AWS RDS 数据库快照已创建

AWS RDS 数据库快照已创建编辑

识别何时创建 AWS RDS 数据库快照。攻击者可利用此操作来逃避防御，方法是绕过访问控制或通过将实例恢复到先前状态来掩盖其踪迹。这是一个[构建块规则](https://elastic.ac.cn/guide/en/security/current/building-block-rule.html)，本身不会生成警报。它旨在用于与其他规则关联以检测可疑活动。要生成警报，请创建使用此信号作为构建块的规则。

规则类型：查询

规则索引:

filebeat-*
logs-aws.cloudtrail-*

严重性：低

风险评分: 21

运行频率：10 分钟

搜索的索引范围：now-60m（日期数学格式，另请参阅额外的回溯时间）

每次执行的最大警报数: 100

参考：无

标签:

域：云
数据源：AWS
数据源：Amazon Web Services
数据源：AWS RDS
用例：资产可见性
策略：防御规避
规则类型：BBR

版本: 1

规则作者:

Elastic

规则许可证：Elastic 许可证 v2

规则查询编辑

event.dataset: "aws.cloudtrail" and event.provider: "rds.amazonaws.com"
    and event.action: ("CreateDBSnapshot" or "CreateDBClusterSnapshot") and event.outcome: "success"

框架：MITRE ATT&CK^TM

策略
- 名称：防御规避
- ID：TA0005
- 参考 URL：https://attack.mitre.org/tactics/TA0005/
技术
- 名称：修改云计算基础架构
- ID：T1578
- 参考 URL：https://attack.mitre.org/techniques/T1578/
子技术
- 名称：创建快照
- ID：T1578.001
- 参考 URL：https://attack.mitre.org/techniques/T1578/001/

« AWS RDS 数据库实例或集群密码已修改 AWS RDS 数据库快照已与另一个账户共享 »