AWS IAM AdministratorAccess 策略附加到用户

拥有被泄露凭证的攻击者可能会尝试通过将其他权限附加到被泄露的用户帐户来持久化或提升权限。此规则查找使用 IAM AttachUserPolicy API 操作将高权限 AdministratorAccess AWS 托管策略附加到现有 IAM 用户。

规则类型: esql

规则索引: 无

严重性: 中

风险评分: 47

运行频率: 5 分钟

搜索索引起始时间: now-6m ( Date Math 格式，另请参阅 额外回溯时间)

每次执行的最大警报数: 100

参考资料:

标签:

域：云
数据源：AWS
数据源：Amazon Web Services
数据源：AWS IAM
用例：身份和访问审计
战术：权限提升
战术：持久化
资源：调查指南

版本: 4

规则作者:

Elastic

规则许可证: Elastic License v2

调查指南

编辑

分类和分析

调查 AWS IAM AdministratorAccess 策略附加到用户

AWS IAM AdministratorAccess 托管策略提供对所有 AWS 服务和资源的完全访问权限。通过访问 iam:AttachUserPolicy 权限，可以使用一组被泄露的凭证将此策略附加到当前用户以进行权限提升，或者附加到另一个用户作为持久化的一种手段。此规则使用 ES|QL 来查找 AttachUserPolicy 操作的使用，以及 policyName 为 AdministratorAccess 的 request_parameters。

可能的调查步骤

确定帐户及其在环境中的角色。
查看用户身份的 IAM 权限策略。
确定应使用此帐户的应用程序或用户。
调查过去 48 小时内与该帐户关联的其他警报。
通过将 user_agent.original 字段中的异常值与预期和授权的使用情况以及历史数据进行比较，来调查该字段中的异常值。可疑的用户代理值包括非 SDK、AWS CLI、自定义用户代理等。
联系帐户所有者并确认他们是否知道此活动。
考虑发出命令的用户的源 IP 地址和地理位置
对于调用用户来说，它们看起来正常吗？
如果源是 EC2 IP 地址，它是否与您的某个帐户中的 EC2 实例关联，或者源 IP 是否来自不受您控制的 EC2 实例？
如果它是授权的 EC2 实例，该活动是否与实例角色或角色的正常行为相关？是否存在涉及此实例的其他警报或可疑活动的迹象？
如果您怀疑帐户已被入侵，请通过跟踪该帐户在过去 24 小时内访问的服务器、服务和数据来确定可能被入侵的资产范围。
确定用户发出了哪些其他 API 调用。
通过查找涉及其他用户的类似事件来评估此行为在环境中是否普遍。

误报分析

由于 IAM AdministratorAccess 托管策略的预期使用，可能会出现误报。验证 aws.cloudtrail.user_identity.arn 是否应具有 iam:AttachUserPolicy 权限，并且 target.userName 应被授予完全管理访问权限。

响应和补救

根据分类结果启动事件响应过程。
在调查和响应期间禁用或限制帐户。
轮换用户凭证
从受影响的用户中删除 AdministratorAccess 策略
确定事件的可能影响并相应地确定优先级；以下操作可以帮助您获得上下文
确定帐户在云环境中的角色。
评估受影响服务和服务器的严重性。
与您的 IT 团队合作，确定并最大限度地减少对用户的影响。
确定攻击者是否在横向移动并入侵其他帐户、服务器或服务。
确定与此活动相关的任何监管或法律影响。
调查被攻击者入侵或使用的系统上的凭证泄露情况，以确保识别所有被入侵的帐户。
根据需要轮换密钥或删除 API 密钥，以撤销攻击者对环境的访问权限。
与您的 IT 团队合作，以最大限度地减少这些操作期间对业务运营的影响。
检查是否创建了未经授权的新用户，删除未经授权的新帐户，并请求其他 IAM 用户重置密码。
考虑为用户启用多因素身份验证。
查看分配给相关用户的权限，以确保遵循最小权限原则。
实施 AWS 概述的安全最佳实践。
采取必要的行动，使受影响的系统、数据或服务恢复到正常的运行水平。
确定攻击者滥用的初始向量，并采取行动以防止通过同一向量再次感染。
使用事件响应数据，更新日志记录和审计策略，以提高平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

规则查询

编辑

from logs-aws.cloudtrail-* metadata _id, _version, _index
| where event.provider == "iam.amazonaws.com" and event.action == "AttachUserPolicy" and event.outcome == "success"
| dissect aws.cloudtrail.request_parameters "{%{?policyArn}=%{?arn}:%{?aws}:%{?iam}::%{?aws}:%{?policy}/%{policyName},%{?userName}=%{target.userName}}"
| where policyName == "AdministratorAccess"
| keep
    @timestamp,
    cloud.region,
    event.provider,
    event.action,
    event.outcome,
    policyName,
    target.userName,
    aws.cloudtrail.request_parameters,
    aws.cloudtrail.user_identity.arn,
    related.user,
    user_agent.original,
    user.name,
    source.address

框架: MITRE ATT&CK^TM

战术
- 名称：权限提升
- ID: TA0004
- 参考 URL：https://attack.mitre.org/tactics/TA0004/
技术
- 名称：帐户操纵
- ID: T1098
- 参考 URL：https://attack.mitre.org/techniques/T1098/
子技术
- 名称：其他云角色
- ID: T1098.003
- 参考 URL：https://attack.mitre.org/techniques/T1098/003/
战术
- 名称：持久化
- ID: TA0003
- 参考 URL：https://attack.mitre.org/tactics/TA0003/
技术
- 名称：帐户操纵
- ID: T1098
- 参考 URL：https://attack.mitre.org/techniques/T1098/
子技术
- 名称：其他云角色
- ID: T1098.003
- 参考 URL：https://attack.mitre.org/techniques/T1098/003/

« AWS IAM AdministratorAccess 策略附加到角色 AWS IAM 承担角色策略更新 »