Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

GuardDuty IAM findet Typen

Die folgenden Erkenntnisse beziehen sich auf IAM-Entitäten und Zugriffsschlüssel und weisen immer den Ressourcentyp AccessKey auf. Der Schweregrad und die Details der Erkenntnisse unterscheiden sich je nach Erkenntnistyp.

Die hier aufgeführten Erkenntnisse beinhalten die Datenquellen und Modelle, die zur Generierung dieses Erkenntnistyps verwendet wurden. Weitere Informationen finden Sie unter GuardDuty grundlegende Datenquellen.

Für alle IAM-related Ergebnisse empfehlen wir Ihnen, die betreffende Entität zu untersuchen und sicherzustellen, dass ihre Berechtigungen der bewährten Methode der geringsten Zugriffsrechte entsprechen. Wenn solche Aktivitäten unerwartet auftreten, können Ihre Anmeldeinformationen kompromittiert sein. Weitere Informationen zur Behebung von Erkenntnissen finden Sie unter Behebung potenziell kompromittierter Bedrohungen AWS Anmeldedaten.

CredentialAccess:IAMUser/AnomalousBehavior

Eine API, die verwendet wird, um Zugriff auf eine zu erhalten AWS Die Umgebung wurde auf anomale Weise aufgerufen.

Standard-Schweregrad: Mittel

Diese Erkenntnis informiert Sie darüber, dass in Ihrem Konto eine ungewöhnliche API-Anfrage beobachtet wurde. Diese Erkenntnis kann eine einzelne API oder eine Reihe verwandter API-Anfragen beinhalten, die in unmittelbarer Nähe von einer einzelnen Benutzeridentität gestellt wurden. Die beobachtete API wird häufig mit der Phase des Zugriffs auf Anmeldeinformationen in Verbindung gebracht, wenn ein Angreifer versucht, Passwörter, Benutzernamen und Zugriffsschlüssel für Ihre Umgebung zu sammeln. Die APIs in dieser Kategorie sind GetPasswordDataGetSecretValue,BatchGetSecretValue, undGenerateDbAuthToken.

Diese API-Anfrage wurde vom Modell für maschinelles Lernen (ML) zur Erkennung GuardDuty von Anomalien als anomal identifiziert. Das ML-Modell wertet alle API-Anfragen an Ihr Konto aus und identifiziert anomale Ereignisse, die mit Taktiken von Angreifern in Verbindung gebracht werden. Das ML-Modell verfolgt verschiedene Faktoren der API-Anfrage, z. B. den Benutzer, der die Anfrage gestellt hat, den Standort, von dem aus die Anfrage gestellt wurde, und die spezifische API, die angefordert wurde. Einzelheiten darüber, welche Faktoren der API-Anfrage für die Benutzeridentität, die die Anfrage aufgerufen hat, ungewöhnlich sind, finden Sie in den Erkenntnisdetails.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, können Ihre Anmeldeinformationen kompromittiert sein. Weitere Informationen finden Sie unter Behebung potenziell kompromittierter Bedrohungen AWS Anmeldedaten.

CredentialAccess:IAMUser/CompromisedCredentials

Ein IAM-Zugriffsschlüssel wurde von Amazon Threat Intelligence als potenziell kompromittiert identifiziert.

Standard-Schweregrad: Hoch

Vollständige Beschreibung:

Dieses Ergebnis informiert Sie darüber, dass ein Ihrem AWS Konto zugeordneter IAM-Zugriffsschlüssel von Amazon Threat Intelligence als potenziell gefährdet eingestuft wurde. Die kompromittierten Anmeldeinformationen wurden dann verwendet, um API-Operationen in Ihrer Umgebung aufzurufen. AWS Die Liste der API-Aufrufe, die mit den kompromittierten Anmeldeinformationen getätigt wurden, ist zusammen mit der Anzahl und den Zeitstempeln jedes Aufrufs, dem involvierten Zugriffsschlüssel und der Quell-IP-Adresse in den Erkenntnisdetails enthalten.

Die Sicherheitslücken bei diesem Befund wurden von Amazon Threat Intelligence identifiziert. AWS überwacht potenziell kompromittierte Anmeldedaten anhand von Nutzungsmustern und generiert dieses Ergebnis, wenn beobachtet wird, dass solche Zugangsdaten verwendet werden.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, können Ihre Anmeldeinformationen kompromittiert sein. Weitere Informationen finden Sie unter Behebung potenziell kompromittierter Bedrohungen AWS Anmeldedaten.

DefenseEvasion:IAMUser/AnomalousBehavior

Eine API, die zur Umgehung von Abwehrmaßnahmen verwendet wird, wurde auf anomale Weise aufgerufen.

Standard-Schweregrad: Mittel

Diese Erkenntnis informiert Sie darüber, dass in Ihrem Konto eine ungewöhnliche API-Anfrage beobachtet wurde. Diese Erkenntnis kann eine einzelne API oder eine Reihe verwandter API-Anfragen umfassen, die in der Nähe von einer einzelnen Benutzeridentität getätigt wurden. Die beobachtete API wird häufig mit Umgehungstaktiken in Verbindung gebracht, bei denen ein Gegner versucht, seine Spuren zu verwischen und nicht entdeckt zu werden. Bei APIs in dieser Kategorie handelt es sich in der Regel um Lösch-, Deaktivierungs- oder Stoppvorgänge wie DeleteFlowLogs, DisableAlarmActions oder StopLogging.

Diese API-Anfrage wurde vom Modell GuardDuty des maschinellen Lernens (ML) zur Erkennung von Anomalien als anomal identifiziert. Das ML-Modell wertet alle API-Anfragen an Ihr Konto aus und identifiziert anomale Ereignisse, die mit Taktiken von Angreifern in Verbindung gebracht werden. Das ML-Modell verfolgt verschiedene Faktoren der API-Anfrage, z. B. den Benutzer, der die Anfrage gestellt hat, den Standort, von dem aus die Anfrage gestellt wurde, und die spezifische API, die angefordert wurde. Einzelheiten darüber, welche Faktoren der API-Anfrage für die Benutzeridentität, die die Anfrage aufgerufen hat, ungewöhnlich sind, finden Sie in den Erkenntnisdetails.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, können Ihre Anmeldeinformationen kompromittiert sein. Weitere Informationen finden Sie unter Behebung potenziell kompromittierter Bedrohungen AWS Anmeldedaten.

DefenseEvasion:IAMUser/BedrockLoggingDisabled

Die Protokollierung für Amazon Bedrock wurde deaktiviert.

Standard-Schweregrad: Mittel

Diese Erkenntnis informiert Sie darüber, dass die Protokollierung für Bedrock-Modellaufrufe in Ihrem Konto deaktiviert wurde. Dabei kann es sich um den Versuch eines Angreifers handeln, böswillige Aktivitäten wie Datenexfiltration oder Missbrauch von KI-Modellen zu verbergen. Durch die Deaktivierung der Protokollierung wird der Einblick in die an Modelle gesendeten Daten und deren Verwendung entfernt.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, können Ihre Anmeldeinformationen kompromittiert sein. Weitere Informationen finden Sie unter Behebung potenziell kompromittierter Bedrohungen AWS Anmeldedaten.

Discovery:IAMUser/AnomalousBehavior

Eine API, die häufig zum Auffinden von Ressourcen verwendet wird, wurde auf ungewöhnliche Weise aufgerufen.

Standard-Schweregrad: Niedrig

Diese Erkenntnis informiert Sie darüber, dass in Ihrem Konto eine ungewöhnliche API-Anfrage beobachtet wurde. Diese Erkenntnis kann eine einzelne API oder eine Reihe verwandter API-Anfragen umfassen, die in der Nähe von einer einzelnen Benutzeridentität getätigt wurden. Die beobachtete API wird häufig mit der Erkennungsphase eines Angriffs in Verbindung gebracht, in der ein Gegner Informationen sammelt, um festzustellen, ob Ihre AWS Umgebung für einen umfassenderen Angriff anfällig ist. APIs in dieser Kategorie sind in der Regel Get-, Describe- oder List-Vorgänge wie DescribeInstances, GetRolePolicy oder ListAccessKeys.

Diese API-Anfrage wurde vom Modell des maschinellen Lernens (ML) zur Erkennung GuardDuty von Anomalien als anomal identifiziert. Das ML-Modell wertet alle API-Anfragen an Ihr Konto aus und identifiziert anomale Ereignisse, die mit Taktiken von Angreifern in Verbindung gebracht werden. Das ML-Modell verfolgt verschiedene Faktoren der API-Anfrage, z. B. den Benutzer, der die Anfrage gestellt hat, den Standort, von dem aus die Anfrage gestellt wurde, und die spezifische API, die angefordert wurde. Einzelheiten darüber, welche Faktoren der API-Anfrage für die Benutzeridentität, die die Anfrage aufgerufen hat, ungewöhnlich sind, finden Sie in den Erkenntnisdetails.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, können Ihre Anmeldeinformationen kompromittiert sein. Weitere Informationen finden Sie unter Behebung potenziell kompromittierter Bedrohungen AWS Anmeldedaten.

Exfiltration:IAMUser/AnomalousBehavior

Eine API, die häufig verwendet wird, um Daten von einem zu sammeln AWS Die Umgebung wurde auf anomale Weise aufgerufen.

Standard-Schweregrad: Hoch

Diese Erkenntnis informiert Sie darüber, dass in Ihrem Konto eine ungewöhnliche API-Anfrage beobachtet wurde. Diese Erkenntnis kann eine einzelne API oder eine Reihe verwandter API-Anfragen umfassen, die in der Nähe von einer einzelnen Benutzeridentität getätigt wurden. Die beobachtete API wird üblicherweise mit Exfiltrationstaktiken in Verbindung gebracht, bei denen ein Angreifer versucht, Daten aus Ihrem Netzwerk zu sammeln, indem er sie verpackt und verschlüsselt, um eine Entdeckung zu vermeiden. APIs für diesen Erkenntnistyp sind Verwaltungsvorgänge (Steuerebene) und beziehen sich in der Regel auf S3, Snapshots und Datenbanken wie PutBucketReplication, CreateSnapshot oder RestoreDBInstanceFromDBSnapshot.

Diese API-Anfrage wurde vom Modell GuardDuty des maschinellen Lernens (ML) zur Erkennung von Anomalien als anomal identifiziert. Das ML-Modell wertet alle API-Anfragen an Ihr Konto aus und identifiziert anomale Ereignisse, die mit Taktiken von Angreifern in Verbindung gebracht werden. Das ML-Modell verfolgt verschiedene Faktoren der API-Anfrage, z. B. den Benutzer, der die Anfrage gestellt hat, den Standort, von dem aus die Anfrage gestellt wurde, und die spezifische API, die angefordert wurde. Einzelheiten darüber, welche Faktoren der API-Anfrage für die Benutzeridentität, die die Anfrage aufgerufen hat, ungewöhnlich sind, finden Sie in den Erkenntnisdetails.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, können Ihre Anmeldeinformationen kompromittiert sein. Weitere Informationen finden Sie unter Behebung potenziell kompromittierter Bedrohungen AWS Anmeldedaten.

Impact:IAMUser/AnomalousBehavior

Eine API, die häufig verwendet wird, um Daten oder Prozesse in einem zu manipulieren AWS Die Umgebung wurde auf anomale Weise aufgerufen.

Standard-Schweregrad: Hoch

Diese Erkenntnis informiert Sie darüber, dass in Ihrem Konto eine ungewöhnliche API-Anfrage beobachtet wurde. Diese Erkenntnis kann eine einzelne API oder eine Reihe verwandter API-Anfragen umfassen, die in der Nähe von einer einzelnen Benutzeridentität getätigt wurden. Die beobachtete API wird in der Regel mit Angriffstaktiken in Verbindung gebracht, bei denen ein Angreifer versucht, den Betrieb zu stören und Daten in Ihrem Konto zu manipulieren, zu unterbrechen oder zu zerstören. APIs für diese Art der Suche sind in der Regel Lösch-, Aktualisierungs- oder Stellvorgänge wie DeleteSecurityGroup, UpdateUser oder PutBucketPolicy.

Diese API-Anfrage wurde vom Modell GuardDuty des maschinellen Lernens (ML) zur Erkennung von Anomalien als anomal identifiziert. Das ML-Modell wertet alle API-Anfragen an Ihr Konto aus und identifiziert anomale Ereignisse, die mit Taktiken von Angreifern in Verbindung gebracht werden. Das ML-Modell verfolgt verschiedene Faktoren der API-Anfrage, z. B. den Benutzer, der die Anfrage gestellt hat, den Standort, von dem aus die Anfrage gestellt wurde, und die spezifische API, die angefordert wurde. Einzelheiten darüber, welche Faktoren der API-Anfrage für die Benutzeridentität, die die Anfrage aufgerufen hat, ungewöhnlich sind, finden Sie in den Erkenntnisdetails.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, können Ihre Anmeldeinformationen kompromittiert sein. Weitere Informationen finden Sie unter Behebung potenziell kompromittierter Bedrohungen AWS Anmeldedaten.

InitialAccess:IAMUser/AnomalousBehavior

Eine API, die häufig verwendet wird, um unbefugten Zugriff auf eine AWS Die Umgebung wurde auf anomale Weise aufgerufen.

Standard-Schweregrad: Mittel

Diese Erkenntnis informiert Sie darüber, dass in Ihrem Konto eine ungewöhnliche API-Anfrage beobachtet wurde. Diese Erkenntnis kann eine einzelne API oder eine Reihe verwandter API-Anfragen umfassen, die in der Nähe von einer einzelnen Benutzeridentität getätigt wurden. Die beobachtete API wird häufig mit der ersten Zugriffsphase eines Angriffs in Verbindung gebracht, wenn ein Angreifer versucht, Zugriff auf Ihre Umgebung zu erhalten. Bei APIs in dieser Kategorie handelt es sich in der Regel um Get Token- oder Sitzungsoperationen wieStartSession, oderGetAuthorizationToken.

Diese API-Anfrage wurde vom Modell GuardDuty des maschinellen Lernens (ML) zur Erkennung von Anomalien als anomal identifiziert. Das ML-Modell wertet alle API-Anfragen an Ihr Konto aus und identifiziert anomale Ereignisse, die mit Taktiken von Angreifern in Verbindung gebracht werden. Das ML-Modell verfolgt verschiedene Faktoren der API-Anfrage, z. B. den Benutzer, der die Anfrage gestellt hat, den Standort, von dem aus die Anfrage gestellt wurde, und die spezifische API, die angefordert wurde. Einzelheiten darüber, welche Faktoren der API-Anfrage für die Benutzeridentität, die die Anfrage aufgerufen hat, ungewöhnlich sind, finden Sie in den Erkenntnisdetails.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, können Ihre Anmeldeinformationen kompromittiert sein. Weitere Informationen finden Sie unter Behebung potenziell kompromittierter Bedrohungen AWS Anmeldedaten.

PenTest:IAMUser/KaliLinux

Eine API wurde von einem Kali Linux-Computer aus aufgerufen.

Standard-Schweregrad: Mittel

Dieses Ergebnis informiert Sie darüber, dass ein Computer, auf dem Kali Linux ausgeführt wird, API-Aufrufe mit Anmeldeinformationen durchführt, die zu dem aufgelisteten AWS Konto in Ihrer Umgebung gehören. Kali Linux ist ein beliebtes Tool für Penetrationstests, das von Sicherheitsexperten verwendet wird, um Schwachstellen in EC2-Instances zu erkennen, für die Patches erforderlich sind. Angreifer verwenden dieses Tool auch, um Sicherheitslücken in der EC2-Konfiguration zu finden und sich unbefugten Zugriff auf Ihre AWS Umgebung zu verschaffen.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, können Ihre Anmeldeinformationen kompromittiert sein. Weitere Informationen finden Sie unter Behebung potenziell kompromittierter Bedrohungen AWS Anmeldedaten.

PenTest:IAMUser/ParrotLinux

Eine API wurde von einem Parrot-Security-Linux-Computer aufgerufen.

Standard-Schweregrad: Mittel

Dieses Ergebnis informiert Sie darüber, dass ein Computer, auf dem Parrot Security Linux ausgeführt wird, API-Aufrufe mit Anmeldeinformationen durchführt, die zu dem in Ihrer Umgebung aufgeführten AWS Konto gehören. Parrot Security Linux ist ein beliebtes Tool für Penetrationstests, das von Sicherheitsexperten verwendet wird, um Schwachstellen in EC2-Instances zu erkennen, für die Patches erforderlich sind. Angreifer nutzen dieses Tool auch, um Schwachstellen in der EC2-Konfiguration ausfindig zu machen und sich unbefugten Zugriff auf Ihre AWS Umgebung zu verschaffen.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, können Ihre Anmeldeinformationen kompromittiert sein. Weitere Informationen finden Sie unter Behebung potenziell kompromittierter Bedrohungen AWS Anmeldedaten.

PenTest:IAMUser/PentooLinux

Eine API wurde von einem Pentoo-Linux-Computer aufgerufen.

Standard-Schweregrad: Mittel

Dieses Ergebnis informiert Sie darüber, dass ein Computer, auf dem Pentoo Linux ausgeführt wird, API-Aufrufe mit Anmeldeinformationen durchführt, die zu dem aufgelisteten AWS Konto in Ihrer Umgebung gehören. Pentoo Linux ist ein beliebtes Tool für Penetrationstests, das von Sicherheitsexperten verwendet wird, um Schwachstellen in EC2-Instances zu erkennen, für die Patches erforderlich sind. Angreifer verwenden dieses Tool auch, um Sicherheitslücken in der EC2-Konfiguration zu finden und sich unbefugten Zugriff auf Ihre AWS Umgebung zu verschaffen.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, können Ihre Anmeldeinformationen kompromittiert sein. Weitere Informationen finden Sie unter Behebung potenziell kompromittierter Bedrohungen AWS Anmeldedaten.

Persistence:IAMUser/AnomalousBehavior

Eine API, die häufig verwendet wird, um den unbefugten Zugriff auf eine AWS Die Umgebung wurde auf anomale Weise aufgerufen.

Standard-Schweregrad: Mittel

Diese Erkenntnis informiert Sie darüber, dass in Ihrem Konto eine ungewöhnliche API-Anfrage beobachtet wurde. Diese Erkenntnis kann eine einzelne API oder eine Reihe verwandter API-Anfragen umfassen, die in der Nähe von einer einzelnen Benutzeridentität getätigt wurden. Die beobachtete API wird häufig mit Persistenztaktiken in Verbindung gebracht, bei denen sich ein Angreifer Zugriff auf Ihre Umgebung verschafft hat und versucht, diesen Zugriff aufrechtzuerhalten. APIs in dieser Kategorie sind in der Regel Erstellungs-, Import- oder Änderungsvorgänge wie CreateAccessKey, ImportKeyPair oder ModifyInstanceAttribute.

Diese API-Anfrage wurde vom Modell GuardDuty des maschinellen Lernens (ML) zur Erkennung von Anomalien als anomal identifiziert. Das ML-Modell wertet alle API-Anfragen an Ihr Konto aus und identifiziert anomale Ereignisse, die mit Taktiken von Angreifern in Verbindung gebracht werden. Das ML-Modell verfolgt verschiedene Faktoren der API-Anfrage, z. B. den Benutzer, der die Anfrage gestellt hat, den Standort, von dem aus die Anfrage gestellt wurde, und die spezifische API, die angefordert wurde. Einzelheiten darüber, welche Faktoren der API-Anfrage für die Benutzeridentität, die die Anfrage aufgerufen hat, ungewöhnlich sind, finden Sie in den Erkenntnisdetails.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, können Ihre Anmeldeinformationen kompromittiert sein. Weitere Informationen finden Sie unter Behebung potenziell kompromittierter Bedrohungen AWS Anmeldedaten.

Policy:IAMUser/RootCredentialUsage

Eine API wurde über Root-Benutzer-Anmeldeinformationen aufgerufen.

Standard-Schweregrad: Niedrig

Diese Erkenntnis informiert Sie darüber, dass die Root-Benutzer-Anmeldeinformationen des in Ihrer Umgebung angeführten AWS-Konto -Kontos verwendet werden, um Anforderungen an AWS -Services zu erstellen. Es wird empfohlen, dass Benutzer niemals die Anmeldedaten eines Root-Benutzers verwenden, um auf AWS Dienste zuzugreifen. Stattdessen sollten für den Zugriff auf AWS Dienste die temporären Anmeldeinformationen mit den geringsten Rechten von AWS -Security-Token-Service (STS) verwendet werden. Für Situationen, in denen AWS STS nicht unterstützt wird, werden IAM-Benutzeranmeldeinformationen empfohlen. Weitere Informationen finden Sie unter Bewährte Methoden für IAM.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, können Ihre Anmeldeinformationen kompromittiert sein. Weitere Informationen finden Sie unter Behebung potenziell kompromittierter Bedrohungen AWS Anmeldedaten.

Policy:IAMUser/ShortTermRootCredentialUsage

Eine API wurde mithilfe eingeschränkter Root-Benutzer-Anmeldeinformationen aufgerufen.

Standard-Schweregrad: Niedrig

Dieses Ergebnis informiert Sie darüber, dass eingeschränkte Benutzeranmeldeinformationen, die für die AWS-Konto in Ihrer Umgebung aufgeführten Benutzer erstellt wurden, verwendet werden, um Anfragen an zu stellen AWS-Services. Es wird empfohlen, Root-Benutzeranmeldeinformationen nur für Aufgaben zu verwenden, für die Root-Benutzeranmeldeinformationen erforderlich sind.

Wenn möglich, greifen Sie auf die zu, AWS-Services indem Sie IAM-Rollen mit den geringsten Rechten und temporären Anmeldeinformationen von AWS -Security-Token-Service (AWS STS) verwenden. In Szenarien, in denen AWS STS dies nicht unterstützt wird, empfiehlt es sich, IAM-Benutzeranmeldeinformationen zu verwenden. Weitere Informationen finden Sie unter Bewährte Sicherheitsmethoden in IAM und Bewährte Methoden für Root-Benutzer für Sie AWS-Konto im IAM-Benutzerhandbuch.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, können Ihre Anmeldeinformationen kompromittiert sein. Weitere Informationen finden Sie unter Behebung potenziell kompromittierter Bedrohungen AWS Anmeldedaten.

PrivilegeEscalation:IAMUser/AnomalousBehavior

Eine API, die häufig verwendet wird, um hochrangige Berechtigungen für einen zu erhalten AWS Die Umgebung wurde auf ungewöhnliche Weise aufgerufen.

Standard-Schweregrad: Mittel

Diese Erkenntnis informiert Sie darüber, dass in Ihrem Konto eine ungewöhnliche API-Anfrage beobachtet wurde. Diese Erkenntnis kann eine einzelne API oder eine Reihe verwandter API-Anfragen umfassen, die in der Nähe von einer einzelnen Benutzeridentität getätigt wurden. Die beobachtete API wird häufig mit Taktiken zur Eskalation von Rechten in Verbindung gebracht, bei denen ein Angreifer versucht, Berechtigungen auf höherer Ebene für eine Umgebung zu erlangen. APIs in dieser Kategorie beinhalten in der Regel Vorgänge, die IAM-Richtlinien, Rollen und Benutzer ändern, wie AssociateIamInstanceProfile, AddUserToGroup oder PutUserPolicy.

Diese API-Anfrage wurde vom Modell GuardDuty des maschinellen Lernens (ML) zur Erkennung von Anomalien als anomal identifiziert. Das ML-Modell wertet alle API-Anfragen an Ihr Konto aus und identifiziert anomale Ereignisse, die mit Taktiken von Angreifern in Verbindung gebracht werden. Das ML-Modell verfolgt verschiedene Faktoren der API-Anfrage, z. B. den Benutzer, der die Anfrage gestellt hat, den Standort, von dem aus die Anfrage gestellt wurde, und die spezifische API, die angefordert wurde. Einzelheiten darüber, welche Faktoren der API-Anfrage für die Benutzeridentität, die die Anfrage aufgerufen hat, ungewöhnlich sind, finden Sie in den Erkenntnisdetails.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, können Ihre Anmeldeinformationen kompromittiert sein. Weitere Informationen finden Sie unter Behebung potenziell kompromittierter Bedrohungen AWS Anmeldedaten.

Recon:IAMUser/MaliciousIPCaller

Eine API wurde von einer bekannten böswilligen IP-Adresse aufgerufen.

Standard-Schweregrad: Mittel

Diese Erkenntnis informiert Sie, dass ein API-Vorgang, der AWS -Ressourcen auflisten oder beschreiben kann, von einer IP-Adresse aufgerufen wurde, die in einer Bedrohungsliste enthalten ist. Ein Angreifer kann gestohlene Anmeldedaten verwenden, um diese Art der Erkundung Ihrer AWS Ressourcen durchzuführen, um wertvollere Anmeldeinformationen zu finden oder die Fähigkeiten der bereits vorhandenen Anmeldeinformationen zu ermitteln.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, können Ihre Anmeldeinformationen kompromittiert sein. Weitere Informationen finden Sie unter Behebung potenziell kompromittierter Bedrohungen AWS Anmeldedaten.

Recon:IAMUser/MaliciousIPCaller.Custom

Eine API wurde von einer bekannten böswilligen IP-Adresse aufgerufen.

Standard-Schweregrad: Mittel

Diese Erkenntnis informiert Sie, dass ein API-Vorgang, der AWS -Ressourcen auflisten oder beschreiben kann, von einer IP-Adresse aufgerufen wurde, die in einer benutzerdefinierten Bedrohungsliste enthalten ist. Die verwendete Bedrohungsliste wird in den Erkenntnisdetails aufgeführt. Ein Angreifer könnte gestohlene Anmeldeinformationen verwenden, um diese Art der Erkundung Ihrer AWS Ressourcen durchzuführen, um wertvollere Anmeldeinformationen zu finden oder die Fähigkeiten der bereits vorhandenen Anmeldeinformationen zu ermitteln.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, können Ihre Anmeldeinformationen kompromittiert sein. Weitere Informationen finden Sie unter Behebung potenziell kompromittierter Bedrohungen AWS Anmeldedaten.

Recon:IAMUser/TorIPCaller

Eine API wurde von einer IP-Adresse eines Tor-Ausgangsknotens aufgerufen.

Standard-Schweregrad: Mittel

Diese Erkenntnis informiert Sie, dass ein API-Vorgang, der Ihre AWS -Ressourcen auflisten oder beschreiben kann, von einer IP-Adresse eines Tor-Ausgangsknotens aufgerufen wurde. Tor ist eine Software, die anonyme Kommunikation ermöglicht. Sie verschlüsselt Kommunikation und leitet diese nach dem Zufallsprinzip durch Relays zwischen einer Reihe von Netzwerkknoten. Der letzte Tor-Knoten wird als Exit-Knoten bezeichnet. Ein Angreifer würde Tor verwenden, um seine wahre Identität zu verschleiern.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, können Ihre Anmeldeinformationen kompromittiert sein. Weitere Informationen finden Sie unter Behebung potenziell kompromittierter Bedrohungen AWS Anmeldedaten.

Stealth:IAMUser/CloudTrailLoggingDisabled

AWS CloudTrail Die Protokollierung wurde deaktiviert.

Standard-Schweregrad: Niedrig

Dieses Ergebnis informiert Sie darüber, dass ein CloudTrail Pfad in Ihrer AWS Umgebung deaktiviert wurde. Dabei kann es sich um den Versuch eines Angreifers handeln, die Protokollierung seiner Aktivitäten zu deaktivieren, indem er alle Spuren beseitigt, während er mit böswilliger Absicht Zugriff auf die AWS -Ressourcen erlangt. Diese Erkenntnis kann durch das erfolgreiche Löschen oder Aktualisieren eines Trails ausgelöst werden. Dieses Ergebnis kann auch durch das erfolgreiche Löschen eines S3-Buckets ausgelöst werden, in dem die Protokolle eines zugehörigen Trails gespeichert sind GuardDuty.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, können Ihre Anmeldeinformationen kompromittiert sein. Weitere Informationen finden Sie unter Behebung potenziell kompromittierter Bedrohungen AWS Anmeldedaten.

Stealth:IAMUser/PasswordPolicyChange

Die Passwortrichtlinie des Kontos wurde geschwächt.

Standard-Schweregrad: Niedrig*

Die AWS Kontopasswortrichtlinie wurde für das aufgelistete Konto in Ihrer AWS Umgebung geschwächt. Beispiel: Sie wurde gelöscht oder aktualisiert und erfordert jetzt weniger Zeichen, keine Sonderzeichen und Zahlen mehr oder das Ablaufdatum des Passworts musste verlängert werden. Diese Feststellung kann auch durch einen Versuch ausgelöst werden, Ihre AWS Kontopasswortrichtlinie zu aktualisieren oder zu löschen. Die AWS Kontopasswortrichtlinie definiert die Regeln, die regeln, welche Arten von Passwörtern für Ihre IAM-Benutzer festgelegt werden können. Eine schwächere Passwortrichtlinie ermöglicht das Erstellen von Passwörtern, die leicht zu merken und möglicherweise einfacher zu erraten sind. Dadurch entsteht ein Sicherheitsrisiko.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, können Ihre Anmeldeinformationen kompromittiert sein. Weitere Informationen finden Sie unter Behebung potenziell kompromittierter Bedrohungen AWS Anmeldedaten.

UnauthorizedAccess:IAMUser/ConsoleLoginSuccess.B

Mehrere weltweit erfolgreiche Konsolenanmeldungen wurden beobachtet.

Standard-Schweregrad: Mittel

Diese Erkenntnis informiert Sie darüber, dass mehrere erfolgreiche Konsolenanmeldungen für denselben IAM-Benutzer zur etwa gleichen Zeit an verschiedenen geografischen Standorten beobachtet wurden. Solche anomalen und riskanten Zugriffsmuster weisen auf einen potenziellen unbefugten Zugriff auf Ihre AWS Ressourcen hin.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, können Ihre Anmeldeinformationen kompromittiert sein. Weitere Informationen finden Sie unter Behebung potenziell kompromittierter Bedrohungen AWS Anmeldedaten.

UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration.InsideAWS

Anmeldeinformationen, die exklusiv für eine EC2-Instance mithilfe einer Instance-Startrolle erstellt wurden, werden von einem anderen Konto innerhalb von AWS.

Standard-Schweregrad: Hoch*

Mit dieser Erkenntnis werden Sie informiert, wenn Ihre Anmeldeinformationen für die Amazon-EC2-Instance zum Aufrufen von APIs von einer IP-Adresse oder einem Amazon-VPC-Endpunkt verwendet werden, die einem anderen AWS -Konto gehört als dem, in dem die zugehörige Amazon-EC2-Instance ausgeführt wird. Die VPC-Endpunkterkennung ist nur für Services verfügbar, die Netzwerkaktivitätsereignisse für VPC-Endpunkte unterstützen. Informationen zu Services, die Netzwerkaktivitätsereignisse für VPC-Endpunkte unterstützen, finden Sie im Benutzerhandbuch für AWS CloudTrail unter Protokollieren von Netzwerkaktivitätsereignissen.

AWS empfiehlt nicht, temporäre Anmeldeinformationen außerhalb der Entität weiterzuverteilen, die sie erstellt hat (z. B. AWS Anwendungen, Amazon EC2 oder). AWS Lambda Allerdings können autorisierte Benutzer Anmeldeinformationen aus ihren Amazon-EC2-Instances exportieren, um legitime API-Aufrufe durchzuführen. Wenn das remoteAccountDetails.Affiliated Feld lautet, wurde True die API von einem Konto aufgerufen, das demselben Administratorkonto zugeordnet ist. Um einen möglichen Angriff auszuschließen und die Legitimität der Aktivität zu überprüfen, wenden Sie sich an den AWS-Konto Eigentümer oder IAM-Principal, dem diese Anmeldeinformationen zugewiesen sind.

Empfehlungen zur Abhilfe:

Dieses Ergebnis wird generiert, wenn AWS API-Anfragen innerhalb AWS einer Amazon EC2-Instance außerhalb von Ihnen gestellt werden AWS-Konto, wobei die Sitzungsanmeldedaten Ihrer Amazon EC2-Instance verwendet werden. Es kann üblich sein, beispielsweise bei der Transit Gateway-Architektur in einer https://docs.aws.amazon.com/whitepapers/latest/building-scalable-secure-multi-vpc-network-infrastructure/transit-vpc-solution.html Hub-and-Spoke-Konfiguration, den Datenverkehr über eine einzelne Hub-VPC mit Service-Endpunkten weiterzuleiten. AWS Wenn dieses Verhalten erwartet wird, GuardDuty empfiehlt dann, eine Regel mit zwei Filterkriterien zu verwenden Unterdrückungsregeln und zu erstellen. Das erste Kriterium ist der Erkenntnistyp, in diesem Fall UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration.InsideAWS. Das zweite Filterkriterium ist die Remote-Konto-ID der Remote-Kontodetails.

Als Reaktion auf diese Erkenntnis können Sie den folgenden Workflow verwenden, um das weitere Vorgehen festzulegen:

UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration.OutsideAWS

Anmeldeinformationen, die über eine Instance-Startrolle ausschließlich für eine EC2-Instance erstellt wurden, werden von einer externen IP-Adresse verwendet.

Standard-Schweregrad: Hoch

Dieses Ergebnis informiert Sie darüber, dass ein Host außerhalb von versucht AWS hat, AWS API-Operationen mit temporären AWS Anmeldeinformationen auszuführen, die auf einer EC2-Instance in Ihrer AWS Umgebung erstellt wurden. Die aufgeführte EC2-Instance ist möglicherweise kompromittiert, und die temporären Anmeldeinformationen dieser Instance wurden möglicherweise auf einen Remote-Host außerhalb von exfiltriert. AWS AWS empfiehlt nicht, temporäre Anmeldeinformationen außerhalb der Entität weiterzuverteilen, die sie erstellt hat (z. B. AWS Anwendungen, EC2 oder Lambda). Allerdings können autorisierte Benutzer Anmeldeinformationen aus ihren EC2-Instances exportieren, um legitime API-Aufrufe durchzuführen. Um einen potenziellen Angriff auszuschließen und die Legitimität der Aktivität zu überprüfen, überprüfen Sie, ob die Verwendung von Instance-Anmeldeinformationen von der Remote-IP in der Erkenntnis erwartet wird.

Empfehlungen zur Abhilfe:

Diese Erkenntnis wird generiert, wenn das Netzwerk so konfiguriert ist, dass der Internetverkehr von einem On-Premises-Gateway und nicht von einem VPC Internet Gateway (IGW) ausgeht. Geläufige Konfigurationen, z. B. die Verwendung von AWS Outposts, oder VPC-VPN-Verbindungen, können dazu führen, dass Datenverkehr auf diese Weise weitergeleitet wird. Wenn dies ein erwartetes Verhalten ist, empfiehlt es sich, Unterdrückungsregeln zu verwenden und eine Regel zu erstellen, die aus zwei Filterkriterien besteht. Das erste Kriterium ist der Erkenntnistyp, der UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration.OutsideAWS sein sollte. Das zweite Filterkriterium ist die IPv4-Adresse des API-Aufrufers mit der IP-Adresse oder dem CIDR-Bereich Ihres On-Premises-Internet-Gateways. Weitere Informationen zum Erstellen von Unterdrückungsregeln finden Sie unter Unterdrückungsregeln in GuardDuty.

Wenn solche Aktivitäten unerwartet auftreten, können Ihre Anmeldeinformationen kompromittiert sein. Weitere Informationen finden Sie unter Behebung potenziell kompromittierter Bedrohungen AWS Anmeldedaten.

UnauthorizedAccess:IAMUser/MaliciousIPCaller

Eine API wurde von einer bekannten böswilligen IP-Adresse aufgerufen.

Standard-Schweregrad: Mittel

Diese Erkenntnis informiert Sie darüber, dass ein API-Vorgang (z. B. ein Versuch zum Starten einer EC2-Instance, Erstellen eines neuen IAM-Benutzers, Ändern Ihrer AWS -Berechtigungen usw.) von einer bekannten böswilligen IP-Adresse aufgerufen wurde. Dies kann auf unbefugten Zugriff auf AWS Ressourcen in Ihrer Umgebung hinweisen.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, können Ihre Anmeldeinformationen kompromittiert sein. Weitere Informationen finden Sie unter Behebung potenziell kompromittierter Bedrohungen AWS Anmeldedaten.

UnauthorizedAccess:IAMUser/MaliciousIPCaller.Custom

Eine API wurde von einer IP-Adresse aufgerufen, die sich auf einer benutzerdefinierten Bedrohungsliste befindet.

Standard-Schweregrad: Mittel

Dieses Ergebnis informiert Sie darüber, dass ein API-Vorgang (z. B. ein Versuch, eine EC2-Instance zu starten, einen neuen IAM-Benutzer zu erstellen oder AWS Rechte zu ändern) von einer IP-Adresse aus aufgerufen wurde, die in einer von Ihnen hochgeladenen Bedrohungsliste enthalten ist. In GuardDuty besteht eine Bedrohungsliste aus bekannten bösartigen IP-Adressen. Dies kann auf unbefugten Zugriff auf AWS Ressourcen in Ihrer Umgebung hinweisen.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, können Ihre Anmeldeinformationen kompromittiert sein. Weitere Informationen finden Sie unter Behebung potenziell kompromittierter Bedrohungen AWS Anmeldedaten.

UnauthorizedAccess:IAMUser/ResourceCredentialExfiltration.InsideAWS

Anmeldeinformationen, die exklusiv für einen erstellt wurden AWS Amazon ECS-Aufgaben werden von einem anderen Konto aus verwendet AWS

Standard-Schweregrad: Hoch*

Dieses Ergebnis informiert Sie darüber, wenn Ihre AWS Amazon ECS-Aufgabenanmeldedaten verwendet werden, um APIs von einer IP-Adresse oder einem Amazon VPC-Endpunkt aus aufzurufen, der einem anderen AWS Konto gehört als dem, auf dem die zugehörige Ressource ausgeführt wird. Die VPC-Endpunkterkennung ist nur für Services verfügbar, die Netzwerkaktivitätsereignisse für VPC-Endpunkte unterstützen. Informationen zu Services, die Netzwerkaktivitätsereignisse für VPC-Endpunkte unterstützen, finden Sie im Benutzerhandbuch für AWS CloudTrail unter Protokollieren von Netzwerkaktivitätsereignissen.

AWS empfiehlt nicht, temporäre Anmeldeinformationen außerhalb der Entität weiterzuverteilen, die sie erstellt hat (z. B. AWS Anwendungen, Amazon EC2 oder Amazon Elastic Container Service). Autorisierte Benutzer können jedoch Anmeldeinformationen aus ihren Ressourcen exportieren, um legitime API-Aufrufe durchzuführen. Wenn das remoteAccountDetails.affiliated Feld aktiviert ist, bedeutet True dies, dass die API von einem Konto aufgerufen wurde, das demselben Administratorkonto zugeordnet ist. Um einen möglichen Angriff auszuschließen und die Legitimität der Aktivität zu überprüfen, wenden Sie sich an den AWS-Konto Eigentümer oder IAM-Principal, dem diese Anmeldeinformationen zugewiesen sind.

Empfehlungen zur Abhilfe:

Dieses Ergebnis wird generiert, wenn AWS API-Anfragen innerhalb AWS einer Ressource außerhalb von Ihnen mithilfe Ihrer AWS-Konto AWS Amazon ECS-Aufgabenrolle gestellt werden. Es kann üblich sein, beispielsweise bei der Transit Gateway-Architektur in einer https://docs.aws.amazon.com/whitepapers/latest/building-scalable-secure-multi-vpc-network-infrastructure/transit-vpc-solution.html Hub-and-Spoke-Konfiguration, den Datenverkehr über eine einzelne Hub-VPC mit AWS Service-Endpunkten weiterzuleiten. Wenn dies ein erwartetes Verhalten ist, empfehlen wir, Unterdrückungsregeln zusammen mit den Filterkriterien den Findetyp zu verwenden, der UnauthorizedAccess:IAMUser/ResourceCredentialExfiltration.InsideAWS

Als Reaktion auf diese Erkenntnis können Sie den folgenden Workflow verwenden, um das weitere Vorgehen festzulegen:

UnauthorizedAccess:IAMUser/ResourceCredentialExfiltration.OutsideAWS

Anmeldeinformationen, die exklusiv für einen erstellt wurden AWS Ressourcen (eine Lambda-Funktion oder eine Amazon ECS-Aufgabe) werden von einer IP-Adresse außerhalb von verwendet AWS.

Standard-Schweregrad: Hoch

Dieses Ergebnis informiert Sie darüber, dass ein Host außerhalb von AWS versucht hat, AWS API-Operationen mit temporären AWS Anmeldeinformationen auszuführen, die für eine AWS Ressource (eine Lambda-Funktion oder Amazon ECS-Aufgabe) in Ihrer AWS Umgebung erstellt wurden. Die aufgeführte Ressource ist möglicherweise kompromittiert, und die temporären Anmeldeinformationen dieser Ressource wurden möglicherweise auf einen externen Host außerhalb von exfiltriert. AWS

AWS empfiehlt nicht, temporäre Anmeldeinformationen außerhalb der Entität weiterzuverteilen, die sie erstellt hat (z. B. AWS Anwendungen wie Amazon Elastic Compute Cloud (Amazon EC2), Amazon Elastic Container Service oder). AWS Lambda Autorisierte Benutzer können jedoch Anmeldeinformationen aus ihren Ressourcen exportieren, um legitime API-Aufrufe durchzuführen. Um einen möglichen Angriff auszuschließen und die Legitimität der Aktivität zu überprüfen, überprüfen Sie, ob die Verwendung von Ressourcenanmeldeinformationen von der Remote-IP in dem Ergebnis zu erwarten ist.

Empfehlungen zur Abhilfe:

Diese Erkenntnis wird generiert, wenn das Netzwerk so konfiguriert ist, dass der Internetdatenverkehr von einem On-Premises-Gateway und nicht von einem VPC-Internet-Gateway (IGW) ausgeht. Geläufige Konfigurationen, z. B. die Verwendung von AWS Outposts oder VPC-VPN-Verbindungen, können dazu führen, dass Datenverkehr auf diese Weise weitergeleitet wird. Wenn dies ein erwartetes Verhalten ist, GuardDuty empfiehlt dann, Unterdrückungsregeln die Verwendung einer Regel mit zwei Filterkriterien zu verwenden. Das erste Kriterium ist der Erkenntnistyp, der UnauthorizedAccess:IAMUser/ResourceCredentialExfiltration.OutsideAWS sein sollte. Das zweite Filterkriterium ist die IPv4-Adresse des API-Aufrufers mit der IP-Adresse oder dem CIDR-Bereich für Ihren On-Premises-Internet-Gateway.

Wenn solche Aktivitäten unerwartet auftreten, sind Ihre Anmeldeinformationen möglicherweise kompromittiert. Hinweise zu den Schritten zur Behebung dieses Befundtyps finden Sie unter oderBehebung potenziell kompromittierter Bedrohungen AWS Anmeldedaten. Behebung eines potenziell kompromittierten ECS-Clusters

UnauthorizedAccess:IAMUser/TorIPCaller

Eine API wurde von einer IP-Adresse eines Tor-Ausgangsknotens aufgerufen.

Standard-Schweregrad: Mittel

Diese Erkenntnis informiert Sie darüber, dass ein API-Vorgang (Beispiel: ein Versuch zum Starten einer EC2-Instance, Erstellen eines neuen IAM-Benutzers oder Ändern Ihrer AWS -Rechte) von einer IP-Adresse eines Tor-Ausgangsknotens aufgerufen wurde. Tor ist eine Software, die anonyme Kommunikation ermöglicht. Sie verschlüsselt Kommunikation und leitet diese nach dem Zufallsprinzip durch Relays zwischen einer Reihe von Netzwerkknoten. Der letzte Tor-Knoten wird als Exit-Knoten bezeichnet. Dies kann auf einen unbefugten Zugriff auf Ihre AWS -Ressourcen hinweisen, mit dem Ziel, die wahre Identität des Angreifers zu verbergen.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, können Ihre Anmeldeinformationen kompromittiert sein. Weitere Informationen finden Sie unter Behebung potenziell kompromittierter Bedrohungen AWS Anmeldedaten.