Создание пользователя в Atlassian Jira
Описание
Правило направлено на детектирование активности, связанной с добавлением новых учетных записей в систему. Такое поведение может быть признаком попытки атакующих создать привилегированные или незаметные учетные записи для дальнейшего использования их в атаке. При успешном добавлении новых пользователей с повышенными привилегиями атакующие могут получить доступ к конфиденциальной информации, изменять данные, выполнять команды или скрывать свои действия в системе. Это может привести к утечке данных, нарушению работоспособности сервисов и повышению риска для бизнеса.
Разбор
Для реализации данной активности необходимо перейти на страницу Jira administration -> User management -> Create user.
Далее на открывшейся странице необходимо заполнить соответствующие поля и нажать кнопку Create user.
Интерфейс создания нового пользователя в Atlassian Jira
При выполнении активности генерируется лог с полем device_action, равным user created или пользователь создан.
Пример нормализованного события в SIEM
В данном событии следует обратить внимание на следующие ключевые поля:
src_user_name: имя пользователя, выполнившего действие.dst_user_name: имя созданного пользователя.device_hostname: имя хоста, на котором было выполнено действие.src_ip: IP-адрес, с которого была инициирована активность.
Дополнительные материалы
Вывод
Данное правило полезно для выявления подозрительных действий, направленных на несанкционированное создание учетных записей. Ложноположительные срабатывания могут быть вызваны обычной административной деятельностью, например, при добавлении сотрудников или автоматизированных сервисных учетных записей. Тем не менее, необходимо отслеживать все подобные события для исключения возможных атак и действий атакующих.
Возможный способ обнаружения
Правило детектирования основано на анализе событий от Atlassian Jira, где в поле device_action установлено значение user created или пользователь создан. Далее идет проверка учетной записи сотрудника, выполнившего активность: если его нет в списке privileged_users_and_hosts_cimv2 или его IP-адрес не совпадает, то инцидент не будет коррелировать.
Правила
Создание пользователя в Jira
id: RV-D-1196
rid: 7f577a9c-30a7-4bb8-b0b2-d5de54ec1829
name: Создание пользователя в Jira
Тестирование
- Atlassian Jira Project Management Software (v9.16.0)
False Positive
- Легитимная активность сотрудников в рамках создания резервных копий Jira.