« SSL 证书删除 SUID/SGID 位设置 »
Elastic 文档 ›Elastic 安全解决方案 [8.17] ›检测和告警 ›预构建规则参考

SSM 会话启动到 EC2 实例

编辑

SSM 会话启动到 EC2 实例

编辑

识别 AWS 资源首次通过 SSM 与 EC2 实例建立会话的情况。攻击者可能使用 AWS Systems Manager 与 EC2 实例建立会话，以在该实例上执行命令。这可以用来获取对实例的访问权限并执行提权等操作。此规则有助于检测给定 AWS 资源的此活动首次发生的情况。

规则类型: new_terms

规则索引:

  • filebeat-*
  • logs-aws.cloudtrail-*

严重性: 中

风险评分: 47

运行频率: 10 分钟

搜索索引时间范围: now-60m (日期数学格式，另请参阅 额外的回溯时间)

每次执行的最大告警数: 100

参考:

标签:

  • 域: 云
  • 数据源: AWS
  • 数据源: Amazon Web Services
  • 数据源: AWS SSM
  • 用例: 威胁检测
  • 战术: 横向移动

版本: 1

规则作者:

  • Elastic

规则许可证: Elastic License v2

调查指南

编辑

分类和分析

调查 SSM 会话启动到 EC2 实例

此规则检测 AWS 资源首次启动到 EC2 实例的 SSM 会话的情况，这可能表示合法的管理活动或潜在的恶意操作，如命令执行或横向移动。

可能的调查步骤

  • 检查会话启动事件: 查看 AWS CloudTrail 日志中的事件。
  • 查找 StartSession 操作，并验证详细信息，如 user_identity.arn、event.action 和目标 EC2 实例 (aws.cloudtrail.flattened.request_parameters)。
  • 验证用户身份和角色: 检查用户的 ARN 和访问密钥 ID (aws.cloudtrail.user_identity.access_key_id)。
  • 将其与 IAM 进行交叉引用，以验证用户是否具有必要的权限，以及他们的角色是否通常需要启动 SSM 会话。
  • 评估地理和 IP 上下文: 分析启动会话的源 IP (source.ip) 和地理位置 (source.geo)。
  • 确定这些是否与典型的用户位置一致，或者是否引发了妥协或滥用的怀疑。
  • 查看会话详细信息: 检查会话 ID 和流 URL (aws.cloudtrail.flattened.response_elements) 等详细信息，以了解会话的范围和性质。
  • 检查会话期间执行的任何命令是否未经授权或超出常规做法。
  • 与其他安全事件关联: 查看会话启动时间附近的其他相关安全事件，以识别可能涉及此用户或 EC2 实例的任何模式或更广泛的攻击向量。

误报分析

  • 合法的管理活动: 确认 SSM 会话是否是出于有效的管理目的而启动的，例如系统维护、补丁或配置更新。与相关团队或人员进行验证。

响应和补救

  • 立即会话审查: 如果会话启动看起来可疑，请审查会话期间执行的所有操作。
  • 如果可能，终止会话以防止任何潜在的危害。
  • 验证并加强安全策略: 确保围绕 SSM 会话启动的策略是严格的，并遵循最小权限原则。
  • 如果需要，更新 IAM 策略以加强控制。
  • 激活事件响应: 如果确认存在恶意意图或行为，请激活事件响应协议。
  • 这包括控制威胁、清除攻击者的存在、恢复受影响的系统以及彻底的调查。
  • 增强监控和告警: 改进对 SSM 会话的监控，尤其关注涉及敏感或关键 EC2 实例的会话。
  • 调整告警机制，以便及时标记不寻常的会话启动。

其他信息

有关管理 SSM 会话和安全最佳实践的更深入理解，请参阅 AWS Systems Manager 文档。此外，请考虑 AWS SSM 提权技术 中概述的安全影响和最佳实践。

规则查询

编辑
event.dataset:"aws.cloudtrail" and event.provider:"ssm.amazonaws.com"
    and event.action:"StartSession" and event.outcome:"success"

框架: MITRE ATT&CKTM

« SSL 证书删除 SUID/SGID 位设置 »