TrailDiscover(베타)

CloudTrail 이벤트를 TrailDiscover 데이터로 보강하기

개요

TrailDiscover 보강은 Panther 버전 1.107부터 오픈 베타로 제공되며 모든 고객이 사용할 수 있습니다. 버그 보고 및 기능 요청은 Panther 지원팀에 공유해 주세요.

다음을 사용할 수 있습니다 TrailDiscover 을(를) Panther의 보강 소스로 사용합니다. TrailDiscover는 자세한 설명, MITRE ATT&CK 통찰, 실제 사고 참조, 연구 링크 및 보안 영향에 대한 정보를 포함하는 CloudTrail 이벤트의 지속적으로 진화하는 저장소입니다.

다음을 배우십시오 여기에 저장된 보강 데이터를 조회하세요및 여기에서 보강 데이터가 포함된 로그 이벤트를 조회하는 방법.

TrailDiscover 작동 방식

TrailDiscover는 로그의 eventName 키를 사용하여 TrailDiscover의 관련 정보로 CloudTrail 이벤트를 보강합니다. 만약 Amazon Security Lake를 사용하는 경우, TrailDiscover는 api.operation 필드를 보강합니다. 이 필드는 CloudTrail 이벤트 이름을 포함합니다.

TrailDiscover 보강 설정

콘솔

Panther 콘솔에서 TrailDiscover 보강을 설정하는 방법

1. Panther 콘솔의 왼쪽 탐색 바에서 탐지(Detections).

2. 클릭합니다 Packs 탭.

3. ‘TrailDiscover’를 검색한 다음, TrailDiscover 조회 테이블 타일에서, 사용(Enabled) 토글 켜짐(ON).

4. 팝업 확인 모달에서 계속.

5. 보강이 활성화되었는지 확인하려면 왼쪽 사이드바 메뉴에서 구성 > Enrichments.

   • 이 페이지에서는 모든 보강 소스와 각 소스의 현재 활성화/비활성화 상태 및 소스 데이터가 마지막으로 새로고침된 시간을 확인할 수 있습니다.

CLI

TrailDiscover로 보강된 예시 이벤트

아래는 TrailDiscover 데이터로 보강된 CloudTrail 로그입니다. 내부의 TrailDiscover object p_enrichment 는 AssumeRole 이벤트에 대한 연관 사고 링크, 연구 및 MITRE ATT&CK 전술 및 기술과 같은 추가 정보를 포함합니다.

{
  "awsRegion": "us-east-1",
  "correlation_rule_matches": {},
  "database_name": "panther_logs",
  "eventCategory": "Management",
  "eventID": "5d0ee1aa-cac2-3876-9808-aecdc2b720ab",
  "eventName": "AssumeRole",
  "eventSource": "sts.amazonaws.com",
  "eventTime": "2024-04-24 19:23:36.000000000",
  "eventType": "AwsApiCall",
  "eventVersion": "1.08",
  "managementEvent": true,
  "p_enrichment": {
    "TrailDiscover": {
      "eventName": {
        "awsService": "STS",
        "description": "AWS 리소스에 액세스하는 데 사용할 수 있는 임시 보안 자격 증명 집합을 반환합니다.",
        "eventName": "AssumeRole",
        "eventSource": "sts.amazonaws.com",
        "incidents": [
          {
            "description": "[email protected]의 흥미로운 사례",
            "link": "https://www.invictus-ir.com/news/the-curious-case-of-dangerdev-protonmail-me"
          },
          {
            "description": "파라다이스의 문제",
            "link": "https://blog.darklab.hk/2021/07/06/trouble-in-paradise/"
          }
        ],
        "mitreAttackTactics": [
          "TA0001 - 초기 접근",
          "TA0003 - 지속성",
          "TA0004 - 권한 상승"
        ],
        "mitreAttackTechniques": [
          "T1199 - 신뢰된 관계",
          "T1078 - 유효한 계정"
        ],
        "p_match": "AssumeRole",
        "permissions": "https://aws.permissions.cloud/iam/sts#sts-AssumeRole",
        "researchLinks": [
          {
            "description": "역할 체인 저글링(Role Chain Juggling)",
            "link": "https://hackingthe.cloud/aws/post_exploitation/role-chain-juggling/"
          },
          {
            "description": "IAM 보안 정책에서 위험한 동작을 탐지하고 제거하기",
            "link": "https://www.solvo.cloud/blog/detecting-and-removing-risky-actions-out-of-your-iam-security-policies/"
          }
        ],
        "securityImplications": "공격자가 권한 없는 AWS 역할 접근을 얻기 위해 AssumeRole을 사용할 수 있습니다. 이는 초기 접근을 얻거나 권한을 상승시키거나 특정 시나리오에서 지속성을 얻는 것을 허용할 수 있습니다.",
        "simulation": [
          {
            "type": "commandLine",
            "value": "aws sts assume-role --role-arn arn:aws:iam::123456789012:role/TrailDiscover --role-session-name TrailDiscover"
          }
        ],
        "usedInWild": true
      }
    }
  },
  "readOnly": true,
  "recipientAccountId": "123456789012",
  "requestID": "ddcb3c89-b762-43a1-a2b7-33f6f1afac53",
  "requestParameters": {
    "roleArn": "arn:aws:iam::123456789012:role/some-role",
    "roleSessionName": "SOME_SESSION"
  },
  "resources": [
    {
      값을 확인하는 방법을 보려면
      "arn": "arn:aws:iam::123456789012:role/some-role",
      "type": "AWS::IAM::Role"
    }
  ],
  "responseElements": {
    "assumedRoleUser": {
      "arn": "arn:aws:sts::123456789012:assumed-role/some-role/SOME_SESSION",
      "assumedRoleId": "AROASXP6SDABCDEFGL:SOME_SESSION"
    },
    "credentials": {
      "accessKeyId": "ASIASXABCDEFGRGZ",
      "expiration": "2024년 4월 24일 오후 8:23:36",
      "sessionToken": "token"
    }
  },
  "sharedEventID": "a077320f-2184-482c-8e6d-e1e9ddfde08f",
  "sourceIPAddress": "cloudtrail.amazonaws.com",
  "table_name": "aws_cloudtrail",
  "userAgent": "cloudtrail.amazonaws.com",
  "principalId": "1111",
    "invokedBy": "cloudtrail.amazonaws.com",
    "type": "AWSService"
  }
}