« 通过 Windows BITS 的入站传输 InstallUtil 活动 »
Elastic 文档 ›Elastic Security Solution [8.17] ›检测和警报 ›预构建规则参考

添加不安全的 AWS EC2 VPC 安全组入站规则

编辑

添加不安全的 AWS EC2 VPC 安全组入站规则

编辑

识别何时为 AWS EC2 中的 VPC 安全组添加或调整了指定的入站（入口）规则。 此规则检测何时添加允许来自任何 IP 地址或来自特定 IP 地址到常见远程访问端口（例如 22 (SSH) 或 3389 (RDP)）的流量的安全组规则。攻击者可能会添加这些规则，以允许从任何位置远程访问 VPC 实例，从而增加攻击面并可能将实例暴露于未经授权的访问。

规则类型: 查询

规则索引:

  • filebeat-*
  • logs-aws.cloudtrail-*

严重性: 中

风险评分: 47

运行频率: 10 分钟

搜索索引的时间范围: now-60m (日期数学格式，另请参阅 额外回溯时间)

每次执行的最大警报数: 100

参考文献:

标签:

  • 域：云
  • 数据源：AWS
  • 数据源：Amazon Web Services
  • 数据源：AWS EC2
  • 用例：威胁检测
  • 策略：防御规避

版本: 1

规则作者:

  • Elastic

规则许可证: Elastic License v2

调查指南

编辑

分类和分析

调查添加不安全的 AWS EC2 VPC 安全组入站规则

此规则检测到向 VPC 安全组添加允许来自任何 IP 地址（0.0.0.0/0 或 ::/0）到常用远程访问敏感端口（例如 SSH (端口 22) 和 RDP (端口 3389)）的流量的入口规则。 此配置更改可能会显著增加 EC2 实例暴露于潜在威胁的风险，因此了解此类更改的上下文和合法性至关重要。

可能的调查步骤

  • 识别行为者：查看 aws.cloudtrail.user_identity.arn 和 aws.cloudtrail.user_identity.access_key_id 字段，以确定谁进行了更改。 调查此行为者是否具有必要的权限并且通常执行这些操作。
  • 查看请求详细信息：检查 aws.cloudtrail.request_parameters 以了解对安全组所做的确切更改。 检查是否存在任何可能暗示配置错误或恶意意图的异常参数。
  • 分析请求的来源：查看 source.ip 和 source.geo 字段以确定请求的地理来源。 外部或不寻常的位置可能表明凭据已泄露。
  • 结合时间戳进行情境化：使用 @timestamp 字段检查更改发生的时间。 在典型工作时间之外进行的修改可能需要额外的审查。
  • 与其他活动相关联：在此更改之前和之后搜索相关的 CloudTrail 事件，以查看同一行为者是否参与了其他可能可疑的活动。

误报分析

  • 合法的管理操作：验证入口规则更改是否与计划的更新、维护活动或变更管理工单或系统中记录的合法管理任务一致。
  • 一致性检查：将操作与用户或组织内执行的类似操作的历史数据进行比较。 与过去合法操作的一致性可能表示误报。
  • 通过结果验证：检查 aws.cloudtrail.response_elements 和 event.outcome 以确认更改是否成功且是否符合策略预期。

响应和补救

  • 如有必要，立即审查和撤销：如果更改未经授权，请将安全组规则恢复到之前的状态，以关闭任何意外访问。
  • 增强监控和警报：调整监控系统，以警报类似的的安全组更改，尤其是那些允许从任何 IP 地址访问已知端口的更改。
  • 教育和培训：为具有管理权限的用户提供关于安全组管理的安全最佳实践重要性的额外培训。
  • 审核安全组和策略：对所有安全组和相关策略进行全面审核，以确保它们符合最小权限原则。
  • 事件响应：如果出现恶意意图或安全漏洞的迹象，请启动事件响应协议，以减轻任何损害并防止未来再次发生。

附加信息

有关管理安全组规则和保护 AWS 环境的更多指导，请参阅 Amazon VPC 安全组文档和 AWS 安全最佳实践。

规则查询

编辑
event.dataset: "aws.cloudtrail"
    and event.provider: ec2.amazonaws.com
    and event.action: AuthorizeSecurityGroupIngress
    and event.outcome: success
    and aws.cloudtrail.flattened.request_parameters.cidrIp: ("0.0.0.0/0" or "::/0")
    and aws.cloudtrail.flattened.request_parameters.fromPort: (
        21 or 22 or 23 or 445 or 3389 or 5985 or 5986)

框架: MITRE ATT&CKTM

« 通过 Windows BITS 的入站传输 InstallUtil 活动 »