› › ›

AWS 管理控制台根用户登录

编辑

AWS 管理控制台根用户登录编辑

识别由根用户成功登录 AWS 管理控制台。

规则类型：查询

规则索引:

filebeat-*
logs-aws.cloudtrail-*

严重性：中等

风险评分: 47

运行频率：10 分钟

搜索索引范围：now-60m（日期数学格式，另请参阅 额外的回溯时间）

每次执行的最大警报数: 100

参考资料:

https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html

标签:

域：云
数据源：AWS
数据源：Amazon Web Services
数据源：AWS 登录
用例：身份和访问审计
资源：调查指南
策略：初始访问

版本: 209

规则作者:

Elastic

规则许可证：Elastic 许可证 v2

调查指南编辑

分类和分析

调查 AWS 管理控制台根用户登录

AWS 根帐户是具有对帐户中所有 AWS 服务和资源的完全访问权限的唯一身份，它在创建 AWS 帐户时创建。 AWS 强烈建议您不要将根用户用于日常任务，即使是管理任务。相反，请坚持最佳实践，仅使用根用户创建您的第一个 IAM 用户。然后安全地锁定根用户凭证，并使用它们仅执行少数帐户和服务管理任务。 AWS 提供了需要根用户的任务列表。

此规则查找以根用户身份登录 AWS 管理控制台的尝试。

可能的调查步骤

调查在过去 48 小时内与用户帐户相关的其他警报。
通过查看日志中过去的事件，检查此活动在环境中是否常见。
考虑发出命令的调用用户的源 IP 地址和地理位置。它们对于调用用户来说是否正常？
检查该帐户在过去 24 小时内执行的命令、API 调用和数据管理操作。
联系帐户所有者，确认他们是否知道此活动。
如果您怀疑该帐户已被盗用，请通过跟踪对过去 24 小时内该帐户访问的服务器、服务和数据的访问来确定可能被盗用的资产范围。

误报分析

如果此操作是在变更管理下完成的，并且根据组织执行需要此权限级别的任务的策略获得批准，则可以解除警报。

响应和修复

根据分类的结果启动事件响应流程。
确定事件的可能影响并确定优先级；以下操作可以帮助您了解上下文
确定云环境中的帐户角色。
确定涉及的关键服务或服务器。
与您的 IT 团队合作，确定并最大限度地减少对用户的影响。
确定攻击者是否正在横向移动并盗用其他帐户、服务器或服务。
确定与此活动相关的任何监管或法律后果。
为用户配置多重身份验证。
遵循 AWS 概述的安全最佳实践。
使用事件响应数据，更新日志记录和审计策略，以缩短平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

设置编辑

要与此规则兼容，需要 AWS Fleet 集成、Filebeat 模块或类似结构的数据。

规则查询编辑

event.dataset:aws.cloudtrail and event.provider:signin.amazonaws.com and event.action:ConsoleLogin and aws.cloudtrail.user_identity.type:Root and event.outcome:success

框架：MITRE ATT&CK^TM

策略
- 名称：初始访问
- ID：TA0001
- 参考网址：https://attack.mitre.org/tactics/TA0001/
技术
- 名称：有效帐户
- ID：T1078
- 参考网址：https://attack.mitre.org/techniques/T1078/
策略
- 名称：持久化
- ID：TA0003
- 参考网址：https://attack.mitre.org/tactics/TA0003/
技术
- 名称：有效帐户
- ID：T1078
- 参考网址：https://attack.mitre.org/techniques/T1078/

« AWS 管理控制台暴力破解根用户身份 AWS RDS 集群创建 »