罕见的 AWS 错误代码

罕见的 AWS 错误代码编辑

机器学习作业在 CloudTrail 消息中检测到一个异常错误。这些可能是尝试或成功持久化、权限提升、防御规避、发现、横向移动或收集的副产品。

规则类型：machine_learning

规则索引：无

严重性：低

风险评分: 21

每隔：15 分钟运行一次

从以下时间开始搜索索引：now-2h（日期数学格式，另请参见 附加回溯时间）

每次执行的最大警报数: 100

参考:

标签:

版本: 209

规则作者:

规则许可：Elastic License v2

分类和分析

调查罕见的 AWS 错误代码

CloudTrail 日志记录提供 AWS 环境中所采取操作的可见性。通过监视这些事件并了解组织内被视为正常行为的内容，您可以在出现偏差时发现可疑或恶意活动。

此规则使用机器学习作业来检测 CloudTrail 消息中的异常错误。这可能是尝试或成功持久化、权限提升、防御规避、发现、横向移动或收集的副产品。

此规则的检测警报表示与对 AWS API 命令或方法调用的响应关联的罕见且异常的错误代码。

可能的调查步骤

检查错误的历史记录。如果错误仅在最近才出现，则可能与自动化模块或脚本中的近期更改有关。您可以在 aws.cloudtrail.error_code field 字段中找到错误。
调查过去 48 小时内与用户帐户关联的其他警报。
验证该活动与计划的修补程序、更新或网络管理员活动无关。
检查请求参数。这些参数可能指示发生错误时程序的来源或正在执行的任务的性质。
检查错误是否与枚举或访问对象、数据或秘密的失败尝试有关。
考虑发出命令的用户的源 IP 地址和地理位置
它们对呼叫用户来说是否正常？
如果源是 EC2 IP 地址，它是否与您某个帐户中的 EC2 实例关联，或者源 IP 是否来自不受您控制的 EC2 实例？
如果它是一个授权的 EC2 实例，该活动是否与实例角色或角色的正常行为相关？是否还有涉及此实例的其他警报或可疑活动迹象？
考虑一天中的时间。如果用户是人（不是程序或脚本），该活动是否发生在一天中的正常时间？
如果可疑，请联系帐户所有者并确认他们是否知道此活动。
如果您怀疑帐户已被入侵，请通过跟踪帐户在过去 24 小时内访问的服务器、服务和数据来确定可能受损的资产。

误报分析

检查命令的历史记录。如果该命令只是最近才出现的，它可能是新自动化模块或脚本的一部分。如果它具有稳定的节奏（例如，它以较小的数量按周或按月出现），它可能是整理或维护过程的一部分。您可以在 event.action field 字段中找到该命令。
采用新服务或向脚本添加新功能可能会产生误报。

相关规则

响应和补救

根据分类结果启动事件响应流程。
在调查和响应期间禁用或限制帐户。
确定事件的可能影响并相应地确定优先级；以下操作可以帮助您获得背景信息
确定云环境中的帐户角色。
评估受影响服务和服务器的关键性。
与您的 IT 团队合作，确定并最大程度地减少对用户的影响。
确定攻击者是否正在横向移动并入侵其他帐户、服务器或服务。
确定与该活动相关的任何监管或法律后果。
调查攻击者入侵或使用的系统上的凭证泄露情况，以确保识别出所有受入侵的帐户。根据需要重置密码或删除 API 密钥，以撤销攻击者对环境的访问权限。在执行这些操作期间，与您的 IT 团队合作，以最大程度地减少对业务运营的影响。
检查是否创建了未经授权的新用户，删除未经授权的新帐户，并请求其他 IAM 用户重置密码。
考虑为用户启用多重身份验证。
查看分配给相关用户的权限，以确保遵循最小权限原则。
实施 AWS 概述的安全最佳实践。
采取必要的措施，使受影响的系统、数据或服务恢复到其正常运行级别。
确定攻击者滥用的初始媒介，并采取措施防止通过同一媒介再次感染。
使用事件响应数据，更新日志记录和审计策略，以改善平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

设置

此规则要求安装关联的机器学习作业，以及来自 AWS 的数据。

异常检测设置

启用规则后，关联的机器学习作业将自动启动。您可以在检测规则的“定义”面板下查看链接的机器学习作业。如果作业因错误而未启动，则必须解决问题才能成功开始作业。有关设置异常检测作业的更多详细信息，请参阅帮助指南。

AWS 集成设置

AWS 集成允许您使用 Elastic Agent 从 Amazon Web Services (AWS) 收集日志和指标。

应按以下步骤操作，将 Elastic Agent 系统集成“aws”添加到您的系统