向用户附加 AWS IAM AdministratorAccess 策略

向用户附加 AWS IAM AdministratorAccess 策略编辑

可以访问一组受损凭据的攻击者可能会尝试通过向受损用户帐户附加额外权限来维持或提升权限。此规则查找使用 IAM AttachUserPolicy API 操作将高度许可的 AdministratorAccess AWS 托管策略附加到现有 IAM 用户的情况。

规则类型: esql

规则索引: 无

严重性: 中

风险评分: 47

运行频率: 5 分钟

搜索的索引范围: now-10m（日期数学格式，另请参阅 额外的回溯时间）

每次执行的最大警报数: 100

参考:

标签:

域: 云
数据源: AWS
数据源: Amazon Web Services
数据源: AWS IAM
用例: 身份和访问审计
策略: 权限提升
策略: 持久化
资源: 调查指南

版本: 1

规则作者:

Elastic

规则许可证: Elastic 许可证 v2

调查指南编辑

分类和分析

调查向用户附加 AWS IAM AdministratorAccess 策略

AWS IAM AdministratorAccess 托管策略提供对所有 AWS 服务和资源的完全访问权限。通过访问 iam:AttachUserPolicy 权限，可以使用一组受损凭据将此策略附加到当前用户以提升权限，或附加到另一个用户以实现持久化。此规则使用 ES|QL 来查找使用 AttachUserPolicy 操作以及 policyName 为 AdministratorAccess 的 request_parameters 的情况。

可能的调查步骤

确定帐户及其在环境中的角色。
查看用户身份的 IAM 权限策略。
确定应使用此帐户的应用程序或用户。
调查过去 48 小时内与此帐户相关的其他警报。
通过将 user_agent.original 字段中的异常值与预期和授权的使用情况以及历史数据进行比较，来调查异常值。可疑的用户代理值包括非 SDK、AWS CLI、自定义用户代理等。
联系帐户所有者，确认他们是否知道此活动。
考虑发出命令的用户的源 IP 地址和地理位置
它们对于调用用户来说是否正常？
如果源是 EC2 IP 地址，它是否与您某个帐户中的 EC2 实例相关联，或者源 IP 是否来自不受您控制的 EC2 实例？
如果是授权的 EC2 实例，则该活动是否与实例角色的正常行为相关联？是否存在与此实例相关的任何其他警报或可疑活动迹象？
如果您怀疑该帐户已被盗用，请通过跟踪该帐户在过去 24 小时内访问的服务器、服务和数据来确定可能已被盗用的资产范围。
确定用户还进行了哪些其他 API 调用。
通过查找涉及其他用户的类似事件，评估此行为在环境中是否普遍存在。

误报分析

由于 IAM AdministratorAccess 托管策略的预期用途，可能会出现误报。验证 aws.cloudtrail.user_identity.arn 应具有 iam:AttachUserPolicy 权限，并且 target.userName 应被授予完全管理访问权限。

响应和修复

根据分类结果启动事件响应流程。
在调查和响应期间禁用或限制该帐户。
轮换用户凭据
从受影响的用户中删除 AdministratorAccess 策略
确定事件的可能影响并确定优先级；以下操作可以帮助您了解上下文
确定帐户在云环境中的角色。
评估受影响服务和服务器的关键程度。
与您的 IT 团队合作，确定并最大程度地减少对用户的影响。
确定攻击者是否正在横向移动并盗用其他帐户、服务器或服务。
确定与此活动相关的任何监管或法律后果。
调查攻击者盗用或使用的系统上的凭据泄露情况，以确保识别所有受损帐户。
根据需要轮换密钥或删除 API 密钥，以撤销攻击者对环境的访问权限。
与您的 IT 团队合作，在这些操作过程中最大程度地减少对业务运营的影响。
检查是否创建了未经授权的新用户，删除未经授权的新帐户，并为其他 IAM 用户请求密码重置。
考虑为用户启用多重身份验证。
查看分配给相关用户的权限，以确保遵循最小权限原则。
实施 AWS 概述的安全最佳实践。
采取必要措施，使受影响的系统、数据或服务恢复到正常运行级别。
确定攻击者滥用的初始向量，并采取措施防止通过同一向量再次感染。
使用事件响应数据更新日志记录和审计策略，以缩短平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

规则查询编辑

from logs-aws.cloudtrail-*
| where event.provider == "iam.amazonaws.com" and event.action == "AttachUserPolicy" and event.outcome == "success"
| dissect aws.cloudtrail.request_parameters "{%{?policyArn}=%{?arn}:%{?aws}:%{?iam}::%{?aws}:%{?policy}/%{policyName},%{?userName}=%{target.userName}}"
| where policyName == "AdministratorAccess"
| keep @timestamp, aws.cloudtrail.user_identity.arn, aws.cloudtrail.user_identity.access_key_id, event.action, policyName, target.userName, user_agent.original, source.address, source.geo.location
| sort aws.cloudtrail.user_identity.arn

框架: MITRE ATT&CK^TM

策略
- 名称: 权限提升
- ID: TA0004
- 参考 URL: https://attack.mitre.org/tactics/TA0004/
技术
- 名称: 帐户操纵
- ID: T1098
- 参考 URL: https://attack.mitre.org/techniques/T1098/
子技术
- 名称: 附加云角色
- ID: T1098.003
- 参考 URL: https://attack.mitre.org/techniques/T1098/003/
策略
- 名称: 持久化
- ID: TA0003
- 参考 URL: https://attack.mitre.org/tactics/TA0003/
技术
- 名称: 帐户操纵
- ID: T1098
- 参考 URL: https://attack.mitre.org/techniques/T1098/
子技术
- 名称: 附加云角色
- ID: T1098.003
- 参考 URL: https://attack.mitre.org/techniques/T1098/003/

« 向角色附加 AWS IAM AdministratorAccess 策略 AWS IAM Assume Role 策略更新 »