AWS EC2 实例连接 SSH 公钥上传
编辑AWS EC2 实例连接 SSH 公钥上传编辑
识别何时使用 EC2 实例连接服务将新的 SSH 公钥上传到 AWS EC2 实例。此操作可能表明攻击者试图维持对实例的访问权限。该规则还会检测 SendSerialConsoleSSHPublicKey API 操作，如果启用了串行控制台，则可以使用该操作进行权限提升。监控这些活动有助于确保及时检测和缓解未经授权的访问尝试。
规则类型：查询
规则索引:
- filebeat-*
- logs-aws.cloudtrail-*
严重性：中等
风险评分: 47
运行间隔：5 分钟
搜索索引范围：now-9m（日期数学格式，另请参阅其他回溯时间）
每次执行的最大警报数: 100
参考:
- https://stratus-red-team.cloud/attack-techniques/AWS/aws.lateral-movement.ec2-instance-connect/
- https://cloud.hacktricks.xyz/pentesting-cloud/aws-security/aws-privilege-escalation/aws-ec2-privesc
- https://medium.parttimepolymath.net/aws-ec2-instance-connect-a-very-neat-trick-4d2fc0c28010
- https://docs.aws.amazon.com/ec2-instance-connect/latest/APIReference/API_SendSSHPublicKey.html
- https://docs.aws.amazon.com/ec2-instance-connect/latest/APIReference/API_SendSerialConsoleSSHPublicKey.html
标签:
- 域：云
- 数据源：AWS
- 数据源：Amazon Web Services
- 数据源：AWS EC2
- 用例：身份和访问审计
- 战术：权限提升
版本: 1
规则作者:
- Elastic
规则许可证：Elastic 许可证 v2
调查指南编辑
分类和分析
调查 AWS EC2 实例连接 SSH 公钥上传
此规则检测何时使用 EC2 实例连接服务将新的 SSH 公钥上传到 AWS EC2 实例。攻击者可能会将 SSH 公钥上传到 EC2 实例以维持对实例的访问权限。该规则还涵盖了使用 SendSerialConsoleSSHPublicKey API 操作将 SSH 公钥上传到串行连接的情况，这可能会被利用进行权限提升。
可能的调查步骤
-
识别操作者：查看
aws.cloudtrail.user_identity.arn和aws.cloudtrail.user_identity.access_key_id字段以识别谁执行了该操作。验证此操作者是否通常执行此类操作以及他们是否具有必要的权限。 -
查看请求详细信息：检查
aws.cloudtrail.request_parameters以了解 SSH 公钥上传的具体细节。查找任何可能表明未经授权或恶意修改的不寻常参数。 -
分析请求来源：调查
source.ip和source.geo字段以确定请求的地理来源。外部或意外位置可能表示凭据泄露或未经授权的访问。 -
根据时间戳进行关联：使用
@timestamp字段检查 SSH 公钥上传的时间。在非营业时间或常规维护窗口之外进行的更改可能需要进一步审查。 - 与其他活动关联：搜索此操作前后相关的 CloudTrail 事件，以查看相同的操作者或 IP 地址是否参与了其他潜在的可疑活动。
-
检查串行控制台访问：如果使用了
SendSerialConsoleSSHPublicKey操作，请验证是否还使用了ec2:EnableSerialConsoleAccess权限，这可能表明尝试启用和利用串行控制台。
误报分析
- 合法的管理操作：确认 SSH 公钥上传是否与更改管理系统中记录的计划更新、开发活动或合法管理任务相一致。
- 一致性检查：将该操作与用户或组织内执行的类似操作的历史数据进行比较。如果该操作与过去的合法活动一致，则可能表示误报。
-
通过结果进行验证：检查
aws.cloudtrail.response_elements和event.outcome以确认上传是否成功以及是否符合策略预期。
响应和修复
- 立即审查并在必要时撤消：如果上传未经授权，请从 EC2 实例中删除上传的 SSH 公钥，并查看实例的访问日志以查找任何可疑活动。
- 增强监控和警报：调整监控系统以对类似操作发出警报，尤其是那些涉及敏感实例或异常文件扩展名的操作。
- 教育和培训：向具有管理权限的用户提供有关 SSH 密钥管理安全最佳实践重要性以及未经授权密钥上传风险的额外培训。
- 审核 EC2 实例策略和权限：对所有 EC2 实例策略和相关权限进行全面审核，以确保它们遵循最小权限原则。
- 事件响应：如果有恶意企图或安全漏洞的迹象，请启动事件响应协议以减轻任何损害并防止未来再次发生。
其他信息
有关管理 EC2 实例和保护 AWS 环境的更多指导，请参阅AWS EC2 实例连接文档和 AWS 安全最佳实践。此外，有关 SSH 密钥管理和权限提升技术的具体细节，请参阅以下资源： - Stratus Red Team - AWS EC2 实例连接 - HackTricks - AWS EC2 权限提升 - AWS EC2 实例连接 API 参考
规则查询编辑
event.dataset: aws.cloudtrail
and event.provider: ec2-instance-connect.amazonaws.com
and event.action: (SendSSHPublicKey or SendSerialConsoleSSHPublicKey)
and event.outcome: success
框架：MITRE ATT&CKTM
-
战术
- 名称：权限提升
- ID：TA0004
- 参考 URL：https://attack.mitre.org/tactics/TA0004/
-
技术
- 名称：帐户操纵
- ID：T1098
- 参考 URL：https://attack.mitre.org/techniques/T1098/
-
子技术
- 名称：SSH 授权密钥
- ID：T1098.004
- 参考 URL：https://attack.mitre.org/techniques/T1098/004/