将 AWS IAM 用户添加到组

将 AWS IAM 用户添加到组编辑

识别在 AWS 身份和访问管理 (IAM) 中将用户添加到指定组的操作。

规则类型：查询

规则索引:

严重性：低

风险评分: 21

运行频率：10 分钟

搜索索引范围：now-60m（日期数学格式，另请参阅额外的回溯时间）

每次执行的最大警报数: 100

参考:

标签:

版本: 209

规则作者:

规则许可证：Elastic 许可证 v2

分类和分析

调查将 AWS IAM 用户添加到组

AWS 身份和访问管理 (IAM) 为所有 AWS 提供细粒度的访问控制。借助 IAM，您可以指定谁可以在哪些条件下访问哪些服务和资源。借助 IAM 策略，您可以管理对员工和系统的权限，以确保最小权限原则。

此规则查找将用户添加到指定用户组的操作。

可能的调查步骤

误报分析

由于服务的预期用途，可能会出现误报。需要进行调整才能获得更高的置信度。考虑添加例外情况（最好结合用户代理和 IP 地址条件）以减少来自 onboarding 流程和管理员活动的噪音。

响应和修复

根据分类结果启动事件响应流程。
在调查和响应期间禁用或限制该帐户。
确定事件的可能影响并确定优先级；以下操作可以帮助您获得上下文信息
识别云环境中的帐户角色。
评估受影响服务和服务器的关键程度。
与您的 IT 团队合作，以最大程度地减少对用户的影响。
确定攻击者是否在横向移动并入侵其他帐户、服务器或服务。
确定与此活动相关的任何监管或法律后果。
调查攻击者入侵或使用的系统上的凭据泄露情况，以确保识别所有受损帐户。根据需要重置密码或删除 API 密钥，以撤销攻击者对环境的访问权限。在执行这些操作期间，与您的 IT 团队合作，以最大程度地减少对业务运营的影响。
检查是否创建了未经授权的新用户，删除未经授权的新帐户，并为其他 IAM 用户请求重置密码。
考虑为用户启用多重身份验证。
审查分配给相关用户的权限，以确保遵循最小权限原则。
实施 AWS 概述的安全最佳实践。
确定攻击者滥用的初始入侵点，并采取措施防止通过相同的入侵点再次感染。
使用事件响应数据更新日志记录和审核策略，以缩短平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

需要 AWS Fleet 集成、Filebeat 模块或类似结构的数据才能与此规则兼容。

event.dataset:aws.cloudtrail and event.provider:iam.amazonaws.com and event.action:AddUserToGroup and event.outcome:success

框架：MITRE ATT&CK^TM