Идея для правила корреляции в SIEM

Идея для правила корреляции в SIEM 💡

Хотя отслеживание всей цепочки атаки, описанной в постах выше, дает полную картину, самым сильным и простым для реализации сигналом является само событие создания пользователя.

ЕСЛИ eventName = CreateUser И userIdentity указывает на роль Lambda-функции (userIdentity.inScopeOf.issuerType = AWS::Lambda::Function),
ТО сгенерировать алерт высокого приоритета.

Учитывая, что создание пользователей Lambda-функциями является крайне редким и аномальным поведением, такое правило будет иметь очень низкий уровень ложных срабатываний.

Sigma-правило:

title: Suspicious IAM User Creation by AWS Lambda Function
id: 700feb27-05a5-4ba1-ae80-2c8d0d3591eb
status: test
description: >-
    Detects the creation or modification of an IAM user/credentials where the action is initiated by an AWS Lambda function's execution role.
    This is a highly anomalous behavior and a key indicator of the "Persistence-as-a-Service" technique,
    where an attacker uses a Lambda function (often exposed via an open API Gateway) to create backdoor users.
references:
    - https://securitylabs.datadoghq.com/articles/tales-from-the-cloud-trenches-the-attacker-doth-persist-too-much/
author: 'PT ESC'
date: '2025/09/20'
logsource:
    product: aws
    service: cloudtrail
detection:
    selection:
        eventName:
            - CreateUser
            - CreateAccessKey
            - AttachUserPolicy
            - UpdateLoginProfile
        userIdentity.inScopeOf.issuerType: 'AWS::Lambda::Function'
    condition: selection
falsepositives:
    - Legitimate workflows that use Lambda to automatically create users (e.g., a custom registration portal). These functions should be added to the exceptions.
level: high
Code language: YAML (yaml)

Этот эксперимент еще раз доказал, что мониторинг действий самих сервисов (а не только пользователей) — ключ к безопасности в облаке. А с какими еще техниками закрепления в облаке сталкивались вы?

#detect #tip #sigma #reverse
@ptescalator