« 潜在的 ADIDNS 毒化通过通配符记录创建 潜在的滥用资源通过高令牌计数和大响应大小 »
Elastic Docs ›Elastic Security Solution [8.14] ›检测和警报 ›预置规则参考

潜在的 AWS S3 存储桶勒索软件说明已上传

编辑

潜在的 AWS S3 存储桶勒索软件说明已上传编辑

识别潜在的勒索软件说明被上传到 AWS S3 存储桶。此规则检测具有常见勒索软件说明文件扩展名的 PutObject S3 API 调用，例如 .ransom 或 .lock。具有访问权限的攻击者可能会检索、删除和替换带有勒索说明的对象，以勒索受害者。

规则类型: esql

规则索引: 无

严重性: 中等

风险评分: 47

每隔运行: 5m

从以下时间开始搜索索引: now-9m (日期数学格式，另请参阅 其他回溯时间)

每次执行的最大警报数: 100

参考:

标签:

  • 域：云
  • 数据源：AWS
  • 数据源：Amazon Web Services
  • 数据源：AWS S3
  • 用例：威胁检测
  • 策略：影响

版本: 2

规则作者:

  • Elastic

规则许可证: Elastic License v2

调查指南编辑

分类和分析

调查潜在的 AWS S3 存储桶勒索软件说明已上传

此规则检测具有常见勒索软件说明文件扩展名的 PutObject S3 API 调用，例如 .ransom 或 .lock。具有访问权限的攻击者可能会检索、删除和替换带有勒索说明的对象，以勒索受害者。

可能的调查步骤

  • 识别行为者：查看 aws.cloudtrail.user_identity.arn 和 aws.cloudtrail.user_identity.access_key_id 字段，以识别执行操作的人员。验证此行为者是否通常执行此类操作，以及他们是否拥有必要的权限。
  • 查看请求详情：检查 aws.cloudtrail.request_parameters，以了解 PutObject 操作的具体详情。查找可能表明未经授权或恶意修改的任何异常参数。
  • 分析请求来源：调查 source.ip 和 source.geo 字段，以确定请求的地理来源。外部或意外的位置可能表明凭据遭到泄露或未经授权访问。
  • 与时间戳关联：使用 @timestamp 字段检查勒索信上传的时间。在非工作时间或常规维护窗口之外进行的更改可能需要进一步审查。
  • 检查勒索信：查看 PutObject 操作的 aws.cloudtrail.request_parameters，以识别上传的勒索信的特征。查找常见的勒索软件文件扩展名，如 .txt、.note、.ransom 或 .html。
  • 与其他活动关联：在此操作之前和之后搜索相关的 CloudTrail 事件，以查看同一行为者或 IP 地址是否参与了其他潜在可疑活动。
  • 检查对象删除或访问：查找对同一 S3 存储桶的 DeleteObject、DeleteObjects 或 GetObject API 调用，这些调用可能表明攻击者在放置勒索信之前访问并销毁对象。

误报分析

  • 合法的管理操作：确认 PutObject 操作是否与变更管理系统中记录的计划更新、维护活动或合法的管理任务一致。
  • 一致性检查：将操作与用户或组织内执行的类似活动的历史数据进行比较。如果操作与过去的合法活动一致，则可能表明误报。
  • 通过结果验证：检查 aws.cloudtrail.response_elements 和 event.outcome，以确认上传是否成功，并且根据策略预期。

响应和补救

  • 立即审查并必要时撤销：如果活动未经授权，请从 S3 存储桶中删除上传的勒索软件通知，并查看存储桶的访问日志，了解是否存在任何可疑活动。
  • 增强监控和警报：调整监控系统，对类似的 PutObject 操作发出警报，尤其是涉及敏感数据或异常文件扩展名的操作。
  • 教育和培训：为具有管理权限的用户提供额外的培训，重点介绍与 S3 存储桶管理和勒索软件风险相关的安全最佳实践。
  • 审计 S3 存储桶策略和权限：对所有 S3 存储桶策略和关联权限进行全面审计，以确保它们遵循最小权限原则。
  • 事件响应：如果存在恶意意图或安全漏洞的迹象，请启动事件响应协议，以减轻任何损害并防止未来发生。

其他信息

有关管理 S3 存储桶安全和防范勒索软件的进一步指导，请参阅 AWS S3 文档 和 AWS 安全最佳实践。此外，请查阅以下资源，了解有关 S3 勒索软件防护的具体详细信息： - ERMETIC 报告 - AWS S3 勒索软件在野曝光 - AWS S3 勒索软件批量删除 - S3 勒索软件第 1 部分：攻击媒介

设置编辑

AWS S3 数据类型需要在 CloudTrail 跟踪配置中启用。

规则查询编辑

from logs-aws.cloudtrail-*

// any successful uploads via S3 API requests
| where event.dataset == "aws.cloudtrail"
    and event.provider == "s3.amazonaws.com"
    and event.action == "PutObject"
    and event.outcome == "success"

// abstract object name from API request parameters
| dissect aws.cloudtrail.request_parameters "%{?ignore_values}key=%{object_name}}"

// regex on common ransomware note extensions
| where object_name rlike "(.*)(ransom|lock|crypt|enc|readme|how_to_decrypt|decrypt_instructions|recovery|datarescue)(.*)"
    and not object_name rlike "(.*)(AWSLogs|CloudTrail|access-logs)(.*)"

// aggregate by S3 bucket, resource and object name
| stats note_upload_count = count(*) by tls.client.server_name, aws.cloudtrail.user_identity.arn, object_name

// filter for single occurrence to eliminate common upload operations
| where note_upload_count == 1

框架：MITRE ATT&CKTM

« 潜在的 ADIDNS 毒化通过通配符记录创建 潜在的滥用资源通过高令牌计数和大响应大小 »