AWS EC2 EBS 快照与另一个帐户共享
编辑AWS EC2 EBS 快照与另一个帐户共享编辑
识别与另一个 AWS 帐户共享的 AWS EC2 EBS 快照。EBS 虚拟磁盘可以复制到快照中，然后可以与外部 AWS 帐户共享或公开发布。攻击者可能会尝试这样做，以便将快照复制到他们控制的环境中，以访问数据。
规则类型: esql
规则索引: 无
严重性: 低
风险评分: 21
每隔多久运行一次: 5m
从以下位置搜索索引: now-9m (日期数学格式，另请参见 附加回溯时间)
每次执行的最大警报数: 100
参考资料:
- https://docs.aws.amazon.com/ebs/latest/userguide/ebs-modifying-snapshot-permissions.html
- https://docs.aws.amazon.com/AWSEC2/latest/APIReference/API_ModifySnapshotAttribute.html
- https://cloud.hacktricks.xyz/pentesting-cloud/aws-security/aws-post-exploitation/aws-ec2-ebs-ssm-and-vpc-post-exploitation/aws-ebs-snapshot-dump
标签:
- 域：云
- 数据源：AWS
- 数据源：Amazon Web Services
- 数据源：AWS EC2
- 用例：威胁检测
- 策略：渗透
版本: 1
规则作者:
- Elastic
规则许可证: Elastic 许可证 v2
调查指南编辑
分类和分析
调查与另一个帐户共享的 AWS EC2 EBS 快照
此规则检测 AWS EC2 EBS 快照何时与另一个 AWS 帐户共享。EBS 虚拟磁盘可以复制到快照中，然后可以与外部 AWS 帐户共享或公开发布。攻击者可能会尝试这样做，以便将快照复制到他们控制的环境中，以访问数据。了解此类更改的上下文和合法性对于确定操作是良性还是恶意至关重要。
可能的调查步骤
-
识别操作者: 查看
aws.cloudtrail.user_identity.arn和aws.cloudtrail.user_identity.access_key_id字段，以识别谁进行了更改。验证此操作者是否通常执行此类操作以及他们是否具有必要的权限。 -
查看请求详细信息: 检查
aws.cloudtrail.request_parameters，以了解对快照权限所做的具体更改。查找任何可能表明未经授权或恶意修改的异常参数。 -
分析请求来源: 调查
source.ip和source.geo字段，以确定请求的地理来源。外部或意外位置可能表明凭据被盗或未经授权访问。 -
与时间戳关联: 使用
@timestamp字段来检查更改发生的时间。在非工作时间或非正常维护窗口期间进行的修改可能需要进一步审查。 - 与其他活动相关联: 在此更改之前和之后搜索相关的 CloudTrail 事件，以查看相同的操作者或 IP 地址是否参与了其他可能可疑的活动。
误报分析
- 合法的管理操作: 确认快照共享是否与计划的更新、开发活动或更改管理系统中记录的合法管理任务一致。
- 一致性检查: 将操作与用户或组织执行的类似操作的历史数据进行比较。如果操作与过去合法活动一致，则可能表明误报。
-
通过结果验证: 检查
aws.cloudtrail.response_elements和event.outcome，以确认更改是否根据策略成功且有目的地完成。
响应和补救
- 立即审查和必要时撤消: 如果更改未经授权，请更新快照权限以删除任何未经授权的帐户并将其恢复到之前的状态。
- 增强监控和警报: 调整监控系统以提醒类似的操作，尤其是涉及敏感数据或权限的操作。
- 教育和培训: 为具有管理权限的用户提供有关快照管理和共享权限的安全最佳实践重要性的额外培训。
- 审计快照和策略: 对所有快照和关联策略进行全面审计，以确保它们符合最小权限原则。
- 事件响应: 如果有恶意意图或安全漏洞的迹象，请启动事件响应协议以减轻任何损害并防止将来发生。
附加信息
有关管理 EBS 快照和保护 AWS 环境的更多指导，请参考 AWS EBS 文档 和 AWS 安全最佳实践。此外，请咨询以下资源以获取有关 EBS 快照安全性的具体信息： - AWS EBS 快照权限 - AWS API ModifySnapshotAttribute - AWS EBS 快照转储
规则查询编辑
from logs-aws.cloudtrail-*
| where event.provider == "ec2.amazonaws.com" and event.action == "ModifySnapshotAttribute" and event.outcome == "success"
| dissect aws.cloudtrail.request_parameters "{%{?snapshotId}=%{snapshotId},%{?attributeType}=%{attributeType},%{?createVolumePermission}={%{operationType}={%{?items}=[{%{?userId}=%{userId}}]}}}"
| where operationType == "add" and cloud.account.id != userId
| keep @timestamp, aws.cloudtrail.user_identity.arn, cloud.account.id, event.action, snapshotId, attributeType, operationType, userId
框架: MITRE ATT&CKTM
-
策略
- 名称：渗透
- ID：TA0010
- 参考 URL：https://attack.mitre.org/tactics/TA0010/
-
技术
- 名称：将数据传输到云帐户
- ID：T1537
- 参考 URL：https://attack.mitre.org/techniques/T1537/