« 添加了 AWS S3 存储桶过期生命周期配置 使用外部 KMS 密钥进行 AWS S3 对象加密 »
Elastic 文档 ›Elastic 安全解决方案 [8.14] ›检测和警报 ›预构建规则参考

添加了与外部账户共享的 AWS S3 存储桶策略

编辑

添加了与外部账户共享的 AWS S3 存储桶策略编辑

识别将 AWS S3 存储桶策略更改为与外部账户共享权限的操作。攻击者可能会尝试通过与外部账户共享 S3 存储桶来进行后门攻击。这可用于窃取数据或向其他攻击者提供访问权限。此规则通过 PutBucketPolicy API 调用识别存储桶策略的更改，其中该策略包含一个不包含存储桶所有者 AWS 账户 ID 的 Effect=Allow 语句。

规则类型：eql

规则索引:

  • filebeat-*
  • logs-aws.cloudtrail-*

严重程度：中等

风险评分: 47

运行间隔：5 分钟

搜索索引范围：无（日期数学格式，另请参阅 额外回溯时间）

每次执行的最大警报数: 100

参考:

标签:

  • 域：云
  • 数据源：AWS
  • 数据源：Amazon Web Services
  • 数据源：AWS S3
  • 用例：威胁检测
  • 战术：数据窃取

版本: 1

规则作者:

  • Elastic

规则许可证：Elastic License v2

调查指南编辑

分类和分析

调查将 AWS S3 存储桶策略更改为与外部账户共享的操作

此规则检测何时将 AWS S3 存储桶策略更改为与外部账户共享权限。攻击者可能会尝试通过与外部账户共享 S3 存储桶来进行后门攻击，以窃取数据或向其他攻击者提供访问权限。此规则通过 PutBucketPolicy API 调用识别存储桶策略的更改，其中该策略包含一个不包含存储桶所有者 AWS 账户 ID 的 Effect=Allow 语句。

可能的调查步骤

  • 识别操作者：查看 aws.cloudtrail.user_identity.arn 和 aws.cloudtrail.user_identity.access_key_id 字段以识别进行更改的用户。验证此操作者是否通常执行此类操作以及他们是否具有必要的权限。
  • 查看请求详细信息：检查 aws.cloudtrail.request_parameters 以了解对存储桶策略所做的具体更改。查找任何可能表明未经授权或恶意修改的异常参数。
  • 分析请求来源：调查 source.ip 和 source.geo 字段以确定请求的地理来源。外部或意外的位置可能表明凭据已泄露或未经授权的访问。
  • 结合时间戳进行关联分析：使用 @timestamp 字段检查更改发生的时间。在非营业时间或常规维护窗口之外进行的修改可能需要进一步审查。
  • 与其他活动相关联：搜索此更改前后相关的 CloudTrail 事件，以查看同一操作者或 IP 地址是否参与了其他潜在的可疑活动。

误报分析

  • 合法的管理操作：确认存储桶策略更改是否与计划的更新、开发活动或变更管理系统中记录的合法管理任务一致。
  • 一致性检查：将操作与用户或组织内执行的类似操作的历史数据进行比较。如果该操作与过去的合法活动一致，则可能表明是误报。
  • 通过结果进行验证：检查 aws.cloudtrail.response_elements 和 event.outcome 以确认更改是否成功以及是否按预期策略执行。

响应和修复

  • 立即审查并在必要时回滚：如果更改未经授权，请更新存储桶策略以删除任何未经授权的权限并将其恢复到先前状态。
  • 增强监控和警报：调整监控系统以对类似操作发出警报，尤其是涉及敏感数据或权限的操作。
  • 教育和培训：为具有管理权限的用户提供有关存储桶策略管理和共享权限的安全最佳实践重要性的额外培训。
  • 审计存储桶策略和权限：对所有存储桶策略和关联权限进行全面审计，以确保它们遵循最小权限原则。
  • 事件响应：如果有恶意企图或安全漏洞的迹象，请启动事件响应协议以减轻任何损害并防止未来再次发生。

其他信息

有关管理 S3 存储桶策略和保护 AWS 环境的更多指导，请参阅 AWS S3 文档 和 AWS 安全最佳实践。

设置编辑

设置

必须在 AWS CloudTrail 日志中收集 S3 数据事件类型。有关更多信息，请参阅 AWS 文档。

规则查询编辑

any where event.dataset == "aws.cloudtrail"
    and event.provider == "s3.amazonaws.com"
    and event.action == "PutBucketPolicy" and event.outcome == "success"
    and stringContains(aws.cloudtrail.request_parameters, "Effect=Allow")
    and not stringContains(aws.cloudtrail.request_parameters, aws.cloudtrail.recipient_account_id)

框架：MITRE ATT&CKTM

« 添加了 AWS S3 存储桶过期生命周期配置 使用外部 KMS 密钥进行 AWS S3 对象加密 »