AWS CloudTrail 日志更新

编辑

AWS CloudTrail 日志更新

编辑

识别对 AWS 日志跟踪设置的更新，该设置指定日志文件的交付。

规则类型: 查询

规则索引:

filebeat-*
logs-aws.cloudtrail-*

严重程度: 低

风险评分: 21

运行频率: 10分钟

搜索索引时间范围: now-60m (日期数学格式，另请参阅 额外回溯时间)

每次执行的最大告警数: 100

参考:

标签:

域: 云
数据源: AWS
数据源: 亚马逊云服务
数据源: AWS CloudTrail
用例: 日志审计
资源: 调查指南
策略: 影响

版本: 209

规则作者:

Elastic

规则许可证: Elastic License v2

调查指南

编辑

分类和分析

调查 AWS CloudTrail 日志更新

Amazon CloudTrail 是一项服务，可对您的 Amazon Web Services 账户进行治理、合规性、运营审计和风险审计。借助 CloudTrail，您可以记录、持续监控和保留与您的 Amazon Web Services 基础设施上的操作相关的账户活动。CloudTrail 提供您 Amazon Web Services 账户活动的事件历史记录，包括通过 Amazon 管理控制台、Amazon SDK、命令行工具和其他 Amazon Web Services 服务执行的操作。此事件历史记录简化了安全分析、资源更改跟踪和故障排除。

此规则使用 API UpdateTrail 操作识别 CloudTrail 设置的修改。攻击者可以这样做来掩盖他们的踪迹，并影响依赖此来源的安全监控。

可能的调查步骤

确定执行操作的用户帐户以及它是否应执行此类操作。
检查事件的响应元素以确定更改的范围。
调查过去 48 小时内与该用户帐户相关的其他告警。
联系账户和资源所有者，并确认他们是否知道此活动。
检查此操作是否已获批准并根据组织变更管理策略执行。
考虑发出命令的用户的源 IP 地址和地理位置
对于用户来说，它们看起来正常吗？
如果源是 EC2 IP 地址，它是否与您的某个账户中的 EC2 实例关联，或者源 IP 是否来自您无法控制的 EC2 实例？
如果是授权的 EC2 实例，则该活动是否与实例角色或角色的正常行为相关？是否有其他与此实例相关的告警或可疑活动迹象？
如果您怀疑帐户已遭入侵，请通过跟踪过去 24 小时内帐户访问的服务器、服务和数据来确定潜在受损资产的范围。

误报分析

如果由于预期活动，此规则在您的环境中很嘈杂，请考虑添加例外 - 最好结合用户和 IP 地址条件。

响应和修复

根据分类结果启动事件响应流程。
在调查和响应期间禁用或限制帐户。
确定事件的可能影响并相应地确定优先级；以下操作可以帮助您获取上下文
确定云环境中帐户的角色。
评估受影响的服务和服务器的严重性。
与您的 IT 团队合作，以识别并最大程度地减少对用户的影响。
确定攻击者是否正在横向移动并入侵其他帐户、服务器或服务。
确定与此活动相关的任何监管或法律后果。
调查受攻击者入侵或使用的系统上的凭证泄露情况，以确保识别所有受损帐户。根据需要重置密码或删除 API 密钥，以撤销攻击者对环境的访问权限。与您的 IT 团队合作，以最大程度地减少这些操作期间对业务运营的影响。
检查是否创建了未经授权的新用户，删除未经授权的新帐户，并请求其他 IAM 用户重置密码。
考虑为用户启用多因素身份验证。
查看分配给相关用户的权限，以确保遵循最小权限原则。
实施 AWS 概述的安全最佳实践。
采取必要的操作，以使受影响的系统、数据或服务恢复到其正常的运行级别。
确定攻击者滥用的初始向量，并采取行动以防止通过同一向量再次感染。
使用事件响应数据，更新日志记录和审计策略，以提高检测的平均时间（MTTD）和响应的平均时间（MTTR）。

设置

编辑

此规则需要 AWS Fleet 集成、Filebeat 模块或类似结构的兼容数据。

规则查询

编辑

event.dataset:aws.cloudtrail and event.provider:cloudtrail.amazonaws.com and event.action:UpdateTrail and event.outcome:success

框架: MITRE ATT&CK^TM

策略
- 名称: 影响
- ID: TA0040
- 参考 URL: https://attack.mitre.org/tactics/TA0040/
技术
- 名称: 数据操纵
- ID: T1565
- 参考 URL: https://attack.mitre.org/techniques/T1565/
子技术
- 名称: 存储的数据操纵
- ID: T1565.001
- 参考 URL: https://attack.mitre.org/techniques/T1565/001/
策略
- 名称: 收集
- ID: TA0009
- 参考 URL: https://attack.mitre.org/tactics/TA0009/
技术
- 名称: 来自云存储的数据
- ID: T1530
- 参考 URL: https://attack.mitre.org/techniques/T1530/

« AWS CloudTrail 日志暂停 AWS CloudWatch 告警删除 »