将 AWS Lambda 层添加到现有函数
编辑将 AWS Lambda 层添加到现有函数编辑
识别何时将 Lambda 层添加到现有 Lambda 函数。AWS 层是一种跨多个函数共享代码和数据的方法。通过将层添加到现有函数，攻击者可以在函数的上下文中持久化或执行代码。
规则类型：查询
规则索引:
- filebeat-*
- logs-aws.cloudtrail-*
严重性：低
风险评分: 21
运行频率：10 分钟
搜索的索引范围：now-60m（日期数学格式，另请参阅 额外回溯时间）
每次执行的最大警报数: 100
参考:
标签:
- 域：云
- 数据源：AWS
- 数据源：Amazon Web Services
- 数据源：AWS Lambda
- 用例：威胁检测
- 策略：执行
版本: 1
规则作者:
- Elastic
规则许可证：Elastic License v2
调查指南编辑
分类和分析
调查将 AWS Lambda 层添加到现有函数
此规则检测何时将 Lambda 层添加到现有 Lambda 函数。AWS Lambda 层是一种在多个函数之间共享代码和数据的机制。通过将层添加到现有函数，攻击者可以在函数的上下文中持久化或执行代码。了解此类更改的上下文和合法性对于确定操作是良性还是恶意至关重要。
可能的调查步骤
-
识别参与者：查看
aws.cloudtrail.user_identity.arn和aws.cloudtrail.user_identity.access_key_id字段以识别谁进行了更改。验证此参与者是否通常执行此类操作以及他们是否具有必要的权限。 -
查看请求详细信息：检查
aws.cloudtrail.request_parameters以了解添加到 Lambda 函数的特定层。查找任何可能表明未经授权或恶意修改的异常参数。 -
分析请求来源：调查
source.ip和source.geo字段以确定请求的地理来源。外部或意外的位置可能表示凭据遭到泄露或未经授权的访问。 -
使用时间戳进行关联：使用
@timestamp字段检查更改发生的时间。在非工作时间或常规维护窗口之外进行的修改可能需要进一步审查。 - 与其他活动相关联：在此更改前后搜索相关的 CloudTrail 事件，以查看相同的参与者或 IP 地址是否参与了其他潜在的可疑活动。
误报分析
- 合法的管理操作：确认添加 Lambda 层是否与计划更新、开发活动或变更管理系统中记录的合法管理任务一致。
- 一致性检查：将操作与用户或组织内执行的类似操作的历史数据进行比较。如果该操作与过去的合法活动一致，则可能表示误报。
-
通过结果进行验证：检查
aws.cloudtrail.response_elements和event.outcome以确认更改是否成功以及是否按策略执行。
响应和补救措施
- 立即审查并在必要时撤消：如果更改未经授权，请从 Lambda 函数中删除添加的层，以缓解任何意外的代码执行或持久化。
- 增强监控和警报：调整监控系统以提醒类似的操作，尤其是涉及敏感功能或层的操作。
- 教育和培训：向拥有管理权限的用户提供有关 Lambda 函数管理和层使用的安全最佳实践重要性的额外培训。
- 审核 Lambda 函数和策略：对所有 Lambda 函数和关联策略进行全面审核，以确保它们遵循最小权限原则。
- 事件响应：如果有恶意企图或安全漏洞的迹象，请启动事件响应协议以减轻任何损害并防止将来发生。
其他信息
有关管理 Lambda 函数和保护 AWS 环境的更多指导，请参阅 AWS Lambda 文档 和 AWS 安全最佳实践。此外，有关 Lambda 层和持久化技术的具体详细信息，请参阅以下资源：- AWS Lambda 层持久化 - AWS API PublishLayerVersion - AWS API UpdateFunctionConfiguration
规则查询编辑
event.dataset: aws.cloudtrail
and event.provider: lambda.amazonaws.com
and event.outcome: success
and event.action: (PublishLayerVersion* or UpdateFunctionConfiguration)
框架：MITRE ATT&CKTM
-
策略
- 名称：执行
- ID：TA0002
- 参考 URL：https://attack.mitre.org/tactics/TA0002/
-
技术
- 名称：无服务器执行
- ID：T1648
- 参考 URL：https://attack.mitre.org/techniques/T1648/