TrailDiscover

CloudTrail 이벤트를 TrailDiscover 데이터로 풍부화하기

개요

다음을 사용할 수 있습니다 TrailDiscover Panther에서 인리치먼트 소스로 사용할 수 있습니다. TrailDiscover는 상세 설명, MITRE ATT&CK 인사이트, 실제 사고 참고자료, 연구 링크 및 보안 영향에 관한 정보를 포함하는 지속적으로 진화하는 CloudTrail 이벤트 저장소입니다.

다음을 배우기 여기에 저장된 인리치먼트 데이터를 보는 방법및, 여기에 인리치먼트 데이터가 포함된 로그 이벤트를 보는 방법.

TrailDiscover 작동 방식

TrailDiscover는 로그의 eventName 키를 사용하여 TrailDiscover의 관련 정보로 CloudTrail 이벤트를 인리치합니다. 만약 Amazon Security Lake를 사용하는 경우, TrailDiscover는 api.operation 필드를 인리치하는데, 이 필드는 CloudTrail 이벤트 이름을 포함합니다.

TrailDiscover 인리치 설정

MISP 경고 목록 보강 설정

Panther 콘솔에서 TrailDiscover 인리치를 설정하는 방법

1. Panther 콘솔의 왼쪽 탐색 바에서 클릭 Panther 콘솔의 왼쪽 네비게이션 바에서.

2. Detections 을 클릭합니다 탭.

3. "TrailDiscover"를 검색한 후, TrailDiscover 조회 테이블 MISP Warning Lists Lookup Tables 타일에서 Enabled 켬.

4. ON 으로 전환합니다..

5. 팝업 확인 모달에서 구성 > 를 클릭합니다.

   • 보강이 활성화되었는지 확인하려면 왼쪽 사이드바 메뉴에서

Configure

TrailDiscover로 인리치된 예시 이벤트

아래는 TrailDiscover 데이터로 인리치된 CloudTrail 로그입니다. 이 TrailDiscover 아래는 MISP 데이터로 보강된 p_enrichment 에는 AssumeRole 이벤트에 대한 추가 정보가 포함되어 있으며, 관련 사고 링크, 연구 및 MITRE ATT&CK 전술과 기법에 대한 정보가 포함됩니다.

{
  "awsRegion": "us-east-1",
  "correlation_rule_matches": {},
  "database_name": "panther_logs",
  "eventCategory": "Management",
  "eventID": "5d0ee1aa-cac2-3876-9808-aecdc2b720ab",
  "eventName": "AssumeRole",
  "eventSource": "sts.amazonaws.com",
  "eventTime": "2024-04-24 19:23:36.000000000",
  "eventType": "AwsApiCall",
  "eventVersion": "1.08",
  "managementEvent": true,
  필드에서 발견된 IP 주소에 대한 추가 정보를 포함합니다.
    "TrailDiscover": {
      "eventName": {
        "awsService": "STS",
        "description": "AWS 리소스에 접근하는 데 사용할 수 있는 임시 보안 자격 증명 세트를 반환합니다.",
        "eventName": "AssumeRole",
        "eventSource": "sts.amazonaws.com",
        "incidents": [
          {
            "description": "[email protected]의 흥미로운 사례",
            "link": "https://www.invictus-ir.com/news/the-curious-case-of-dangerdev-protonmail-me"
          },
          {
            "description": "Trouble in Paradise",
            "link": "https://blog.darklab.hk/2021/07/06/trouble-in-paradise/"
          }
        ],
        "mitreAttackTactics": [
          "TA0001 - Initial Access",
          "TA0003 - Persistence",
          "TA0004 - Privilege Escalation"
        ],
        "mitreAttackTechniques": [
          "T1199 - Trusted Relationship",
          "T1078 - Valid Accounts"
        ],
        "p_match": "AssumeRole",
        "permissions": "https://aws.permissions.cloud/iam/sts#sts-AssumeRole",
        "researchLinks": [
          {
            "description": "Role Chain Juggling",
            "link": "https://hackingthe.cloud/aws/post_exploitation/role-chain-juggling/"
          },
          {
            "description": "IAM 보안 정책에서 위험한 동작을 탐지하고 제거하기",
            "link": "https://www.solvo.cloud/blog/detecting-and-removing-risky-actions-out-of-your-iam-security-policies/"
          }
        ],
        "securityImplications": "공격자는 Unauthorized로 AWS 역할에 접근하기 위해 AssumeRole을 사용할 수 있습니다. 이는 초기 접근을 얻거나 권한 상승을 허용하거나 특정 시나리오에서 지속성을 확보할 수 있게 할 수 있습니다.",
        "simulation": [
          {
            "type": "commandLine",
            "value": "aws sts assume-role --role-arn arn:aws:iam::123456789012:role/TrailDiscover --role-session-name TrailDiscover"
          }
        ],
        "usedInWild": true
      }
    }
  },
  "readOnly": true,
  "recipientAccountId": "123456789012",
  "requestID": "ddcb3c89-b762-43a1-a2b7-33f6f1afac53",
  "requestParameters": {
    "roleArn": "arn:aws:iam::123456789012:role/some-role",
    "roleSessionName": "SOME_SESSION"
  },
  "resources": [
    {
      "accountId": "123456789012",
      "arn": "arn:aws:iam::123456789012:role/some-role",
      "type": "AWS::IAM::Role"
    }
  ],
  "responseElements": {
    "assumedRoleUser": {
      "arn": "arn:aws:sts::123456789012:assumed-role/some-role/SOME_SESSION",
      "assumedRoleId": "AROASXP6SDABCDEFGL:SOME_SESSION"
    },
    "credentials": {
      "accessKeyId": "ASIASXABCDEFGRGZ",
      "expiration": "Apr 24, 2024, 8:23:36 PM",
      "sessionToken": "token"
    }
  },
  "sharedEventID": "a077320f-2184-482c-8e6d-e1e9ddfde08f",
  "sourceIPAddress": "cloudtrail.amazonaws.com",
  "table_name": "aws_cloudtrail",
  "userAgent": "cloudtrail.amazonaws.com",
  "userIdentity": {
    "invokedBy": "cloudtrail.amazonaws.com",
    "type": "AWSService"
  }
}