› › ›

AWS 管理控制台根用户登录

编辑

AWS 管理控制台根用户登录

编辑

识别根用户成功登录 AWS 管理控制台的行为。

规则类型: 查询

规则索引:

filebeat-*
logs-aws.cloudtrail-*

严重性: 中

风险评分: 47

运行频率: 10 分钟

搜索索引时间范围: now-60m (日期数学格式，另请参阅 额外回溯时间)

每次执行的最大警报数: 100

参考:

https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html

标签:

域：云
数据源：AWS
数据源：Amazon Web Services
数据源：AWS 登录
用例：身份和访问审计
资源：调查指南
策略：初始访问

版本: 209

规则作者:

Elastic

规则许可证: Elastic License v2

调查指南

编辑

分类和分析

调查 AWS 管理控制台根用户登录

AWS 根账户是创建 AWS 账户时创建的，它拥有对账户中所有 AWS 服务和资源的完全访问权限。AWS 强烈建议您不要将根用户用于日常任务，即使是管理任务。相反，请遵循最佳实践，仅使用根用户创建您的第一个 IAM 用户。然后安全地锁定根用户凭据，仅使用它们执行少数账户和服务管理任务。AWS 提供了一个需要根用户的任务列表。

此规则查找以根用户身份登录 AWS 管理控制台的尝试。

可能的调查步骤

调查过去 48 小时内与该用户账户相关的其他警报。
通过查找日志中过去发生的事件，检查此活动在环境中是否常见。
考虑发出命令的调用用户的源 IP 地址和地理位置。对于调用用户而言，它们看起来正常吗？
检查过去 24 小时内该账户执行的命令、API 调用和数据管理操作。
联系账户所有者，并确认他们是否了解此活动。
如果您怀疑账户已被泄露，请通过跟踪过去 24 小时内账户访问的服务器、服务和数据来确定可能受损的资产范围。

误报分析

如果此操作是在变更管理下完成的，并且根据组织执行需要此权限级别的任务的策略获得批准，则可以忽略该警报。

响应和补救

根据分类结果启动事件响应流程。
确定事件可能造成的影响并相应地确定优先级；以下操作可以帮助您了解情况
确定云环境中账户的角色。
确定所涉及的服务或服务器的严重程度。
与您的 IT 团队合作，确定并最大限度地减少对用户的影响。
确定攻击者是否正在横向移动并危及其他账户、服务器或服务。
确定是否存在与此活动相关的任何监管或法律影响。
为用户配置多因素身份验证。
遵循 AWS 概述的安全最佳实践。
使用事件响应数据，更新日志记录和审计策略，以改进平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

设置

编辑

需要 AWS Fleet 集成、Filebeat 模块或类似结构的数据才能与此规则兼容。

规则查询

编辑

event.dataset:aws.cloudtrail and event.provider:signin.amazonaws.com and event.action:ConsoleLogin and aws.cloudtrail.user_identity.type:Root and event.outcome:success

框架: MITRE ATT&CK^TM

策略
- 名称：初始访问
- ID：TA0001
- 参考 URL：https://attack.mitre.org/tactics/TA0001/
技术
- 名称：有效账户
- ID：T1078
- 参考 URL：https://attack.mitre.org/techniques/T1078/
策略
- 名称：持久性
- ID：TA0003
- 参考 URL：https://attack.mitre.org/tactics/TA0003/
技术
- 名称：有效账户
- ID：T1078
- 参考 URL：https://attack.mitre.org/techniques/T1078/

« AWS 管理控制台根用户身份暴力破解 AWS RDS 集群创建 »