« 通过 Windows BITS 进行入站传输 InstallUtil 活动 »
Elastic 文档 ›Elastic Security Solution [8.14] ›检测和警报 ›预置规则参考

添加了不安全的 AWS EC2 VPC 安全组入站规则

编辑

添加了不安全的 AWS EC2 VPC 安全组入站规则编辑

当在 AWS EC2 中为 VPC 安全组添加或调整指定的入站 (ingress) 规则时，会识别出此规则。此规则检测到添加的安全组规则允许来自任何 IP 地址或来自特定 IP 地址的流量进入常见的远程访问端口，例如 22 (SSH) 或 3389 (RDP)。攻击者可能会添加这些规则以允许从任何位置远程访问 VPC 实例，从而增加攻击面，并可能使实例面临未经授权的访问。

规则类型：查询

规则索引:

  • filebeat-*
  • logs-aws.cloudtrail-*

严重性：中等

风险评分: 47

每隔：10 分钟运行一次

从以下时间开始搜索索引：now-60m（日期数学格式，另请参见 附加回溯时间）

每次执行的最大警报数: 100

参考:

标签:

  • 域：云
  • 数据源：AWS
  • 数据源：Amazon Web Services
  • 数据源：AWS EC2
  • 用例：威胁检测
  • 策略：防御规避

版本: 1

规则作者:

  • Elastic

规则许可：Elastic 许可证 v2

调查指南编辑

分类和分析

调查添加了不安全的 AWS EC2 VPC 安全组入站规则

此规则检测到向 VPC 安全组添加了入站规则，该规则允许来自任何 IP 地址 (0.0.0.0/0 或 ::/0) 的流量进入通常用于远程访问的敏感端口，例如 SSH（端口 22）和 RDP（端口 3389）。此配置更改会显著增加 EC2 实例面临潜在威胁的风险，因此了解此类更改的背景和合法性至关重要。

可能的调查步骤

  • 识别行为者：查看 aws.cloudtrail.user_identity.arn 和 aws.cloudtrail.user_identity.access_key_id 字段，以识别做出更改的人员。调查此行为者是否拥有必要的权限，并且通常会执行这些操作。
  • 查看请求详细信息：检查 aws.cloudtrail.request_parameters 以了解对安全组做出了哪些具体更改。检查任何可能表明配置错误或恶意意图的不寻常参数。
  • 分析请求来源：查看 source.ip 和 source.geo 字段，以确定请求的地理来源。外部或不寻常的位置可能表明凭据遭到入侵。
  • 与时间戳关联：使用 @timestamp 字段检查更改发生的时间。在正常工作时间之外进行的修改可能需要进行额外的审查。
  • 与其他活动关联：在此更改前后搜索相关的 CloudTrail 事件，以查看同一行为者是否参与了其他可能可疑的活动。

误报分析

  • 合法的管理操作：验证入站规则更改是否与计划的更新、维护活动或变更管理票证或系统中记录的合法管理任务相符。
  • 一致性检查：将操作与用户或组织内执行的类似操作的历史数据进行比较。与过去合法操作的一致性可能表明误报。
  • 通过结果验证：检查 aws.cloudtrail.response_elements 和 event.outcome 以确认更改是否成功且符合策略预期。

响应和补救

  • 必要时立即审查和撤销：如果更改未经授权，请将安全组规则恢复到其先前状态，以关闭任何意外访问。
  • 增强监控和警报：调整监控系统以对类似的安全组更改发出警报，尤其是那些从任何 IP 地址向众所周知端口开放访问权限的更改。
  • 教育和培训：为具有管理权限的用户提供有关安全组管理最佳实践重要性的额外培训。
  • 审核安全组和策略：对所有安全组和关联策略进行全面审核，以确保它们遵守最小权限原则。
  • 事件响应：如果有恶意意图或安全漏洞的迹象，请启动事件响应协议以减轻任何损害并防止未来发生。

其他信息

有关管理安全组规则和保护 AWS 环境的进一步指导，请参阅 Amazon VPC 安全组文档 和 AWS 安全最佳实践。

规则查询编辑

event.dataset: "aws.cloudtrail"
    and event.provider: ec2.amazonaws.com
    and event.action: AuthorizeSecurityGroupIngress
    and event.outcome: success
    and aws.cloudtrail.flattened.request_parameters.cidrIp: ("0.0.0.0/0" or "::/0")
    and aws.cloudtrail.flattened.request_parameters.fromPort: (
        21 or 22 or 23 or 445 or 3389 or 5985 or 5986)

框架：MITRE ATT&CKTM

« 通过 Windows BITS 进行入站传输 InstallUtil 活动 »