« AWS IAM 假设角色策略更新 AWS IAM 泄露密钥隔离策略附加到用户 »
Elastic 文档 ›Elastic 安全解决方案 [8.17] ›检测和告警 ›预构建规则参考

AWS IAM 假设角色策略暴力破解

编辑

AWS IAM 假设角色策略暴力破解

编辑

识别大量尝试假设 AWS 身份和访问管理 (IAM) 角色的失败尝试。IAM 角色用于将访问权限委派给用户或服务。攻击者可能会尝试枚举 IAM 角色，以确定在尝试假设或劫持已发现的角色之前，该角色是否存在。

规则类型: 阈值

规则索引:

  • filebeat-*
  • logs-aws.cloudtrail-*

严重性: 中

风险评分: 47

运行频率: 5 分钟

搜索索引时间范围: now-20m (日期数学格式，另请参阅附加回溯时间)

每次执行的最大告警数: 100

参考:

标签:

  • 领域: 云
  • 数据源: AWS
  • 数据源: 亚马逊云服务
  • 用例: 身份和访问审计
  • 资源: 调查指南
  • 策略: 凭证访问

版本: 210

规则作者:

  • Elastic

规则许可证: Elastic License v2

调查指南

编辑

分类和分析

调查 AWS IAM 假设角色策略暴力破解

IAM 角色是可以在您的账户中创建的 IAM 身份，它具有特定的权限。IAM 角色类似于 IAM 用户，因为它是一个具有权限策略的 AWS 身份，该策略决定了该身份在 AWS 中可以做什么和不能做什么。但是，与唯一关联于某个人的用户不同，角色旨在供任何需要它的人承担。此外，角色没有标准的长期凭据，例如与之关联的密码或访问密钥。相反，当您承担角色时，它会为您的角色会话提供临时安全凭据。

攻击者可能会尝试枚举 IAM 角色，以确定在尝试假设或劫持已发现的角色之前，该角色是否存在。

可能的调查步骤

  • 识别执行操作的用户帐户，并确定它是否应执行此类操作。
  • 验证 RoleName 参数是否在所有请求中都包含唯一值，或者该活动是否可能是暴力破解攻击。
  • 验证用户帐户是否在过去 24 小时内成功更新了信任策略。
  • 通过在日志中查找过去的事件，检查此角色是否在环境中存在。
  • 调查过去 48 小时内与用户帐户相关的其他告警。
  • 联系帐户和资源所有者，并确认他们是否了解此活动。
  • 考虑一天中的时间。如果用户是人类（而不是程序或脚本），那么该活动是否发生在正常的一天时间？
  • 检查过去 24 小时内帐户的命令、API 调用和数据管理操作。
  • 如果您怀疑帐户已被入侵，请通过跟踪过去 24 小时内帐户访问的服务器、服务和数据来确定可能被入侵的资产范围。

误报分析

  • 验证失败尝试中针对的角色，以及目标角色先前是否在环境中存在。如果请求中只针对一个角色，并且该角色先前存在，则可能是误报，因为自动化可以继续针对过去环境中存在的角色，从而导致误报（FP）。

响应和补救

  • 根据分类的结果启动事件响应过程。
  • 在调查和响应期间禁用或限制该帐户。
  • 确定事件的可能影响并相应地确定优先级；以下操作可以帮助您获得上下文
  • 识别云环境中的帐户角色。
  • 评估受影响的服务和服务器的关键性。
  • 与您的 IT 团队合作，以识别和最大限度地减少对用户的影响。
  • 确定攻击者是否正在横向移动并入侵其他帐户、服务器或服务。
  • 确定与此活动相关的任何监管或法律后果。
  • 调查在被攻击者入侵或使用的系统上是否存在凭据泄露，以确保识别所有被入侵的帐户。根据需要重置密码或删除 API 密钥，以撤销攻击者对环境的访问权限。在这些操作期间，与您的 IT 团队合作，以最大限度地减少对业务运营的影响。
  • 检查是否创建了未经授权的新用户，删除未经授权的新帐户，并请求其他 IAM 用户重置密码。
  • 考虑为用户启用多因素身份验证。
  • 审查分配给相关用户的权限，以确保遵循最小权限原则。
  • 实施 AWS 概述的安全最佳实践。
  • 确定攻击者滥用的初始向量，并采取行动以防止通过同一向量再次感染。
  • 使用事件响应数据，更新日志记录和审计策略，以提高平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

设置

编辑

需要 AWS Fleet 集成、Filebeat 模块或类似结构的数据才能与此规则兼容。

规则查询

编辑
event.dataset:aws.cloudtrail and
  event.provider:iam.amazonaws.com and event.action:UpdateAssumeRolePolicy and
  aws.cloudtrail.error_code:MalformedPolicyDocumentException and event.outcome:failure

框架: MITRE ATT&CKTM

« AWS IAM 假设角色策略更新 AWS IAM 泄露密钥隔离策略附加到用户 »