrail.request_parameters 中的 PutObject 操作，以识别上传的勒索提示的特征。查找常见的勒索软件文件扩展名，例如 .txt、.note、.ransom 或 .html。
  • 与其他活动关联：搜索此操作之前和之后的相关 CloudTrail 事件，以查看同一参与者或 IP 地址是否参与了其他潜在的可疑活动。
  • 检查对象删除或访问：查找同一 S3 存储桶的 DeleteObject、DeleteObjects 或 GetObject API 调用，这可能表明攻击者在放置勒索提示之前访问和销毁了对象。

误报分析

  • 合法的管理操作：确认 PutObject 操作是否与计划的更新、维护活动或变更管理系统中记录的合法管理任务一致。
  • 一致性检查：将此操作与用户或组织内执行的类似活动的历史数据进行比较。如果此操作与过去合法的活动一致，则可能表示误报。
  • 通过结果进行验证：检查 aws.cloudtrail.response_elements 和 event.outcome 以确认上传是否成功且符合策略。

响应和补救

  • 立即审查和必要时撤销：如果活动未经授权，请从 S3 存储桶中删除上传的勒索提示，并检查存储桶的访问日志中是否存在任何可疑活动。
  • 增强监控和警报：调整监控系统以在类似的 PutObject 操作（尤其是涉及敏感数据或异常文件扩展名的操作）上发出警报。
  • 教育和培训：对具有管理权限的用户进行额外的培训，让他们了解有关 S3 存储桶管理的安全最佳实践以及勒索软件的风险的重要性。
  • 审核 S3 存储桶策略和权限：对所有 S3 存储桶策略和相关权限进行全面审核，以确保它们遵守最小权限原则。
  • 事件响应：如果存在恶意意图或安全漏洞的迹象，请启动事件响应协议以减轻任何损害并防止将来发生此类情况。

其他信息

有关管理 S3 存储桶安全和防止勒索软件的进一步指南，请参阅 AWS S3 文档和 AWS 安全最佳实践。此外，请参阅以下资源以获取有关 S3 勒索软件保护的特定详细信息：- ERMETIC 报告 - AWS S3 野外勒索软件暴露 - AWS S3 勒索软件批量删除 - S3 勒索软件第 1 部分：攻击向量

设置

编辑

需要在 CloudTrail trail 配置中启用 AWS S3 数据类型。

规则查询

编辑
from logs-aws.cloudtrail-*

// any successful uploads via S3 API requests
| where event.dataset == "aws.cloudtrail"
    and event.provider == "s3.amazonaws.com"
    and event.action == "PutObject"
    and event.outcome == "success"

// abstract object name from API request parameters
| dissect aws.cloudtrail.request_parameters "%{?ignore_values}key=%{object_name}}"

// regex on common ransomware note extensions
| where object_name rlike "(.*)(ransom|lock|crypt|enc|readme|how_to_decrypt|decrypt_instructions|recovery|datarescue)(.*)"
    and not object_name rlike "(.*)(AWSLogs|CloudTrail|access-logs)(.*)"

// keep relevant fields
| keep tls.client.server_name, aws.cloudtrail.user_identity.arn, object_name

// aggregate by S3 bucket, resource and object name
| stats note_upload_count = count(*) by tls.client.server_name, aws.cloudtrail.user_identity.arn, object_name

// filter for single occurrence to eliminate common upload operations
| where note_upload_count == 1

框架：MITRE ATT&CKTM

« 通过通配符记录创建的潜在 ADIDNS 中毒 通过高令牌计数和大型响应大小潜在滥用资源 »