AWS CloudWatch 日志组删除

AWS CloudWatch 日志组删除编辑

识别特定 AWS CloudWatch 日志组的删除操作。删除日志组时，与该日志组关联的所有归档日志事件也将被永久删除。

规则类型: 查询

规则索引:

严重程度: 中等

风险评分: 47

每隔: 10 分钟

搜索索引时间范围: now-60m (日期数学格式，另请参阅 额外回溯时间)

每次执行的警报最大数量: 100

参考:

标签:

版本: 209

规则作者:

规则许可证: Elastic License v2

分类和分析

调查 AWS CloudWatch 日志组删除

Amazon CloudWatch 是一种监控和可观测性服务，它以日志、指标和事件的形式收集资源和应用程序的监控和操作数据。此数据可用于检测环境中的异常行为、设置警报、并排可视化日志和指标、采取自动化操作、解决问题以及发现见解，以保持应用程序平稳运行。

日志组是共享相同保留、监控和访问控制设置的一组日志流。您可以定义日志组并指定将哪些流放入每个组。一个日志组可以包含的日志流数量没有限制。

此规则使用 API DeleteLogGroup 操作来查找日志组的删除操作。攻击者可以通过此操作来掩盖其踪迹并影响依赖这些来源的安全监控。

可能的调查步骤

误报分析

响应和补救

根据分类结果启动事件响应流程。
在调查和响应期间禁用或限制帐户。
确定事件的可能影响并相应地优先排序；以下操作可以帮助您获得上下文
确定帐户在云环境中的角色。
评估受影响的服务和服务器的严重程度。
与您的 IT 团队合作，确定并最大程度地减少对用户的影响。
确定攻击者是否在横向移动并入侵其他帐户、服务器或服务。
确定与此活动相关的任何监管或法律影响。
调查受损系统或攻击者使用的系统上的凭据泄露情况，确保识别出所有受损帐户。根据需要重置密码或删除 API 密钥，以撤销攻击者对环境的访问权限。与您的 IT 团队合作，最大程度地减少这些操作对业务运营的影响。
检查是否创建了未经授权的新用户，删除未经授权的新帐户，并请求重置其他 IAM 用户的密码。
考虑为用户启用多因素身份验证。
查看分配给涉嫌用户的权限，以确保遵循最小权限原则。
实施 AWS 提出的安全最佳实践概述。
采取必要的措施，将受影响的系统、数据或服务恢复到正常运行级别。
确定攻击者滥用的初始载体，并采取措施防止通过同一载体再次感染。
使用事件响应数据，更新日志记录和审计策略，以提高平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

AWS Fleet 集成、Filebeat 模块或类似结构的数据需要与该规则兼容。

event.dataset:aws.cloudtrail and event.provider:logs.amazonaws.com and event.action:DeleteLogGroup and event.outcome:success

框架: MITRE ATT&CK^TM

策略
- 名称: 影响
- ID: TA0040
- 参考 URL: https://attack.mitre.org/tactics/TA0040/
技术
- 名称: 数据破坏
- ID: T1485
- 参考 URL: https://attack.mitre.org/techniques/T1485/
策略
- 名称: 防御规避
- ID: TA0005
- 参考 URL: https://attack.mitre.org/tactics/TA0005/
技术
- 名称: 削弱防御
- ID: T1562
- 参考 URL: https://attack.mitre.org/techniques/T1562/
子技术
- 名称: 禁用或修改工具
- ID: T1562.001
- 参考 URL: https://attack.mitre.org/techniques/T1562/001/