› › ›

与另一个帐户共享的 AWS RDS 数据库快照

与另一个帐户共享的 AWS RDS 数据库快照编辑

识别与另一个 AWS 帐户共享的 AWS RDS 数据库快照。数据库快照包含整个数据库实例的完整备份，包括敏感数据，如果与未经授权的帐户共享或公开，则可能会被滥用。攻击者可能会使用快照在他们控制的环境中恢复数据库实例，作为数据窃取的一种手段。

规则类型：eql

规则索引:

filebeat-*
logs-aws.cloudtrail-*

严重程度：中等

风险评分: 47

运行频率：5 分钟

搜索的索引范围：now-10m（日期数学格式，另请参阅额外回溯时间）

每次执行的最大警报数: 100

参考:

标签:

域：云
数据源：AWS
数据源：Amazon Web Services
数据源：AWS RDS
资源：调查指南
用例：威胁检测
策略：数据窃取

版本: 1

规则作者:

Elastic

规则许可证：Elastic License v2

调查指南编辑

分类和分析

调查与另一个帐户共享的 AWS RDS 数据库快照

此规则在 RDS 数据库快照与另一个 AWS 帐户共享时发出标识。虽然共享数据库快照是一种常见做法，但攻击者可能会利用此功能通过与受其控制的外部帐户共享快照来窃取数据。

可能的调查步骤

识别操作者：查看 aws.cloudtrail.user_identity.arn 和 aws.cloudtrail.user_identity.access_key_id 字段，以识别进行更改的人员。验证此操作者是否通常执行此类操作以及他们是否具有必要的权限。
查看共享事件：识别涉及的数据库快照并查看事件详细信息。查找 ModifyDBSnapshotAttribute 或 ModifyDBClusterSnapshotAttribute 操作，其中快照属性已更改为包含其他用户帐户。
请求和响应参数：检查 CloudTrail 事件中的 aws.cloudtrail.request_parameters 和 aws.cloudtrail.response_elements 字段，以识别数据库快照标识符和与其共享快照的帐户 ID。
验证共享快照：检查已共享的数据库快照及其内容，以确定存储在其中的数据的敏感性。
验证外部帐户：检查与其共享快照的 AWS 帐户。确定此帐户是否已知并事先获得授权可以访问此类资源。
与最近的更改进行关联：将此共享事件与 RDS 数据库或集群配置和部署中的最近更改进行比较。查找任何其他最近的权限更改或异常的管理操作。
与其他活动相关联：在此更改前后搜索相关的 CloudTrail 事件，以查看同一操作者或 IP 地址是否参与了其他潜在的可疑活动。
与相关人员面谈：如果共享是由用户发起的，请与负责管理数据库备份和快照的人员或团队核实此操作的意图和授权。

误报分析

合法的备份操作：确认数据库快照共享是否与计划的备份或合法的自动化任务一致。
一致性检查：将操作与用户或组织内执行的类似操作的历史数据进行比较。如果操作与过去的合法活动一致，则可能表示误报。

响应和修复

立即审查和撤销：如果更改未经授权，请更新快照权限以删除任何未经授权的帐户，并将其恢复到以前的状态。
增强监控和警报：调整监控系统以对类似操作发出警报，尤其是那些涉及敏感数据或权限的操作。
审计快照和策略：对所有快照和关联策略进行全面审计，以确保它们遵循最小权限原则。
策略更新：审查并可能更新组织关于数据库快照共享的策略，以加强控制并防止未经授权的访问。
事件响应：如果确认存在恶意意图，请将其视为数据泄露事件并启动事件响应协议。这包括进一步调查、遏制和恢复。

其他信息

有关管理数据库备份和保护 AWS 环境的进一步指导，请参阅 AWS RDS 文档和 AWS 安全最佳实践。此外，有关数据库快照安全的具体详细信息，请参阅以下资源：- AWS RDS 数据库快照共享 - AWS RDS ModifyDBSnapshotAttribute - AWS RDS 快照转储

规则查询编辑

any where event.dataset == "aws.cloudtrail"
    and event.provider == "rds.amazonaws.com"
    and event.outcome == "success"
    and event.action in ("ModifyDBSnapshotAttribute", "ModifyDBClusterSnapshotAttribute")
    and stringContains(aws.cloudtrail.request_parameters, "attributeName=restore")
    and stringContains(aws.cloudtrail.request_parameters, "valuesToAdd=[*]")

框架：MITRE ATT&CK^TM

策略
- 名称：数据窃取
- ID：TA0010
- 参考 URL：https://attack.mitre.org/tactics/TA0010/
技术
- 名称：将数据传输到云帐户
- ID：T1537
- 参考 URL：https://attack.mitre.org/techniques/T1537/

« AWS RDS 数据库快照已创建 AWS RDS 实例创建 »