« 通过承担角色获取 AWS EC2 管理员凭证 AWS EC2 加密已禁用 »
Elastic 文档 ›Elastic 安全解决方案 [8.17] ›检测和警报 ›预构建规则参考

AWS EC2 EBS 快照与另一账户共享

编辑

AWS EC2 EBS 快照与另一账户共享

编辑

识别与另一个 AWS 账户共享的 AWS EC2 EBS 快照。EBS 虚拟磁盘可以复制到快照中，然后可以与外部 AWS 账户共享或公开。攻击者可能会尝试这样做，以便将快照复制到他们控制的环境中以访问数据。

规则类型: esql

规则索引: 无

严重性: 低

风险评分: 21

运行频率: 5 分钟

搜索索引起始时间: now-9m (日期数学格式, 另请参阅 额外回溯时间)

每次执行的最大警报数: 100

参考:

标签:

  • 域: 云
  • 数据源: AWS
  • 数据源: 亚马逊网络服务
  • 数据源: AWS EC2
  • 用例: 威胁检测
  • 战术: 数据渗漏

版本: 2

规则作者:

  • Elastic

规则许可证: Elastic License v2

调查指南

编辑

分类和分析

调查 AWS EC2 EBS 快照与另一账户共享

此规则检测 AWS EC2 EBS 快照何时与另一个 AWS 账户共享。EBS 虚拟磁盘可以复制到快照中，然后可以与外部 AWS 账户共享或公开。攻击者可能会尝试这样做，以便将快照复制到他们控制的环境中以访问数据。了解此类更改的背景和合法性对于确定该操作是良性还是恶意至关重要。

可能的调查步骤

  • 识别行动者: 审查 aws.cloudtrail.user_identity.arn 和 aws.cloudtrail.user_identity.access_key_id 字段以识别进行更改的人员。验证此行动者是否通常执行此类操作，以及他们是否具有必要的权限。
  • 审查请求详细信息: 检查 aws.cloudtrail.request_parameters 以了解对快照权限所做的具体更改。查找任何可能表明未经授权或恶意修改的异常参数。
  • 分析请求的来源: 调查 source.ip 和 source.geo 字段，以确定请求的地理来源。外部或意外位置可能表明凭证泄露或未经授权的访问。
  • 使用时间戳进行关联: 使用 @timestamp 字段检查更改发生的时间。在非工作时间或常规维护窗口之外进行的修改可能需要进一步审查。
  • 与其他活动关联: 搜索此更改之前和之后的相关 CloudTrail 事件，以查看同一行动者或 IP 地址是否参与了其他潜在的可疑活动。

误报分析

  • 合法的管理操作: 确认快照共享是否与计划的更新、开发活动或变更管理系统中记录的合法管理任务一致。
  • 一致性检查: 将操作与用户或组织内执行的类似操作的历史数据进行比较。如果该操作与过去合法的活动一致，则可能表明是误报。
  • 通过结果验证: 检查 aws.cloudtrail.response_elements 和 event.outcome，以确认更改是否成功且符合策略预期。

响应和补救

  • 立即审查和必要时撤销: 如果更改未经授权，请更新快照权限以删除任何未经授权的账户并将其恢复到之前的状态。
  • 增强监控和警报: 调整监控系统，以便对类似操作发出警报，尤其是在涉及敏感数据或权限的情况下。
  • 教育和培训: 为具有管理权限的用户提供关于快照管理和共享权限的安全最佳实践重要性的额外培训。
  • 审计快照和策略: 对所有快照和相关策略进行全面审计，以确保它们符合最小权限原则。
  • 事件响应: 如果有恶意意图或安全漏洞的迹象，请启动事件响应协议以减轻任何损害并防止未来发生。

其他信息

有关管理 EBS 快照和保护 AWS 环境的更多指南，请参阅 AWS EBS 文档 和 AWS 安全最佳实践。此外，请查阅以下资源以获取有关 EBS 快照安全性的具体详细信息： - AWS EBS 快照权限 - AWS API ModifySnapshotAttribute - AWS EBS 快照转储

规则查询

编辑
from logs-aws.cloudtrail-* metadata _id, _version, _index
| where event.provider == "ec2.amazonaws.com" and event.action == "ModifySnapshotAttribute" and event.outcome == "success"
| dissect aws.cloudtrail.request_parameters "{%{?snapshotId}=%{snapshotId},%{?attributeType}=%{attributeType},%{?createVolumePermission}={%{operationType}={%{?items}=[{%{?userId}=%{userId}}]}}}"
| where operationType == "add" and cloud.account.id != userId
| keep @timestamp, aws.cloudtrail.user_identity.arn, cloud.account.id, event.action, snapshotId, attributeType, operationType, userId

框架: MITRE ATT&CKTM

« 通过承担角色获取 AWS EC2 管理员凭证 AWS EC2 加密已禁用 »