تنبيهات الأمان - دليل مرجعي

تسرد هذه المقالة تنبيهات الأمان التي قد تحصل عليها من Microsoft Defender for Cloud وأي خطط Microsoft Defender قمت بتمكينها. تعتمد التنبيهات المعروضة في بيئتك على الموارد والخدمات التي تحميها، والتكوين المخصص.

في أسفل هذه الصفحة، يوجد جدول يصف سلسلة إيقاف Microsoft Defender for Cloud تتماشى مع الإصدار 9 من مصفوفة MITRE ATT&CK.

تعرف على كيفية الاستجابة لهذه التنبيهات.

تعرف على كيفية تصدير التنبيهات.

إشعار

قد تستغرق التنبيهات من مصادر مختلفة وقتاً مختلفاً للظهور. مثلاً، قد تستغرق التنبيهات التي تتطلب تحليل حركة مرور الشبكة وقتاً أطول من التنبيهات المتعلقة بالعمليات المشبوهة التي تعمل على الأجهزة الظاهرية.

تنبيهات لأجهزة Windows

يوفر Microsoft Defender للخوادم الخطة 2 اكتشافات وتنبيهات فريدة، بالإضافة إلى تلك التي توفرها Microsoft Defender لنقطة النهاية. التنبيهات المقدمة لأجهزة Windows هي:

مزيد من التفاصيل والملاحظات

تم الكشف عن تسجيل دخول من عنوان IP ضار. [يحدث عدة مرات]

الوصف: حدثت مصادقة ناجحة عن بعد للحساب [الحساب] والعملية [العملية]، ولكن تم الإبلاغ عن عنوان IP لتسجيل الدخول (x.x.x.x) مسبقا على أنه ضار أو غير عادي للغاية. ربما حدث هجوم ناجح. الملفات التي تحتوي على ملحقات .scr هي ملفات حفظ الشاشة وعادة ما تكون موجودة ويتم تنفيذها من دليل نظام Windows.

تكتيكات MITRE: -

الخطورة: عالية

تم تدقيق انتهاك نهج التحكم في التطبيق التكيفي

VM_AdaptiveApplicationControlWindowsViolationAudited

الوصف: قام المستخدمون أدناه بتشغيل التطبيقات التي تنتهك نهج التحكم في التطبيق لمؤسستك على هذا الجهاز. قد يعرض الجهاز للبرامج الضارة أو الثغرات الأمنية في التطبيق.

تكتيكات MITRE: التنفيذ

الخطورة: معلوماتية

إضافة حساب الضيف إلى مجموعة المسؤولين المحليين

الوصف: كشف تحليل بيانات المضيف عن إضافة حساب Guest المضمن إلى مجموعة Local مسؤول istrators على ٪{Compromised Host}، المرتبط بشدة بنشاط المهاجم.

تكتيكات MITRE: -

الخطورة: متوسط

تم مسح سجل أحداث

الوصف: تشير سجلات الجهاز إلى عملية مسح سجل أحداث مشبوهة بواسطة المستخدم: '٪{اسم المستخدم}' في الجهاز: '٪{CompromisedEntity}'. تم مسح سجل %{log channel}.

تكتيكات MITRE: -

الخطورة: معلوماتية

فشل إجراء مكافحة البرامج الضارة

الوصف: صادفت Microsoft Antimalware خطأ عند اتخاذ إجراء بشأن البرامج الضارة أو البرامج الأخرى التي قد تكون غير مرغوب فيها.

تكتيكات MITRE: -

الخطورة: متوسط

إجراء مكافحة البرامج الضارة الذي تم اتخاذه

الوصف: اتخذت Microsoft Antimalware ل Azure إجراء لحماية هذا الجهاز من البرامج الضارة أو البرامج الأخرى غير المرغوب فيها.

تكتيكات MITRE: -

الخطورة: متوسط

استبعاد ملفات مكافحة البرامج الضارة الواسعة في جهازك الظاهري

(VM_AmBroadFilesExclusion)

الوصف: تم الكشف عن استبعاد الملفات من ملحق مكافحة البرامج الضارة مع قاعدة استبعاد واسعة في جهازك الظاهري عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. يؤدي هذا الاستبعاد عمليًا إلى تعطيل الحماية من البرامج الضارة. قد يستبعد المهاجمون الملفات من فحص مكافحة البرامج الضارة على جهازك الظاهري لمنع الكشف أثناء تشغيل التعليمات البرمجية العشوائية أو إصابة الجهاز بالبرامج الضارة.

تكتيكات MITRE: -

الخطورة: متوسط

تم تعطيل مكافحة البرامج الضارة وتنفيذ التعليمات البرمجية في جهازك الظاهري

(VM_AmDisablementAndCodeExecution)

الوصف: تم تعطيل مكافحة البرامج الضارة في نفس الوقت الذي يتم فيه تنفيذ التعليمات البرمجية على جهازك الظاهري. تم الكشف عن ذلك عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. يقوم المهاجمون بتعطيل الماسحات الضوئية للحماية من البرامج الضارة لمنع الكشف في أثناء تشغيل أدوات غير مصرح بها أو إصابة الجهاز بالبرامج الضارة.

تكتيكات MITRE: -

الخطورة: عالية

تم تعطيل مكافحة البرامج الضارة في جهازك الظاهري

(VM_AmDisablement)

الوصف: تم تعطيل مكافحة البرامج الضارة في جهازك الظاهري. تم الكشف عن ذلك عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد يقوم المهاجمون بتعطيل برنامج الحماية من البرامج الضارة على جهازك الظاهري لمنع الكشف.

تكتيكات MITRE: التهرب الدفاعي

الخطورة: متوسط

استبعاد ملف مكافحة البرامج الضارة وتنفيذ التعليمات البرمجية في جهازك الظاهري

(VM_AmFileExclusionAndCodeExecution)

الوصف: تم استبعاد الملف من الماسح الضوئي للحماية من البرامج الضارة في نفس الوقت الذي تم فيه تنفيذ التعليمات البرمجية عبر ملحق برنامج نصي مخصص على جهازك الظاهري. تم الكشف عن ذلك عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد يستبعد المهاجمون الملفات من فحص مكافحة البرامج الضارة على جهازك الظاهري لمنع الكشف أثناء تشغيل أدوات غير مصرح بها أو إصابة الجهاز بالبرامج الضارة.

تكتيكات MITRE: التهرب الدفاعي، التنفيذ

الخطورة: عالية

استبعاد ملف مكافحة البرامج الضارة وتنفيذ التعليمات البرمجية في جهازك الظاهري

(VM_AmTempFileExclusionAndCodeExecution)

الوصف: تم الكشف عن استبعاد الملف المؤقت من ملحق مكافحة البرامج الضارة بالتوازي مع تنفيذ التعليمات البرمجية عبر ملحق البرنامج النصي المخصص في جهازك الظاهري عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد يستبعد المهاجمون الملفات من فحص مكافحة البرامج الضارة على جهازك الظاهري لمنع الكشف أثناء تشغيل التعليمات البرمجية العشوائية أو إصابة الجهاز بالبرامج الضارة.

تكتيكات MITRE: التهرب الدفاعي، التنفيذ

الخطورة: عالية

استبعاد ملف مكافحة البرامج الضارة في جهازك الظاهري

(VM_AmTempFileExclusion)

الوصف: تم استبعاد الملف من الماسح الضوئي للحماية من البرامج الضارة على جهازك الظاهري. تم الكشف عن ذلك عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد يستبعد المهاجمون الملفات من فحص مكافحة البرامج الضارة على جهازك الظاهري لمنع الكشف أثناء تشغيل أدوات غير مصرح بها أو إصابة الجهاز بالبرامج الضارة.

تكتيكات MITRE: التهرب الدفاعي

الخطورة: متوسط

تم تعطيل الحماية من البرامج الضارة في الوقت الحقيقي في جهازك الظاهري

(VM_AmRealtimeProtectionDisabled)

الوصف: تم الكشف عن تعطيل الحماية في الوقت الحقيقي لملحق مكافحة البرامج الضارة في جهازك الظاهري عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد يعطل المهاجمون الحماية في الوقت الحقيقي من فحص مكافحة البرامج الضارة على جهازك الظاهري لتجنب الكشف أثناء تشغيل التعليمات البرمجية العشوائية أو إصابة الجهاز بالبرامج الضارة.

تكتيكات MITRE: التهرب الدفاعي

الخطورة: متوسط

تم تعطيل الحماية من البرامج الضارة في الوقت الحقيقي مؤقتا في جهازك الظاهري

(VM_AmTempRealtimeProtectionDisablement)

الوصف: تم الكشف عن التعطيل المؤقت للحماية في الوقت الحقيقي لملحق مكافحة البرامج الضارة في جهازك الظاهري عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد يعطل المهاجمون الحماية في الوقت الحقيقي من فحص مكافحة البرامج الضارة على جهازك الظاهري لتجنب الكشف أثناء تشغيل التعليمات البرمجية العشوائية أو إصابة الجهاز بالبرامج الضارة.

تكتيكات MITRE: التهرب الدفاعي

الخطورة: متوسط

تم تعطيل الحماية من البرامج الضارة في الوقت الحقيقي مؤقتًا أثناء تنفيذ التعليمات البرمجية في جهازك الظاهري

(VM_AmRealtimeProtectionDisablementAndCodeExec)

الوصف: تم الكشف عن التعطيل المؤقت للحماية في الوقت الحقيقي لملحق مكافحة البرامج الضارة بالتوازي مع تنفيذ التعليمات البرمجية عبر ملحق البرنامج النصي المخصص في جهازك الظاهري عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد يعطل المهاجمون الحماية في الوقت الحقيقي من فحص مكافحة البرامج الضارة على جهازك الظاهري لتجنب الكشف أثناء تشغيل التعليمات البرمجية العشوائية أو إصابة الجهاز بالبرامج الضارة.

تكتيكات MITRE: -

الخطورة: عالية

تم حظر عمليات فحص مكافحة البرامج الضارة بحثًا عن الملفات التي يحتمل أن تكون ذات صلة بحملات البرامج الضارة على جهازك الظاهري (معاينة)

(VM_AmMalwareCampaignRelatedExclusion)

الوصف: تم الكشف عن قاعدة استبعاد في جهازك الظاهري لمنع ملحق مكافحة البرامج الضارة من مسح ملفات معينة يشتبه في ارتباطها بحملة برامج ضارة. تم الكشف عن القاعدة عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد يستبعد المهاجمون الملفات من عمليات فحص مكافحة البرامج الضارة لمنع الكشف أثناء تشغيل التعليمات البرمجية العشوائية أو إصابة الجهاز بالبرامج الضارة.

تكتيكات MITRE: التهرب الدفاعي

الخطورة: متوسط

تم تعطيل مكافحة البرامج الضارة مؤقتا في جهازك الظاهري

(VM_AmTemporarilyDisablement)

الوصف: تم تعطيل مكافحة البرامج الضارة مؤقتا في جهازك الظاهري. تم الكشف عن ذلك عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد يقوم المهاجمون بتعطيل برنامج الحماية من البرامج الضارة على جهازك الظاهري لمنع الكشف.

تكتيكات MITRE: -

الخطورة: متوسط

استبعاد ملف مكافحة البرامج الضارة غير العادي في جهازك الظاهري

(VM_UnusualAmFileExclusion)

الوصف: تم الكشف عن استبعاد ملف غير عادي من ملحق مكافحة البرامج الضارة في جهازك الظاهري عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد يستبعد المهاجمون الملفات من فحص مكافحة البرامج الضارة على جهازك الظاهري لمنع الكشف أثناء تشغيل التعليمات البرمجية العشوائية أو إصابة الجهاز بالبرامج الضارة.

تكتيكات MITRE: التهرب الدفاعي

الخطورة: متوسط

الاتصال بالمجال المشبوه الذي حدَّده التحليل الذكي للمخاطر

(AzureDNS_ThreatIntelSuspectDomain)

الوصف: تم الكشف عن الاتصال بالمجال المشبوه من خلال تحليل معاملات DNS من المورد الخاص بك والمقارنة مع المجالات الضارة المعروفة التي تم تحديدها بواسطة موجزات التحليل الذكي للمخاطر. أجرى المهاجمون الاتصال بالمجالات الضارة بشكل متكرر وقد يعني ذلك أن موردك عرضة للخطر.

تكتيكات MITRE: الوصول الأولي، والمثابرة، والتنفيذ، والتحكم، والاستغلال

الخطورة: متوسط

الإجراءات المكتشفة التي تشير إلى تعطيل ملفات سجل IIS وحذفها

الوصف: تحليل الإجراءات المكتشفة لبيانات المضيف التي تعرض ملفات سجل IIS التي يتم تعطيلها و/أو حذفها.

تكتيكات MITRE: -

الخطورة: متوسط

تم الكشف عن مزيج شاذ من أحرف الأحرف العلوية والسفلية في سطر الأوامر

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} عن سطر أوامر بمزيج غير مألوف من أحرف الأحرف العليا والسفلى. هذا النوع من النمط، على الرغم من أنه ربما يكون حميدا، هو أيضا نموذجي للمهاجمين الذين يحاولون الاختباء من مطابقة القواعد الحساسة لحالة الأحرف أو المستندة إلى التجزئة عند تنفيذ المهام الإدارية على مضيف مخترق.

تكتيكات MITRE: -

الخطورة: متوسط

تم الكشف عن التغيير إلى مفتاح التسجيل الذي يمكن إساءة استخدامه لتجاوز UAC

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} عن تغيير مفتاح تسجيل يمكن إساءة استخدامه لتجاوز UAC (التحكم في حساب المستخدم). هذا النوع من التكوين، على الرغم من أنه ربما يكون حميدًا، هو أيضًا نموذج لنشاط المهاجم عند محاولة الانتقال من الوصول غير المميز (المستخدم القياسي) إلى الوصول المتميز (على سبيل المثال المسؤول) على مضيف مخترق.

تكتيكات MITRE: -

الخطورة: متوسط

تم الكشف عن فك ترميز قابل للتنفيذ باستخدام أداة certutil.exe مضمنة

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} أنه تم استخدام certutil.exe، وهي أداة مساعدة للمسؤول مضمنة، لفك ترميز قابل للتنفيذ بدلا من الغرض الأساسي الخاص به المتعلق بمعالجة الشهادات وبيانات الشهادة. من المعروف أن المهاجمين يسيئون استخدام وظائف أدوات المسؤول الشرعية لتنفيذ إجراءات ضارة، على سبيل المثال باستخدام أداة مثل certutil.exe لفك تشفير قابل للتنفيذ الضار الذي سيتم تنفيذه بعد ذلك.

تكتيكات MITRE: -

الخطورة: عالية

تم الكشف عن تمكين مفتاح التسجيل WDigest UseLogonCredential

الوصف: كشف تحليل بيانات المضيف عن تغيير في مفتاح التسجيل HKLM\SYSTEM\ CurrentControlSet\Control\SecurityProviders\WDigest\ "UseLogonCredential". على وجه التحديد تم تحديث هذا المفتاح للسماح بتخزين بيانات اعتماد تسجيل الدخول في نص واضح في ذاكرة LSA. بمجرد التمكين، يمكن للمهاجم تفريغ كلمات مرور نصية واضحة من ذاكرة LSA باستخدام أدوات جمع بيانات الاعتماد مثل Mimikatz.

تكتيكات MITRE: -

الخطورة: متوسط

تم الكشف عن قابل للتنفيذ مرمز في بيانات سطر الأوامر

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} عن ملف قابل للتنفيذ مرمز ب base-64. كان هذا مرتبطًا سابقًا بالمهاجمين الذين يحاولون إنشاء الملفات التنفيذية في أثناء التنقل عبر سلسلة من الأوامر، ومحاولة التهرب من أنظمة الكشف عن الاختراق عن طريق التأكد من عدم تشغيل أي أمر فردي تنبيه. قد يكون هذا نشاطًا شرعيًا، أو مؤشرًا على مضيف معرض للخطر.

تكتيكات MITRE: -

الخطورة: عالية

تم الكشف عن سطر الأوامر العتيم

الوصف: يستخدم المهاجمون تقنيات التعتيم المعقدة بشكل متزايد للتهرب من الاكتشافات التي تعمل مقابل البيانات الأساسية. كشف تحليل بيانات المضيف على %{Compromised Host} عن مؤشرات مشبوهة للتعتيم على سطر الأوامر.

تكتيكات MITRE: -

الخطورة: معلوماتية

تم الكشف عن التنفيذ المحتمل لـ keygen القابل للتنفيذ

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} عن تنفيذ عملية يشير اسمها إلى أداة keygen؛ عادة ما تستخدم هذه الأدوات لهزيمة آليات ترخيص البرامج ولكن غالبا ما يتم تجميع تنزيلها مع برامج ضارة أخرى. من المعروف أن مجموعة النشاط GOLD تستخدم مثل هذه المفاتيح للحصول على وصول سري إلى الأبواب الخلفية إلى المضيفين الذين يخترقونها.

تكتيكات MITRE: -

الخطورة: متوسط

تم الكشف عن إمكانية تنفيذ إسقاط البرامج الضارة

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} عن اسم ملف تم إقرانه مسبقا بإحدى أساليب GOLD الخاصة بمجموعة النشاط لتثبيت البرامج الضارة على مضيف الضحية.

تكتيكات MITRE: -

الخطورة: عالية

الكشف عن نشاط استطلاع محلي محتمل

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} عن مجموعة من أوامر systeminfo التي تم إقرانها مسبقا بإحدى أساليب GOLD لمجموعة النشاط لتنفيذ نشاط الاستطلاع. في حين أن "systeminfo.exe" هي أداة Windows شرعية، فإن تنفيذها مرتين متتاليتين بالطريقة التي حدثت هنا أمر نادر الحدوث.

تكتيكات MITRE: -

الخطورة: منخفض

تم الكشف عن الاستخدام المشبوه المحتمل لأداة Telegram

الوصف: يظهر تحليل بيانات المضيف تثبيت Telegram، وهي خدمة مراسلة فورية مجانية مستندة إلى السحابة موجودة لكل من نظام الجوال وسطح المكتب. من المعروف أن المهاجمين يسيئون استخدام هذه الخدمة لنقل الثنائيات الضارة إلى أي كمبيوتر أو هاتف أو كمبيوتر لوحي آخر.

تكتيكات MITRE: -

الخطورة: متوسط

الكشف عن منع الإشعار القانوني المعروض للمستخدمين عند تسجيل الدخول

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} عن تغييرات على مفتاح التسجيل الذي يتحكم في ما إذا كان يتم عرض إشعار قانوني للمستخدمين عند تسجيل الدخول. قرر تحليل أمان Microsoft أن هذا نشاط شائع يقوم به المهاجمون بعد اختراق مضيف.

تكتيكات MITRE: -

الخطورة: منخفض

تم الكشف عن تركيبة مشبوهة من HTA وPowerShell

الوصف: يتم استخدام mshta.exe (مضيف تطبيق Microsoft HTML) وهو ثنائي موقع من Microsoft من قبل المهاجمين لتشغيل أوامر PowerShell الضارة. غالبًا ما يلجأ المهاجمون إلى وجود ملف HTA مع VBScript مضمن. عندما يستعرض الضحية وصولًا إلى ملف HTA ويختار تشغيله، يتم تنفيذ أوامر PowerShell والبرامج النصية التي يحتوي عليها. تم الكشف عن تحليل بيانات المضيف على %{Compromised Host} mshta.exe تشغيل أوامر PowerShell.

تكتيكات MITRE: -

الخطورة: متوسط

اكتشاف وسيطات سطر الأوامر المشبوهة

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} عن وسيطات سطر الأوامر المشبوهة التي تم استخدامها بالاقتران مع shell عكسي تستخدمه مجموعة النشاط هيدروجين.

تكتيكات MITRE: -

الخطورة: عالية

تم الكشف عن سطر الأوامر المشبوه المستخدم لبدء تشغيل كافة الملفات التنفيذية في دليل

الوصف: كشف تحليل بيانات المضيف عن عملية مشبوهة تعمل على ٪{Compromised Host}. يشير سطر الأوامر إلى محاولة بدء تشغيل كافة الملفات التنفيذية (*.exe) التي قد تكون موجودة في دليل. قد يكون هذا مؤشرًا على مضيف معرض للخطر.

تكتيكات MITRE: -

الخطورة: متوسط

تم الكشف عن بيانات اعتماد مشبوهة في سطر الأوامر

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} عن كلمة مرور مريبة يتم استخدامها لتنفيذ ملف بواسطة مجموعة النشاط BORON. من المعروف أن مجموعة النشاط هذه تستخدم كلمة المرور هذه لتنفيذ برامج Pirpi الضارة على مضيف الضحية.

تكتيكات MITRE: -

الخطورة: عالية

تم الكشف عن بيانات اعتماد المستند المشبوهة

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} عن تجزئة كلمة مرور مريبة ومشتركة تم حسابها مسبقا تستخدمها البرامج الضارة المستخدمة لتنفيذ ملف. من المعروف أن مجموعة النشاط هيدروجين تستخدم كلمة المرور هذه لتنفيذ البرامج الضارة على مضيف الضحية.

تكتيكات MITRE: -

الخطورة: عالية

تم الكشف عن التنفيذ المشبوه للأمر VBScript.Encode

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} عن تنفيذ الأمر VBScript.Encode. يؤدي هذا إلى ترميز البرامج النصية إلى نص غير قابل للقراءة، ما يجعل من الصعب على المستخدمين فحص التعليمات البرمجية. تظهر أبحاث التهديد من Microsoft أن المهاجمين غالبًا ما يستخدمون ملفات VBscript المشفرة كجزء من هجومهم للتهرب من أنظمة الكشف. قد يكون هذا نشاطًا شرعيًا، أو مؤشرًا على مضيف معرض للخطر.

تكتيكات MITRE: -

الخطورة: متوسط

تم الكشف عن التنفيذ المشبوه عبر rundll32.exe

الوصف: تم الكشف عن تحليل بيانات المضيف على ٪{Compromised Host} rundll32.exe استخدامها لتنفيذ عملية باسم غير شائع، بما يتماشى مع نظام تسمية العملية الذي سبق رؤيته مستخدما من قبل مجموعة النشاط GOLD عند تثبيت غرس المرحلة الأولى على مضيف تم اختراقه.

تكتيكات MITRE: -

الخطورة: عالية

تم الكشف عن أوامر تنظيف الملفات المشبوهة

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} عن مجموعة من أوامر systeminfo التي تم إقرانها مسبقا بأحد أساليب GOLD لمجموعة النشاط لتنفيذ نشاط التنظيف الذاتي بعد التسوية. في حين أن "systeminfo.exe" هي أداة Windows شرعية، فإن تنفيذها مرتين متتاليتين، متبوعا بأمر حذف بالطريقة التي حدثت هنا أمر نادر.

تكتيكات MITRE: -

الخطورة: عالية

الكشف عن إنشاء ملف مريب

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} عن إنشاء أو تنفيذ عملية أشارت مسبقا إلى إجراء ما بعد التسوية الذي تم اتخاذه على مضيف ضحية بواسطة مجموعة النشاط BARIUM. من المعروف أن مجموعة النشاط هذه تستخدم هذه التقنية لتنزيل المزيد من البرامج الضارة إلى مضيف تم اختراقه بعد فتح مرفق في مستند التصيد الاحتيالي.

تكتيكات MITRE: -

الخطورة: عالية

تم الكشف عن اتصالات الأنابيب المسماة المشبوهة

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} عن البيانات التي تتم كتابتها إلى أنبوب محلي مسمى من أمر وحدة تحكم Windows. تعرف الأنابيب المسماة بأنها قناة يستخدمها المهاجمون للمهمة والتواصل مع زرع ضار. قد يكون هذا نشاطًا شرعيًا، أو مؤشرًا على مضيف معرض للخطر.

تكتيكات MITRE: -

الخطورة: عالية

اكتشاف نشاط شبكة مشبوه

الوصف: كشف تحليل حركة مرور الشبكة من ٪{Compromised Host} عن نشاط شبكة مشبوه. تستخدم نسبة استخدام الشبكة هذه، على الرغم من أنها قد تكون حميدة، عادة من قبل المهاجم للاتصال بخوادم ضارة لتنزيل الأدوات والأوامر والتحكم واختراق البيانات. يتضمن نشاط المهاجم ذي الصلة النموذجي نسخ أدوات الإدارة عن بعد إلى مضيف مخترق وطرد بيانات المستخدم منه.

تكتيكات MITRE: -

الخطورة: منخفض

تم الكشف عن قاعدة جدار حماية جديدة مريبة

الوصف: كشف تحليل بيانات المضيف عن إضافة قاعدة جدار حماية جديدة عبر netsh.exe للسماح بنسبة استخدام الشبكة من ملف قابل للتنفيذ في موقع مريب.

تكتيكات MITRE: -

الخطورة: متوسط

الكشف عن الاستخدام المشبوه لـ Cacls لخفض حالة الأمان للنظام

الوصف: يستخدم المهاجمون طرقا لا تحصى مثل القوة الغاشمة والتصيد الاحتيالي الرمح وما إلى ذلك لتحقيق التسوية الأولية والحصول على موطئ قدم على الشبكة. بمجرد تحقيق التسوية الأولية، غالبًا ما يتخذون خطوات لخفض إعدادات الأمان للنظام. Caclsâ €"قصيرة لتغيير قائمة التحكم في الوصول هي الأداة المساعدة سطر الأوامر الأصلية ل Microsoft Windows غالبا ما تستخدم لتعديل إذن الأمان على المجلدات والملفات. يستخدم المهاجمون الكثير من الوقت الثنائي لخفض إعدادات الأمان للنظام. ويتم ذلك عن طريق منح الجميع حق الوصول الكامل إلى بعض ثنائيات النظام مثل ftp.exe net.exe wscript.exe وما إلى ذلك. كشف تحليل بيانات المضيف على %{Compromised Host} عن استخدام مريب لـCacls لخفض أمان النظام.

تكتيكات MITRE: -

الخطورة: متوسط

الكشف عن الاستخدام المشبوه لـ FTP -s Switch

الوصف: كشف تحليل بيانات إنشاء العملية من ٪{Compromised Host} عن استخدام مفتاح FTP "-s:filename". يتم استخدام مفتاح التبديل هذا لتحديد ملف برنامج نصي FTP للعميل لتشغيله. من المعروف أن البرامج الضارة أو العمليات الضارة تستخدم مفتاح FTP هذا (-s:filename) للإشارة إلى ملف برنامج نصي، تم تكوينه للاتصال بخادم FTP بعيد وتنزيل المزيد من الثنائيات الضارة.

تكتيكات MITRE: -

الخطورة: متوسط

الكشف عن الاستخدام المشبوه Pcalua.exe لتشغيل التعليمات البرمجية القابلة للتنفيذ

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} عن استخدام pcalua.exe لتشغيل التعليمات البرمجية القابلة للتنفيذ. Pcalua.exe هو مكون من Microsoft Windows "مساعد توافق البرامج"، الذي يكشف عن مشكلات التوافق أثناء تثبيت برنامج أو تنفيذه. من المعروف أن المهاجمين يسيئون استخدام وظائف أدوات نظام Windows الشرعية لتنفيذ إجراءات ضارة، على سبيل المثال باستخدام pcalua.exe مع -مفتاح لتشغيل الملفات التنفيذية الضارة إما محليًا أو من المشاركات عن بعد.

تكتيكات MITRE: -

الخطورة: متوسط

الكشف عن تعطيل الخدمات الهامة

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} عن تنفيذ أمر "net.exe stop" المستخدم لإيقاف الخدمات الهامة مثل SharedAccess أو تطبيق أمن Windows. يمكن أن يكون إيقاف أي من هذه الخدمات مؤشرا على سلوك ضار.

تكتيكات MITRE: -

الخطورة: متوسط

تم الكشف عن السلوك ذي الصلة بالتنقيب عن العملة الرقمية

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} عن تنفيذ عملية أو أمر يرتبط عادة بالتنقيب عن العملات الرقمية.

تكتيكات MITRE: -

الخطورة: عالية

بناء البرنامج النصي الديناميكي PS

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} عن برنامج نصي PowerShell يتم إنشاؤه ديناميكيا. يستخدم المهاجمون أحيانًا هذا النهج لبناء برنامج نصي تدريجيًا من أجل التهرب من أنظمة IDS. قد يكون هذا نشاطًا مشروعًا، أو مؤشرًا على تعرض أحد أجهزتك للخطر.

تكتيكات MITRE: -

الخطورة: متوسط

تم العثور على قابل للتنفيذ يعمل من موقع مريب

الوصف: كشف تحليل بيانات المضيف عن ملف قابل للتنفيذ على ٪{Compromised Host} يتم تشغيله من موقع مشترك مع الملفات المشبوهة المعروفة. يمكن أن يكون هذا الملف التنفيذي إما نشاطًا شرعيًا أو مؤشرًا على مضيف مخترق.

تكتيكات MITRE: -

الخطورة: عالية

تم الكشف عن سلوك الهجوم بدون ملف

(VM_FilelessAttackBehavior.Windows)

الوصف: تحتوي ذاكرة العملية المحددة على سلوكيات شائعة الاستخدام من قبل الهجمات بدون ملفات. تتضمن السلوكيات المحددة ما يلي:

1. Shellcode، هو جزء صغير من التعليمات البرمجية يُستخدم عادةً كحمولة في استغلال ثغرة أمنية في البرنامج.
2. اتصالات الشبكة النشطة. راجع NetworkConnections أدناه للحصول على التفاصيل.
3. استدعاءات الدالة إلى واجهات نظام التشغيل الحساسة للأمان. راجع القدرات أدناه للحصول على قدرات نظام التشغيل المشار إليها.
4. يحتوي على مؤشر ترابط تم بدء تشغيله في مقطع تعليمات برمجية مخصص ديناميكيا. هذا نمط شائع لهجمات حقن العمليات.

تكتيكات MITRE: التهرب الدفاعي

الخطورة: منخفض

تم الكشف عن تقنية الهجوم بدون ملف

(VM_FilelessAttackTechnique.Windows)

الوصف: تحتوي ذاكرة العملية المحددة أدناه على دليل على تقنية هجوم بدون ملف. يتم استخدام الهجمات بدون ملفات من قبل المهاجمين لتنفيذ التعليمات البرمجية أثناء التهرب من الكشف بواسطة برنامج الأمان. تتضمن السلوكيات المحددة ما يلي:

1. Shellcode، هو جزء صغير من التعليمات البرمجية يُستخدم عادةً كحمولة في استغلال ثغرة أمنية في البرنامج.
2. صورة قابلة للتنفيذ تم إدخالها في العملية، كما هو الحال في هجوم إدخال التعليمات البرمجية.
3. اتصالات الشبكة النشطة. راجع NetworkConnections أدناه للحصول على التفاصيل.
4. استدعاءات الدالة إلى واجهات نظام التشغيل الحساسة للأمان. راجع القدرات أدناه للحصول على قدرات نظام التشغيل المشار إليها.
5. تجويف العملية، وهو أسلوب تستخدمه البرامج الضارة حيث يتم تحميل عملية شرعية على النظام للعمل كحاوية للتعليمات البرمجية المعادية.
6. يحتوي على مؤشر ترابط تم بدء تشغيله في مقطع تعليمات برمجية مخصص ديناميكيا. هذا نمط شائع لهجمات حقن العمليات.

تكتيكات MITRE: التهرب الدفاعي، التنفيذ

الخطورة: عالية

تم الكشف عن مجموعة أدوات الهجوم بدون ملف

(VM_FilelessAttackToolkit.Windows)

الوصف: تحتوي ذاكرة العملية المحددة على مجموعة أدوات هجوم بدون ملف: [اسم مجموعة الأدوات]. تستخدم مجموعات أدوات الهجوم بدون ملفات تقنيات تقلل من آثار البرامج الضارة على القرص أو تلغيها، وتقلل إلى حد كبير من فرص الكشف عن طريق حلول فحص البرامج الضارة المستندة إلى القرص. تتضمن السلوكيات المحددة ما يلي:

1. مجموعات الأدوات المعروفة وبرامج التنقيب عن التشفير.
2. Shellcode، هو جزء صغير من التعليمات البرمجية يُستخدم عادةً كحمولة في استغلال ثغرة أمنية في البرنامج.
3. حقن ضار قابل للتنفيذ في ذاكرة المعالجة.

تكتيكات MITRE: التهرب الدفاعي، التنفيذ

الخطورة: متوسط

تم الكشف عن برامج عالية المخاطر

الوصف: كشف تحليل بيانات المضيف من ٪{Compromised Host} عن استخدام البرامج المقترنة بتثبيت البرامج الضارة في الماضي. تقنية شائعة تستخدم في توزيع البرامج الضارة هي حزمها ضمن أدوات حميدة خلاف ذلك مثل تلك التي شوهدت في هذا التنبيه. عند استخدام هذه الأدوات، يمكن تثبيت البرامج الضارة بصمت في الخلفية.

تكتيكات MITRE: -

الخطورة: متوسط

تم تعداد أعضاء مجموعة المسؤولين المحليين

الوصف: تشير سجلات الجهاز إلى تعداد ناجح على المجموعة ٪{اسم مجال المجموعة تعداد}٪{اسم المجموعة المرقم}. على وجه التحديد، قام %{Enumerating User Domain Name}%{Enumerating User Name} بتعداد أعضاء المجموعة %{Enumerated Group Domain Name}%{Enumerated Group Name}. قد يكون هذا النشاط إما نشاطًا شرعيًا، أو إشارة إلى أن جهازًا في مؤسستك قد تم اختراقه واستخدامه للاستطلاع %{vmname}.

تكتيكات MITRE: -

الخطورة: معلوماتية

قاعدة جدار الحماية الضارة التي تم إنشاؤها بواسطة زرع خادم الزنك [ينظر إليها عدة مرات]

الوصف: تم إنشاء قاعدة جدار حماية باستخدام تقنيات تطابق ممثلا معروفا، وهو الدالة الزنك. ربما تم استخدام القاعدة لفتح منفذ على ٪{Compromised Host} للسماح باتصالات Command & Control. شوهد هذا السلوك [x] مرات اليوم على الأجهزة التالية: [Machine names]

تكتيكات MITRE: -

الخطورة: عالية

نشاط SQL ضار

الوصف: تشير سجلات الجهاز إلى أنه تم تنفيذ '٪{اسم العملية}' بواسطة الحساب: ٪{اسم المستخدم}. يعتبر هذا النشاط ضارًا.

تكتيكات MITRE: -

الخطورة: عالية

تم الاستعلام عن حسابات مجالات متعددة

الوصف: حدد تحليل بيانات المضيف أنه يتم الاستعلام عن عدد غير عادي من حسابات المجال المميزة خلال فترة زمنية قصيرة من ٪{Host المخترق}. ويمكن أن يكون هذا النوع من الأنشطة مشروعًا، ولكن يمكن أن يكون أيضًا مؤشرًا على وجود حل وسط.

تكتيكات MITRE: -

الخطورة: متوسط

تم الكشف عن تفريغ بيانات الاعتماد المحتملة [شوهدت عدة مرات]

الوصف: كشف تحليل بيانات المضيف عن استخدام أداة windows الأصلية (على سبيل المثال، sqldumper.exe) المستخدمة بطريقة تسمح باستخراج بيانات الاعتماد من الذاكرة. غالبًا ما يستخدم المهاجمون هذه التقنيات لاستخراج بيانات الاعتماد التي يستخدمونها بعد ذلك للحركة الجانبية وتصعيد الامتيازات. شوهد هذا السلوك [x] مرات اليوم على الأجهزة التالية: [Machine names]

تكتيكات MITRE: -

الخطورة: متوسط

تم الكشف عن محاولة محتملة لتجاوز AppLocker

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} عن محاولة محتملة لتجاوز قيود AppLocker. يمكن تكوين AppLocker لتنفيذ نهج يحد من الملفات التنفيذية المسموح بتشغيلها على نظام Windows. نمط سطر الأوامر المشابه لتلك المحددة في هذا التنبيه قد تم إقرانه مسبقًا بمحاولات المهاجم للتحايل على نهج AppLocker باستخدام الملفات التنفيذية الموثوق بها (المسموح بها بواسطة نهج AppLocker) لتنفيذ التعليمات البرمجية غير الموثوق بها. قد يكون هذا نشاطًا شرعيًا، أو مؤشرًا على مضيف معرض للخطر.

تكتيكات MITRE: -

الخطورة: عالية

تم تنفيذ مجموعة خدمة SVCHOST النادرة

(VM_SvcHostRunInRareServiceGroup)

الوصف: تمت ملاحظة عملية النظام SVCHOST التي تقوم بتشغيل مجموعة خدمة نادرة. غالبًا ما تستخدم البرامج الضارة SVCHOST للتنكر لنشاطها الضار.

تكتيكات MITRE: التهرب الدفاعي، التنفيذ

الخطورة: معلوماتية

تم الكشف عن هجوم المفاتيح الملصقة

الوصف: يشير تحليل بيانات المضيف إلى أن المهاجم قد يقوم بتخريب ثنائي إمكانية وصول ذوي الاحتياجات الخاصة (على سبيل المثال المفاتيح الملصقة ولوحة المفاتيح على الشاشة والراوي) من أجل توفير وصول المدخل الخلفي إلى المضيف ٪{Compromised Host}.

تكتيكات MITRE: -

الخطورة: متوسط

هجوم القوة الغاشمة الناجح

(VM_LoginBruteForceSuccess)

الوصف: تم الكشف عن العديد من محاولات تسجيل الدخول من نفس المصدر. تمت المصادقة على بعضها بنجاح إلى المضيف. يشبه هذا هجوم الاندفاع، حيث يقوم المهاجم بالعديد من محاولات المصادقة للعثور على بيانات اعتماد حساب صالحة.

تكتيكات MITRE: الاستغلال

الخطورة: متوسط/مرتفع

مستوى النزاهة المشتبه به يدل على اختطاف RDP

الوصف: كشف تحليل بيانات المضيف عن tscon.exe قيد التشغيل مع امتيازات SYSTEM - يمكن أن يكون هذا مؤشرا على أن مهاجما يسيء استخدام هذا الثنائي من أجل تبديل السياق إلى أي مستخدم آخر قام بتسجيل الدخول على هذا المضيف؛ إنها تقنية مهاجم معروفة لاختراق المزيد من حسابات المستخدمين والتحرك أفقيا عبر الشبكة.

تكتيكات MITRE: -

الخطورة: متوسط

تثبيت الخدمة المشتبه بها

الوصف/ تعليمات: كشف تحليل بيانات المضيف عن تثبيت tscon.exe كخدمة: من المحتمل أن يسمح هذا الثنائي الذي يتم بدؤه كخدمة للمهاجم بالتبديل إلى أي مستخدم آخر قام بتسجيل الدخول على هذا المضيف عن طريق اختطاف اتصالات RDP؛ إنها تقنية مهاجم معروفة لاختراق المزيد من حسابات المستخدمين والتحرك أفقيا عبر شبكة.

تكتيكات MITRE: -

الخطورة: متوسط

تمت ملاحظة معلمات هجوم Kerberos Golden Ticket المشتبه بها

الوصف: كشف تحليل بيانات المضيف عن معلمات سطر الأوامر المتوافقة مع هجوم Kerberos Golden Ticket.

تكتيكات MITRE: -

الخطورة: متوسط

تم الكشف عن إنشاء حساب مريب

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} عن إنشاء حساب محلي أو استخدامه ٪{اسم الحساب المشبوه} : يشبه اسم الحساب هذا بشكل كبير حساب Windows قياسي أو اسم مجموعة '٪{مشابه لاسم الحساب}'. من المحتمل أن يكون هذا حسابًا محتالًا أنشأه مهاجم، لذلك تمت تسميته لتجنب أن يلاحظه مسؤول بشري.

تكتيكات MITRE: -

الخطورة: متوسط

تم اكتشاف أنشطة مريبة

(VM_SuspiciousActivity)

الوصف: كشف تحليل بيانات المضيف عن تسلسل واحد أو أكثر من العمليات التي تعمل على ٪{machine name} التي تم إقرانها تاريخيا بنشاط ضار. بينما قد تظهر الأوامر الفردية بشكل حميد، يتم تسجيل التنبيه استنادا إلى تجميع هذه الأوامر. قد يكون هذا إما نشاطًا شرعيًا، أو مؤشرًا على مضيف معرض للخطر.

تكتيكات MITRE: التنفيذ

الخطورة: متوسط

نشاط المصادقة المشبوهة

(VM_LoginBruteForceValidUserFailed)

الوصف: على الرغم من عدم نجاح أي منها، إلا أن المضيف قد تعرف على بعضها باستخدام الحسابات. يشبه هذا هجوم قاموس، حيث يقوم المهاجم بتنفيذ العديد من محاولات المصادقة باستخدام قاموس من أسماء الحسابات وكلمات المرور المعرفة مسبقا من أجل العثور على بيانات اعتماد صالحة للوصول إلى المضيف. يشير هذا إلى أن بعض أسماء حسابات المضيف قد تكون موجودة في قاموس اسم الحساب المعروف.

تكتيكات MITRE: فحص

الخطورة: متوسط

تم الكشف عن مقطع التعليمات البرمجية المشبوهة

الوصف: يشير إلى أنه تم تخصيص مقطع تعليمة برمجية باستخدام أساليب غير قياسية، مثل الحقن العاكس وتجويف العملية. يوفر التنبيه المزيد من خصائص مقطع التعليمات البرمجية التي تمت معالجتها لتوفير سياق لقدرات وسلوكيات مقطع التعليمات البرمجية المبلغ عنها.

تكتيكات MITRE: -

الخطورة: متوسط

ملف ملحق مزدوج مريب تم تنفيذه

الوصف: يشير تحليل بيانات المضيف إلى تنفيذ عملية ذات امتداد مزدوج مريب. قد يخدع هذا الملحق المستخدمين ليفكروا في أن الملفات آمنة ليتم فتحها وقد يشير إلى وجود برامج ضارة على النظام.

تكتيكات MITRE: -

الخطورة: عالية

تم الكشف عن تنزيل مشبوه باستخدام Certutil [تمت رؤيته عدة مرات]

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} عن استخدام certutil.exe، وهي أداة مساعدة مسؤول مضمنة، لتنزيل ثنائي بدلا من الغرض الأساسي الخاص به يتعلق بمعالجة الشهادات وبيانات الشهادة. من المعروف أن المهاجمين يسيئون استخدام وظائف أدوات المسؤول الشرعية لتنفيذ إجراءات ضارة، على سبيل المثال باستخدام certutil.exe لتنزيل وفك تشفير ملف تنفيذي ضار سيتم تنفيذه بعد ذلك. شوهد هذا السلوك [x] مرات اليوم على الأجهزة التالية: [Machine names]

تكتيكات MITRE: -

الخطورة: متوسط

تم الكشف عن تنزيل مشبوه باستخدام Certutil

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} عن استخدام certutil.exe، وهي أداة مساعدة مسؤول مضمنة، لتنزيل ثنائي بدلا من الغرض الأساسي الخاص به يتعلق بمعالجة الشهادات وبيانات الشهادة. من المعروف أن المهاجمين يسيئون استخدام وظائف أدوات المسؤول الشرعية لتنفيذ إجراءات ضارة، على سبيل المثال باستخدام certutil.exe لتنزيل وفك تشفير ملف تنفيذي ضار سيتم تنفيذه بعد ذلك.

تكتيكات MITRE: -

الخطورة: متوسط

تم الكشف عن نشاط PowerShell مريب

الوصف: كشف تحليل بيانات المضيف عن برنامج نصي PowerShell يعمل على ٪{Compromised Host} يحتوي على ميزات مشتركة مع البرامج النصية المشبوهة المعروفة. يمكن أن يكون هذا البرنامج النصي نشاطًا شرعيًا أو مؤشرًا على مضيف مخترق.

تكتيكات MITRE: -

الخطورة: عالية

تنفيذ أوامر PowerShell cmdlets المشبوهة

الوصف: يشير تحليل بيانات المضيف إلى تنفيذ أوامر PowerShell PowerSploit cmdlets الضارة المعروفة.

تكتيكات MITRE: -

الخطورة: متوسط

تنفيذ عملية مشبوهة [ينظر إليها عدة مرات]

الوصف: تشير سجلات الجهاز إلى أن العملية المشبوهة: '٪{عملية مشبوهة}' كانت تعمل على الجهاز، وغالبا ما تكون مقترنة بمحاولات المهاجم للوصول إلى بيانات الاعتماد. شوهد هذا السلوك [x] مرات اليوم على الأجهزة التالية: [Machine names]

تكتيكات MITRE: -

الخطورة: عالية

تنفيذ عملية مشبوهة

الوصف: تشير سجلات الجهاز إلى أن العملية المشبوهة: '٪{عملية مشبوهة}' كانت تعمل على الجهاز، وغالبا ما تكون مقترنة بمحاولات المهاجم للوصول إلى بيانات الاعتماد.

تكتيكات MITRE: -

الخطورة: عالية

تم الكشف عن اسم العملية المشبوهة [ينظر إليه عدة مرات]

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} عن عملية مشبوهة اسمها، على سبيل المثال مطابقة لأداة مهاجم معروفة أو مسماة بطريقة توحي بأدوات المهاجم التي تحاول الإخفاء في مرأى من الجميع. قد تكون هذه العملية نشاطًا مشروعًا، أو إشارة إلى أن أحد أجهزتك قد تم اختراقه. شوهد هذا السلوك [x] مرات اليوم على الأجهزة التالية: [Machine names]

تكتيكات MITRE: -

الخطورة: متوسط

تم الكشف عن اسم العملية المشبوهة

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} عن عملية مشبوهة اسمها، على سبيل المثال مطابقة لأداة مهاجم معروفة أو مسماة بطريقة توحي بأدوات المهاجم التي تحاول الإخفاء في مرأى من الجميع. قد تكون هذه العملية نشاطًا مشروعًا، أو إشارة إلى أن أحد أجهزتك قد تم اختراقه.

تكتيكات MITRE: -

الخطورة: متوسط

نشاط SQL المشبوه

الوصف: تشير سجلات الجهاز إلى أنه تم تنفيذ '٪{اسم العملية}' بواسطة الحساب: ٪{اسم المستخدم}. هذا النشاط غير شائع مع هذا الحساب.

تكتيكات MITRE: -

الخطورة: متوسط

تنفيذ عملية SVCHOST المشبوهة

الوصف: تمت ملاحظة أن عملية النظام SVCHOST تعمل في سياق غير طبيعي. غالبًا ما تستخدم البرامج الضارة SVCHOST للتنكر لنشاطها الضار.

تكتيكات MITRE: -

الخطورة: عالية

تنفيذ عملية النظام المشبوهة

(VM_SystemProcessInAbnormalContext)

الوصف: تمت ملاحظة أن عملية النظام ٪{process name} تعمل في سياق غير طبيعي. غالبًا ما تستخدم البرامج الضارة اسم العملية هذا للتنكر لنشاطها الضار.

تكتيكات MITRE: التهرب الدفاعي، التنفيذ

الخطورة: عالية

نشاط نسخ الظل الاحتياطية لوحدات التخزين المشبوهة

الوصف: كشف تحليل بيانات المضيف عن نشاط حذف نسخة ظلية على المورد. نسخة الظل الاحتياطية لوحدات التخزين (VSC) هي أداة مهمة تخزن لقطات البيانات. تستهدف بعض البرامج الضارة وخاصة برامج الفدية الضارة VSC لتخريب استراتيجيات النسخ الاحتياطي.

تكتيكات MITRE: -

الخطورة: عالية

تم الكشف عن قيمة سجل WindowPosition المشبوهة

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} عن محاولة تغيير تكوين سجل WindowPosition قد يشير إلى إخفاء نوافذ التطبيق في مقاطع غير مرئية من سطح المكتب. قد يكون هذا نشاطا شرعيًا، أو مؤشرًا على جهاز مخترق: تم إقران هذا النوع من النشاط مسبقًا مع البرامج الإعلانية المعروفة (أو البرامج غير المرغوب فيها) مثل Win32/OneSystemCare وWin32/SystemHealer والبرامج الضارة مثل Win32/Creprote. عند تعيين قيمة WindowPosition إلى 201329664، (Hex: 0x0c00 0c00، المقابلة لمحور X-=0c00 والمحور Y-=0c00) يضع هذا نافذة تطبيق وحدة التحكم في مقطع غير مرئي من شاشة المستخدم في منطقة مخفية من طريقة العرض أسفل قائمة البدء/شريط المهام المرئي. تتضمن قيمة Hex المشتبه بها المعروفة، على سبيل المثال لا الحصر c000c000.

تكتيكات MITRE: -

الخطورة: منخفض

تم الكشف عن عملية تمت تسميتها بشكل مريب

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} عن عملية تشبه اسمها إلى حد كبير ولكنها تختلف عن عملية التشغيل الشائعة جدا (٪{مشابهة لاسم العملية}). في حين أن هذه العملية قد تكون ضارة من المعروف أن المهاجمين قد يختبئون في بعض الأحيان على مرأى من الجميع عن طريق تسمية أدواتهم الضارة لتشبه أسماء العمليات المشروعة.

تكتيكات MITRE: -

الخطورة: متوسط

إعادة تعيين التكوين غير العادي في جهازك الظاهري

(VM_VMAccessUnusualConfigReset)

الوصف: تم الكشف عن إعادة تعيين تكوين غير عادية في جهازك الظاهري عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. على الرغم من أن هذا الإجراء قد يكون شرعيا، يمكن للمهاجمين محاولة استخدام ملحق VM Access لإعادة تعيين التكوين في جهازك الظاهري واختراقه.

تكتيكات MITRE: الوصول إلى بيانات الاعتماد

الخطورة: متوسط

تم الكشف عن تنفيذ عملية غير عادية

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} عن تنفيذ عملية بواسطة ٪{User Name} كانت غير عادية. تميل حسابات مثل ٪{User Name} إلى تنفيذ مجموعة محدودة من العمليات، وقد تم تحديد هذا التنفيذ خارج الحرف وقد يكون مريبا.

تكتيكات MITRE: -

الخطورة: عالية

إعادة تعيين كلمة مرور المستخدم غير العادية في جهازك الظاهري

(VM_VMAccessUnusualPasswordReset)

الوصف: تم الكشف عن إعادة تعيين كلمة مرور مستخدم غير عادية في جهازك الظاهري عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. على الرغم من أن هذا الإجراء قد يكون شرعيا، يمكن للمهاجمين محاولة استخدام ملحق VM Access لإعادة تعيين بيانات اعتماد مستخدم محلي في جهازك الظاهري واختراقه.

تكتيكات MITRE: الوصول إلى بيانات الاعتماد

الخطورة: متوسط

إعادة تعيين مفتاح SSH للمستخدم غير العادي في جهازك الظاهري

(VM_VMAccessUnusualSSHReset)

الوصف: تم الكشف عن إعادة تعيين مفتاح SSH غير عادي للمستخدم في جهازك الظاهري عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. على الرغم من أن هذا الإجراء قد يكون شرعيا، يمكن للمهاجمين محاولة استخدام ملحق VM Access لإعادة تعيين مفتاح SSH لحساب مستخدم في جهازك الظاهري واختراقه.

تكتيكات MITRE: الوصول إلى بيانات الاعتماد

الخطورة: متوسط

تم الكشف عن تخصيص كائن VBScript HTTP

الوصف: تم الكشف عن إنشاء ملف VBScript باستخدام موجه الأوامر. يحتوي البرنامج النصي التالي على أمر تخصيص كائن HTTP. يمكن استخدام هذا الإجراء لتنزيل الملفات الضارة.

التثبيت المشبوه لملحق GPU في جهازك الظاهري (معاينة)

(VM_GPUDriverExtensionUnusualExecution)

الوصف: تم الكشف عن التثبيت المشبوه لملحق GPU في جهازك الظاهري عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد يستخدم المهاجمون ملحق برنامج تشغيل GPU لتثبيت برامج تشغيل وحدة معالجة الرسومات على جهازك الظاهري عبر Azure Resource Manager لتنفيذ عملية التشفير.

تكتيكات MITRE: التأثير

الخطورة: منخفض

تنبيهات لأجهزة Linux

يوفر Microsoft Defender للخوادم الخطة 2 اكتشافات وتنبيهات فريدة، بالإضافة إلى تلك التي توفرها Microsoft Defender لنقطة النهاية. التنبيهات المقدمة لأجهزة Linux هي:

مزيد من التفاصيل والملاحظات

تم مسح ملف محفوظات

الوصف: يشير تحليل بيانات المضيف إلى أنه تم مسح ملف سجل محفوظات الأوامر. قد يقوم المهاجمون بذلك لتغطية آثارهم. تم تنفيذ العملية بواسطة المستخدم: '%{user name}'.

تكتيكات MITRE: -

الخطورة: متوسط

تم تدقيق انتهاك نهج التحكم في التطبيق التكيفي

(VM_AdaptiveApplicationControlLinuxViolationAudited)

الوصف: قام المستخدمون أدناه بتشغيل التطبيقات التي تنتهك نهج التحكم في التطبيق لمؤسستك على هذا الجهاز. قد يعرض الجهاز للبرامج الضارة أو الثغرات الأمنية في التطبيق.

تكتيكات MITRE: التنفيذ

الخطورة: معلوماتية

استبعاد ملفات مكافحة البرامج الضارة الواسعة في جهازك الظاهري

(VM_AmBroadFilesExclusion)

الوصف: تم الكشف عن استبعاد الملفات من ملحق مكافحة البرامج الضارة مع قاعدة استبعاد واسعة في جهازك الظاهري عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. يؤدي هذا الاستبعاد عمليًا إلى تعطيل الحماية من البرامج الضارة. قد يستبعد المهاجمون الملفات من فحص مكافحة البرامج الضارة على جهازك الظاهري لمنع الكشف أثناء تشغيل التعليمات البرمجية العشوائية أو إصابة الجهاز بالبرامج الضارة.

تكتيكات MITRE: -

الخطورة: متوسط

تم تعطيل مكافحة البرامج الضارة وتنفيذ التعليمات البرمجية في جهازك الظاهري

(VM_AmDisablementAndCodeExecution)

الوصف: تم تعطيل مكافحة البرامج الضارة في نفس الوقت الذي يتم فيه تنفيذ التعليمات البرمجية على جهازك الظاهري. تم الكشف عن ذلك عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. يقوم المهاجمون بتعطيل الماسحات الضوئية للحماية من البرامج الضارة لمنع الكشف في أثناء تشغيل أدوات غير مصرح بها أو إصابة الجهاز بالبرامج الضارة.

تكتيكات MITRE: -

الخطورة: عالية

تم تعطيل مكافحة البرامج الضارة في جهازك الظاهري

(VM_AmDisablement)

الوصف: تم تعطيل مكافحة البرامج الضارة في جهازك الظاهري. تم الكشف عن ذلك عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد يقوم المهاجمون بتعطيل برنامج الحماية من البرامج الضارة على جهازك الظاهري لمنع الكشف.

تكتيكات MITRE: التهرب الدفاعي

الخطورة: متوسط

استبعاد ملف مكافحة البرامج الضارة وتنفيذ التعليمات البرمجية في جهازك الظاهري

(VM_AmFileExclusionAndCodeExecution)

الوصف: تم استبعاد الملف من الماسح الضوئي للحماية من البرامج الضارة في نفس الوقت الذي تم فيه تنفيذ التعليمات البرمجية عبر ملحق برنامج نصي مخصص على جهازك الظاهري. تم الكشف عن ذلك عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد يستبعد المهاجمون الملفات من فحص مكافحة البرامج الضارة على جهازك الظاهري لمنع الكشف أثناء تشغيل أدوات غير مصرح بها أو إصابة الجهاز بالبرامج الضارة.

تكتيكات MITRE: التهرب الدفاعي، التنفيذ

الخطورة: عالية

استبعاد ملف مكافحة البرامج الضارة وتنفيذ التعليمات البرمجية في جهازك الظاهري

(VM_AmTempFileExclusionAndCodeExecution)

الوصف: تم الكشف عن استبعاد الملف المؤقت من ملحق مكافحة البرامج الضارة بالتوازي مع تنفيذ التعليمات البرمجية عبر ملحق البرنامج النصي المخصص في جهازك الظاهري عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد يستبعد المهاجمون الملفات من فحص مكافحة البرامج الضارة على جهازك الظاهري لمنع الكشف أثناء تشغيل التعليمات البرمجية العشوائية أو إصابة الجهاز بالبرامج الضارة.

تكتيكات MITRE: التهرب الدفاعي، التنفيذ

الخطورة: عالية

استبعاد ملف مكافحة البرامج الضارة في جهازك الظاهري

(VM_AmTempFileExclusion)

الوصف: تم استبعاد الملف من الماسح الضوئي للحماية من البرامج الضارة على جهازك الظاهري. تم الكشف عن ذلك عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد يستبعد المهاجمون الملفات من فحص مكافحة البرامج الضارة على جهازك الظاهري لمنع الكشف أثناء تشغيل أدوات غير مصرح بها أو إصابة الجهاز بالبرامج الضارة.

تكتيكات MITRE: التهرب الدفاعي

الخطورة: متوسط

تم تعطيل الحماية من البرامج الضارة في الوقت الحقيقي في جهازك الظاهري

(VM_AmRealtimeProtectionDisabled)

الوصف: تم الكشف عن تعطيل الحماية في الوقت الحقيقي لملحق مكافحة البرامج الضارة في جهازك الظاهري عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد يعطل المهاجمون الحماية في الوقت الحقيقي من فحص مكافحة البرامج الضارة على جهازك الظاهري لتجنب الكشف أثناء تشغيل التعليمات البرمجية العشوائية أو إصابة الجهاز بالبرامج الضارة.

تكتيكات MITRE: التهرب الدفاعي

الخطورة: متوسط

تم تعطيل الحماية من البرامج الضارة في الوقت الحقيقي مؤقتا في جهازك الظاهري

(VM_AmTempRealtimeProtectionDisablement)

الوصف: تم الكشف عن التعطيل المؤقت للحماية في الوقت الحقيقي لملحق مكافحة البرامج الضارة في جهازك الظاهري عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد يعطل المهاجمون الحماية في الوقت الحقيقي من فحص مكافحة البرامج الضارة على جهازك الظاهري لتجنب الكشف أثناء تشغيل التعليمات البرمجية العشوائية أو إصابة الجهاز بالبرامج الضارة.

تكتيكات MITRE: التهرب الدفاعي

الخطورة: متوسط

تم تعطيل الحماية من البرامج الضارة في الوقت الحقيقي مؤقتًا أثناء تنفيذ التعليمات البرمجية في جهازك الظاهري

(VM_AmRealtimeProtectionDisablementAndCodeExec)

الوصف: تم الكشف عن التعطيل المؤقت للحماية في الوقت الحقيقي لملحق مكافحة البرامج الضارة بالتوازي مع تنفيذ التعليمات البرمجية عبر ملحق البرنامج النصي المخصص في جهازك الظاهري عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد يعطل المهاجمون الحماية في الوقت الحقيقي من فحص مكافحة البرامج الضارة على جهازك الظاهري لتجنب الكشف أثناء تشغيل التعليمات البرمجية العشوائية أو إصابة الجهاز بالبرامج الضارة.

تكتيكات MITRE: -

الخطورة: عالية

تم حظر عمليات فحص مكافحة البرامج الضارة بحثًا عن الملفات التي يحتمل أن تكون ذات صلة بحملات البرامج الضارة على جهازك الظاهري (معاينة)

(VM_AmMalwareCampaignRelatedExclusion)

الوصف: تم الكشف عن قاعدة استبعاد في جهازك الظاهري لمنع ملحق مكافحة البرامج الضارة من مسح ملفات معينة يشتبه في ارتباطها بحملة برامج ضارة. تم الكشف عن القاعدة عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد يستبعد المهاجمون الملفات من عمليات فحص مكافحة البرامج الضارة لمنع الكشف أثناء تشغيل التعليمات البرمجية العشوائية أو إصابة الجهاز بالبرامج الضارة.

تكتيكات MITRE: التهرب الدفاعي

الخطورة: متوسط

تم تعطيل مكافحة البرامج الضارة مؤقتا في جهازك الظاهري

(VM_AmTemporarilyDisablement)

الوصف: تم تعطيل مكافحة البرامج الضارة مؤقتا في جهازك الظاهري. تم الكشف عن ذلك عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد يقوم المهاجمون بتعطيل برنامج الحماية من البرامج الضارة على جهازك الظاهري لمنع الكشف.

تكتيكات MITRE: -

الخطورة: متوسط

استبعاد ملف مكافحة البرامج الضارة غير العادي في جهازك الظاهري

(VM_UnusualAmFileExclusion)

الوصف: تم الكشف عن استبعاد ملف غير عادي من ملحق مكافحة البرامج الضارة في جهازك الظاهري عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد يستبعد المهاجمون الملفات من فحص مكافحة البرامج الضارة على جهازك الظاهري لمنع الكشف أثناء تشغيل التعليمات البرمجية العشوائية أو إصابة الجهاز بالبرامج الضارة.

تكتيكات MITRE: التهرب الدفاعي

الخطورة: متوسط

سلوك مشابه للكشف عن برامج الفدية الضارة [التي شوهدت عدة مرات]

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} عن تنفيذ الملفات التي تتماثل مع برامج الفدية الضارة المعروفة التي يمكن أن تمنع المستخدمين من الوصول إلى نظامهم أو ملفاتهم الشخصية، وتطالب بدفع فدية من أجل استعادة الوصول. شوهد هذا السلوك [x] مرات اليوم على الأجهزة التالية: [Machine names]

تكتيكات MITRE: -

الخطورة: عالية

الاتصال بالمجال المشبوه الذي حدَّده التحليل الذكي للمخاطر

(AzureDNS_ThreatIntelSuspectDomain)

الوصف: تم الكشف عن الاتصال بالمجال المشبوه من خلال تحليل معاملات DNS من المورد الخاص بك والمقارنة مع المجالات الضارة المعروفة التي تم تحديدها بواسطة موجزات التحليل الذكي للمخاطر. أجرى المهاجمون الاتصال بالمجالات الضارة بشكل متكرر وقد يعني ذلك أن موردك عرضة للخطر.

تكتيكات MITRE: الوصول الأولي، والمثابرة، والتنفيذ، والتحكم، والاستغلال

الخطورة: متوسط

حاوية تحتوي على صورة منجم تم اكتشافها

(VM_MinerInContainerImage)

الوصف: تشير سجلات الجهاز إلى تنفيذ حاوية Docker التي تقوم بتشغيل صورة مقترنة بالتنقيب عن عملة رقمية.

تكتيكات MITRE: التنفيذ

الخطورة: عالية

تم الكشف عن مزيج شاذ من أحرف الأحرف العلوية والسفلية في سطر الأوامر

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} عن سطر أوامر بمزيج غير مألوف من أحرف الأحرف العليا والسفلى. هذا النوع من النمط، على الرغم من أنه ربما يكون حميدا، هو أيضا نموذجي للمهاجمين الذين يحاولون الاختباء من مطابقة القواعد الحساسة لحالة الأحرف أو المستندة إلى التجزئة عند تنفيذ المهام الإدارية على مضيف مخترق.

تكتيكات MITRE: -

الخطورة: متوسط

تم الكشف عن تنزيل الملف من مصدر ضار معروف

الوصف: كشف تحليل بيانات المضيف عن تنزيل ملف من مصدر برامج ضارة معروف على ٪{Compromised Host}.

تكتيكات MITRE: -

الخطورة: متوسط

اكتشاف نشاط شبكة مشبوه

الوصف: كشف تحليل حركة مرور الشبكة من ٪{Compromised Host} عن نشاط شبكة مشبوه. تستخدم نسبة استخدام الشبكة هذه، على الرغم من أنها قد تكون حميدة، عادة من قبل المهاجم للاتصال بخوادم ضارة لتنزيل الأدوات والأوامر والتحكم واختراق البيانات. يتضمن نشاط المهاجم ذي الصلة النموذجي نسخ أدوات الإدارة عن بعد إلى مضيف مخترق وطرد بيانات المستخدم منه.

تكتيكات MITRE: -

الخطورة: منخفض

تم الكشف عن السلوك ذي الصلة بالتنقيب عن العملة الرقمية

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} عن تنفيذ عملية أو أمر يرتبط عادة بالتنقيب عن العملات الرقمية.

تكتيكات MITRE: -

الخطورة: عالية

تعطيل التسجيل المدقق [ينظر إليه عدة مرات]

الوصف: يوفر نظام تدقيق Linux طريقة لتتبع المعلومات المتعلقة بالأمان على النظام. يسجل أكبر قدر ممكن من المعلومات حول الأحداث التي تحدث على النظام الخاص بك. قد يؤدي تعطيل التسجيل المدقق إلى إعاقة اكتشاف انتهاكات نهج الأمان المستخدمة في النظام. شوهد هذا السلوك [x] مرات اليوم على الأجهزة التالية: [Machine names]

تكتيكات MITRE: -

الخطورة: منخفض

استغلال ثغرة Xorg [التي شوهدت عدة مرات]

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} عن مستخدم Xorg كوسيطات مشبوهة. قد يستخدم المهاجمون هذه التقنية في محاولات تصعيد الامتيازات. شوهد هذا السلوك [x] مرات اليوم على الأجهزة التالية: [Machine names]

تكتيكات MITRE: -

الخطورة: متوسط

فشل هجوم القوة الغاشمة SSH

(VM_SshBruteForceFailed)

الوصف: تم الكشف عن هجمات القوة الغاشمة الفاشلة من المهاجمين التاليين: ٪{المهاجمون}. كان المهاجمون يحاولون الوصول إلى المضيف بأسماء المستخدمين التالية: %{Accounts used on failed sign in to host attempts}.

تكتيكات MITRE: فحص

الخطورة: متوسط

تم الكشف عن سلوك الهجوم بدون ملف

(VM_FilelessAttackBehavior.Linux)

الوصف: تحتوي ذاكرة العملية المحددة أدناه على سلوكيات شائعة الاستخدام من قبل الهجمات بدون ملفات. تتضمن السلوكيات المحددة: {list of observed behaviors}

تكتيكات MITRE: التنفيذ

الخطورة: منخفض

تم الكشف عن تقنية الهجوم بدون ملف

(VM_FilelessAttackTechnique.Linux)

الوصف: تحتوي ذاكرة العملية المحددة أدناه على دليل على تقنية هجوم بدون ملف. يتم استخدام الهجمات بدون ملفات من قبل المهاجمين لتنفيذ التعليمات البرمجية أثناء التهرب من الكشف بواسطة برنامج الأمان. تتضمن السلوكيات المحددة: {list of observed behaviors}

تكتيكات MITRE: التنفيذ

الخطورة: عالية

تم الكشف عن مجموعة أدوات الهجوم بدون ملف

(VM_FilelessAttackToolkit.Linux)

الوصف: تحتوي ذاكرة العملية المحددة أدناه على مجموعة أدوات هجوم بدون ملف: {ToolKitName}. عادة ما لا يكون لدى مجموعات أدوات الهجوم بدون ملفات وجود على نظام الملفات، ما يجعل الكشف عن طريق برامج مكافحة الفيروسات التقليدية أمرا صعبا. تتضمن السلوكيات المحددة: {list of observed behaviors}

تكتيكات MITRE: التهرب الدفاعي، التنفيذ

الخطورة: عالية

تم الكشف عن تنفيذ الملف المخفي

الوصف: يشير تحليل بيانات المضيف إلى أنه تم تنفيذ ملف مخفي بواسطة ٪{user name}. يمكن أن يكون هذا النشاط إما نشاطًا شرعيًا أو مؤشرًا على مضيف مخترق.

تكتيكات MITRE: -

الخطورة: معلوماتية

تمت إضافة مفتاح SSH جديد [تمت رؤيته عدة مرات]

(VM_SshKeyAddition)

الوصف: تمت إضافة مفتاح SSH جديد إلى ملف المفاتيح المعتمدة. شوهد هذا السلوك [x] مرات اليوم على الأجهزة التالية: [Machine names]

تكتيكات MITRE: الثبات

الخطورة: منخفض

تمت إضافة مفتاح SSH جديد

الوصف: تمت إضافة مفتاح SSH جديد إلى ملف المفاتيح المعتمدة.

تكتيكات MITRE: -

الخطورة: منخفض

تم الكشف عن خلفية محتملة [شوهدت عدة مرات]

الوصف: كشف تحليل بيانات المضيف عن ملف مريب يتم تنزيله ثم تشغيله على ٪{Compromised Host} في اشتراكك. تم إقران هذا النشاط مسبقًا بتثبيت أحد الأبواب الخلفية. شوهد هذا السلوك [x] مرات اليوم على الأجهزة التالية: [Machine names]

تكتيكات MITRE: -

الخطورة: متوسط

الاستغلال المحتمل لخادم البريد الذي تم اكتشافه

(VM_MailserverExploitation )

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} عن تنفيذ غير عادي ضمن حساب خادم البريد

تكتيكات MITRE: الاستغلال

الخطورة: متوسط

تم الكشف عن قذيفة ويب الخبيثة المحتملة

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} عن غلاف ويب محتمل. غالبا ما يقوم المهاجمون بتحميل واجهة ويب إلى جهاز قاموا باختراقه لكسب الاستمرارية أو لمزيد من الاستغلال.

تكتيكات MITRE: -

الخطورة: متوسط

تغيير كلمة المرور المحتمل باستخدام طريقة التشفير التي تم اكتشافها [شوهدت عدة مرات]

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} عن تغيير كلمة المرور باستخدام أسلوب التشفير. يمكن للمهاجمين إجراء هذا التغيير لمتابعة الوصول والحصول على الاستمرار بعد التسوية. شوهد هذا السلوك [x] مرات اليوم على الأجهزة التالية: [Machine names]

تكتيكات MITRE: -

الخطورة: متوسط

تم الكشف عن العملية المرتبطة بالتنقيب عن العملة الرقمية [شوهدت عدة مرات]

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} عن تنفيذ عملية ترتبط عادة بالتنقيب عن العملات الرقمية. شوهد هذا السلوك أكثر من 100 مرة اليوم على الأجهزة التالية: [Machine name]

تكتيكات MITRE: -

الخطورة: متوسط

العملية المرتبطة باستخراج العملات الرقمية التي تم اكتشافها

الوصف: كشف تحليل بيانات المضيف عن تنفيذ عملية ترتبط عادة بالتنقيب عن العملات الرقمية.

تكتيكات MITRE: الاستغلال والتنفيذ

الخطورة: متوسط

تم الكشف عن أداة تنزيل ترميز Python [شوهدت عدة مرات]

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} عن تنفيذ Python المشفرة التي تقوم بتنزيل التعليمات البرمجية وتشغيلها من موقع بعيد. قد يكون هذا مؤشرا على النشاط الضار. شوهد هذا السلوك [x] مرات اليوم على الأجهزة التالية: [Machine names]

تكتيكات MITRE: -

الخطورة: منخفض

لقطة شاشة مأخوذة على المضيف [ينظر إليه عدة مرات]

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} عن مستخدم أداة التقاط الشاشة. قد يستخدم المهاجمون هذه الأدوات للوصول إلى البيانات الخاصة. شوهد هذا السلوك [x] مرات اليوم على الأجهزة التالية: [Machine names]

تكتيكات MITRE: -

الخطورة: منخفض

تم الكشف عن Shellcode [شوهد عدة مرات]

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} عن shellcode الذي يتم إنشاؤه من سطر الأوامر. قد تكون هذه العملية نشاطًا مشروعًا، أو إشارة إلى أن أحد أجهزتك قد تم اختراقه. شوهد هذا السلوك [x] مرات اليوم على الأجهزة التالية: [Machine names]

تكتيكات MITRE: -

الخطورة: متوسط

هجوم ناجح للقوة الغاشمة SSH

(VM_SshBruteForceSuccess)

الوصف: كشف تحليل بيانات المضيف عن هجوم ناجح للقوة الغاشمة. شوهد IP %{Attacker source IP} يقوم بمحاولات تسجيل دخول متعددة. تم إجراء عمليات تسجيل دخول ناجحة من عنوان IP هذا باستخدام المستخدم (المستخدمين) التاليين: %{Accounts used to successfully sign in to host}. وهذا يعني أنه قد يتم اختراق المضيف والتحكم فيه من قبل جهة فاعلة ضارة.

تكتيكات MITRE: الاستغلال

الخطورة: عالية

تم الكشف عن إنشاء حساب مريب

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} عن إنشاء حساب محلي أو استخدامه ٪{اسم الحساب المشبوه} : يشبه اسم الحساب هذا بشكل كبير حساب Windows قياسي أو اسم مجموعة '٪{مشابه لاسم الحساب}'. من المحتمل أن يكون هذا حسابًا محتالًا أنشأه مهاجم، لذلك تمت تسميته لتجنب أن يلاحظه مسؤول بشري.

تكتيكات MITRE: -

الخطورة: متوسط

تم الكشف عن وحدة نواة مشبوهة [شوهدت عدة مرات]

الوصف: كشف تحليل بيانات المضيف على ٪{Compromised Host} عن ملف كائن مشترك يتم تحميله كوحدة نمطية للنواة. قد يكون هذا نشاطًا مشروعًا، أو مؤشرًا على تعرض أحد أجهزتك للخطر. شوهد هذا السلوك [x] مرات اليوم على الأجهزة التالية: [Machine names]

تكتيكات MITRE: -

الخطورة: متوسط

الوصول إلى كلمة المرور المشبوهة [ينظر إليه عدة مرات]

الوصف: كشف تحليل بيانات المضيف عن وصول مشبوه إلى كلمات مرور المستخدم المشفرة على ٪{Compromised Host}. شوهد هذا السلوك [x] مرات اليوم على الأجهزة التالية: [Machine names]

تكتيكات MITRE: -

الخطورة: معلوماتية

الوصول إلى كلمة المرور المشبوهة

الوصف: كشف تحليل بيانات المضيف عن وصول مشبوه إلى كلمات مرور المستخدم المشفرة على ٪{Compromised Host}.

تكتيكات MITRE: -

الخطورة: معلوماتية

طلب مشبوه إلى لوحة معلومات Kubernetes

(VM_KubernetesDashboard)

الوصف: تشير سجلات الجهاز إلى أنه تم إجراء طلب مشبوه إلى لوحة معلومات Kubernetes. تم إرسال الطلب من عقدة Kubernetes، ربما من إحدى الحاويات التي تعمل في العقدة. على الرغم من أن هذا السلوك يمكن أن يكون مقصودًا، فقد يشير إلى أن العقدة تقوم بتشغيل حاوية تم اختراقها.

MITRE tactics: LateralMovement

الخطورة: متوسط

إعادة تعيين التكوين غير العادي في جهازك الظاهري

(VM_VMAccessUnusualConfigReset)

الوصف: تم الكشف عن إعادة تعيين تكوين غير عادية في جهازك الظاهري عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. على الرغم من أن هذا الإجراء قد يكون شرعيا، يمكن للمهاجمين محاولة استخدام ملحق VM Access لإعادة تعيين التكوين في جهازك الظاهري واختراقه.

تكتيكات MITRE: الوصول إلى بيانات الاعتماد

الخطورة: متوسط

إعادة تعيين كلمة مرور المستخدم غير العادية في جهازك الظاهري

(VM_VMAccessUnusualPasswordReset)

الوصف: تم الكشف عن إعادة تعيين كلمة مرور مستخدم غير عادية في جهازك الظاهري عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. على الرغم من أن هذا الإجراء قد يكون شرعيا، يمكن للمهاجمين محاولة استخدام ملحق VM Access لإعادة تعيين بيانات اعتماد مستخدم محلي في جهازك الظاهري واختراقه.

تكتيكات MITRE: الوصول إلى بيانات الاعتماد

الخطورة: متوسط

إعادة تعيين مفتاح SSH للمستخدم غير العادي في جهازك الظاهري

(VM_VMAccessUnusualSSHReset)

الوصف: تم الكشف عن إعادة تعيين مفتاح SSH غير عادي للمستخدم في جهازك الظاهري عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. على الرغم من أن هذا الإجراء قد يكون شرعيا، يمكن للمهاجمين محاولة استخدام ملحق VM Access لإعادة تعيين مفتاح SSH لحساب مستخدم في جهازك الظاهري واختراقه.

تكتيكات MITRE: الوصول إلى بيانات الاعتماد

الخطورة: متوسط

التثبيت المشبوه لملحق GPU في جهازك الظاهري (معاينة)

(VM_GPUDriverExtensionUnusualExecution)

الوصف: تم الكشف عن التثبيت المشبوه لملحق GPU في جهازك الظاهري عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد يستخدم المهاجمون ملحق برنامج تشغيل GPU لتثبيت برامج تشغيل وحدة معالجة الرسومات على جهازك الظاهري عبر Azure Resource Manager لتنفيذ عملية التشفير.

تكتيكات MITRE: التأثير

الخطورة: منخفض

تنبيهات DNS

هام

اعتبارا من 1 أغسطس 2023، يمكن للعملاء الذين لديهم اشتراك موجود في Defender for DNS الاستمرار في استخدام الخدمة، ولكن سيتلقى المشتركون الجدد تنبيهات حول نشاط DNS المشبوه كجزء من Defender for Servers P2.

مزيد من التفاصيل والملاحظات

استخدام بروتوكول الشبكة الشاذ

(AzureDNS_ProtocolAnomaly)

الوصف: كشف تحليل معاملات DNS من ٪{CompromisedEntity} عن استخدام بروتوكول شاذ. قد تشير نسبة استخدام الشبكة هذه، على الرغم من أنه ربما تكون حميدة، إلى إساءة استخدام هذا البروتوكول الشائع لتجاوز تصفية نسبة استخدام الشبكة. يتضمن نشاط المهاجم ذي الصلة النموذجي نسخ أدوات الإدارة عن بعد إلى مضيف مخترق وطرد بيانات المستخدم منه.

تكتيكات MITRE: النقل غير المصرح به

الخطورة: -

نشاط شبكة مجهول الهوية

(AzureDNS_DarkWeb)

الوصف: كشف تحليل معاملات DNS من ٪{CompromisedEntity} عن نشاط شبكة مجهول الهوية. غالبًا ما يستخدم المهاجمون مثل هذا النشاط، على الرغم من أنه قد يكون سلوكًا شرعيًا للمستخدم، للتهرب من تتبع اتصالات الشبكة وبصماتها. من المحتمل أن يتضمن نشاط المهاجم ذي الصلة النموذجي تنزيل وتنفيذ البرامج الضارة أو أدوات الإدارة عن بعد.

تكتيكات MITRE: النقل غير المصرح به

الخطورة: منخفض

نشاط شبكة مجهول الهوية باستخدام وكيل الويب

(AzureDNS_DarkWebProxy)

الوصف: كشف تحليل معاملات DNS من ٪{CompromisedEntity} عن نشاط شبكة مجهول الهوية. غالبًا ما يستخدم المهاجمون مثل هذا النشاط، على الرغم من أنه قد يكون سلوكًا شرعيًا للمستخدم، للتهرب من تتبع اتصالات الشبكة وبصماتها. من المحتمل أن يتضمن نشاط المهاجم ذي الصلة النموذجي تنزيل وتنفيذ البرامج الضارة أو أدوات الإدارة عن بعد.

تكتيكات MITRE: النقل غير المصرح به

الخطورة: منخفض

محاولة الاتصال بمجال متلقي مريب

(AzureDNS_SinkholedDomain)

الوصف: كشف تحليل معاملات DNS من ٪{CompromisedEntity} عن طلب المجال المتلقي. هذا النشاط، على الرغم من أنه قد يكون سلوكًا شرعيًا للمستخدم، غالبًا ما يكون مؤشرًا على تنزيل البرامج الضارة أو تنفيذها. من المحتمل أن يتضمن نشاط المهاجم ذي الصلة النموذجي تنزيل وتنفيذ المزيد من البرامج الضارة أو أدوات الإدارة عن بعد.

تكتيكات MITRE: النقل غير المصرح به

الخطورة: متوسط

الاتصال بمجال التصيد الاحتيالي المحتمل

(AzureDNS_PhishingDomain)

الوصف: كشف تحليل معاملات DNS من ٪{CompromisedEntity} عن طلب لمجال تصيد احتيالي محتمل. وعلى الرغم من أن هذا النشاط قد يكون حميدًا، فإن المهاجمين كثيرًا ما يقومون به لحصاد بيانات الاعتماد إلى الخدمات عن بعد. من المحتمل أن يتضمن نشاط المهاجم ذي الصلة النموذجي استغلال أي بيانات اعتماد على الخدمة الشرعية.

تكتيكات MITRE: النقل غير المصرح به

الخطورة: معلوماتية

الاتصال بالمجال المشبوه الذي تم إنشاؤه خوارزميا

(AzureDNS_DomainGenerationAlgorithm)

الوصف: كشف تحليل معاملات DNS من ٪{CompromisedEntity} عن الاستخدام المحتمل لخوارزمية إنشاء مجال. غالبًا ما يتم تنفيذ هذا النشاط، على الرغم من أنه قد يكون حميدًا، من قبل المهاجمين للتهرب من مراقبة الشبكة وتصفيتها. من المحتمل أن يتضمن نشاط المهاجم ذي الصلة النموذجي تنزيل وتنفيذ البرامج الضارة أو أدوات الإدارة عن بعد.

تكتيكات MITRE: النقل غير المصرح به

الخطورة: معلوماتية

الاتصال بالمجال المشبوه الذي حدَّده التحليل الذكي للمخاطر

(AzureDNS_ThreatIntelSuspectDomain)

الوصف: تم الكشف عن الاتصال بالمجال المشبوه من خلال تحليل معاملات DNS من المورد الخاص بك والمقارنة مع المجالات الضارة المعروفة التي تم تحديدها بواسطة موجزات التحليل الذكي للمخاطر. أجرى المهاجمون الاتصال بالمجالات الضارة بشكل متكرر وقد يعني ذلك أن موردك عرضة للخطر.

تكتيكات MITRE: الوصول الأولي

الخطورة: متوسط

الاتصال باسم المجال العشوائي المشبوه

(AzureDNS_RandomizedDomain)

الوصف: كشف تحليل معاملات DNS من ٪{CompromisedEntity} عن استخدام اسم مجال مريب تم إنشاؤه عشوائيا. غالبًا ما يتم تنفيذ هذا النشاط، على الرغم من أنه قد يكون حميدًا، من قبل المهاجمين للتهرب من مراقبة الشبكة وتصفيتها. من المحتمل أن يتضمن نشاط المهاجم ذي الصلة النموذجي تنزيل وتنفيذ البرامج الضارة أو أدوات الإدارة عن بعد.

تكتيكات MITRE: النقل غير المصرح به

الخطورة: معلوماتية

نشاط استخراج العملات الرقمية

(AzureDNS_CurrencyMining)

الوصف: كشف تحليل معاملات DNS من ٪{CompromisedEntity} عن نشاط استخراج العملات الرقمية. في حين أن هذا النشاط قد يكون سلوكًا شرعيًا للمستخدم، يتم تنفيذه بشكل متكرر من قبل المهاجمين بعد اختراق الموارد. من المحتمل أن يتضمن نشاط المهاجم ذي الصلة النموذجي تنزيل وتنفيذ أدوات التعدين الشائعة.

تكتيكات MITRE: النقل غير المصرح به

الخطورة: منخفض

تنشيط توقيع الكشف عن اختراق الشبكة

(AzureDNS_SuspiciousDomain)

الوصف: كشف تحليل معاملات DNS من ٪{CompromisedEntity} عن توقيع شبكة ضار معروف. هذا النشاط، على الرغم من أنه قد يكون سلوكًا شرعيًا للمستخدم، غالبًا ما يكون مؤشرًا على تنزيل البرامج الضارة أو تنفيذها. من المحتمل أن يتضمن نشاط المهاجم ذي الصلة النموذجي تنزيل وتنفيذ المزيد من البرامج الضارة أو أدوات الإدارة عن بعد.

تكتيكات MITRE: النقل غير المصرح به

الخطورة: متوسط

تنزيل البيانات المحتمل عبر نفق DNS

(AzureDNS_DataInfiltration)

الوصف: كشف تحليل معاملات DNS من ٪{CompromisedEntity} عن نفق DNS محتمل. في حين أن هذا النشاط قد يكون سلوكًا شرعيًا للمستخدم، يتم تنفيذه بشكل متكرر من قبل المهاجمين للتهرب من مراقبة الشبكة وتصفيتها. من المحتمل أن يتضمن نشاط المهاجم ذي الصلة النموذجي تنزيل وتنفيذ البرامج الضارة أو أدوات الإدارة عن بعد.

تكتيكات MITRE: النقل غير المصرح به

الخطورة: منخفض

النقل غير المصرح للبيانات المحتمل عبر نفق DNS

(AzureDNS_DataExfiltration)

الوصف: كشف تحليل معاملات DNS من ٪{CompromisedEntity} عن نفق DNS محتمل. في حين أن هذا النشاط قد يكون سلوكًا شرعيًا للمستخدم، يتم تنفيذه بشكل متكرر من قبل المهاجمين للتهرب من مراقبة الشبكة وتصفيتها. من المحتمل أن يتضمن نشاط المهاجم ذي الصلة النموذجي تنزيل وتنفيذ البرامج الضارة أو أدوات الإدارة عن بعد.

تكتيكات MITRE: النقل غير المصرح به

الخطورة: منخفض

نقل البيانات المحتمل عبر نفق DNS

(AzureDNS_DataObfuscation)

الوصف: كشف تحليل معاملات DNS من ٪{CompromisedEntity} عن نفق DNS محتمل. في حين أن هذا النشاط قد يكون سلوكًا شرعيًا للمستخدم، يتم تنفيذه بشكل متكرر من قبل المهاجمين للتهرب من مراقبة الشبكة وتصفيتها. من المحتمل أن يتضمن نشاط المهاجم ذي الصلة النموذجي تنزيل وتنفيذ البرامج الضارة أو أدوات الإدارة عن بعد.

تكتيكات MITRE: النقل غير المصرح به

الخطورة: منخفض

تنبيهات لملحقات Azure VM

تركز هذه التنبيهات على الكشف عن الأنشطة المشبوهة لملحقات جهاز Azure الظاهري وتوفر رؤى حول محاولات المهاجمين للاختراق وتنفيذ الأنشطة الضارة على أجهزتك الظاهرية.

ملحقات الجهاز الظاهري Azure هي تطبيقات صغيرة تقوم بتشغيل ما بعد النشر على الأجهزة الظاهرية وتوفر قدرات مثل التكوين والأتمتة والمراقبة والأمان والمزيد. في حين أن الملحقات هي أداة قوية، يمكن استخدامها من قبل الجهات الفاعلة في التهديد لمختلف الأهداف الضارة، على سبيل المثال:

• جمع البيانات ومراقبتها

• تنفيذ التعليمات البرمجية ونشر التكوين بامتيازات عالية

• إعادة تعيين بيانات الاعتماد وإنشاء مستخدمين إداريين

• تشفير الأقراص

تعرف على المزيد حول أحدث الحمايات من Defender for Cloud ضد إساءة استخدام ملحقات Azure VM.

فشل مريب في تثبيت ملحق GPU في اشتراكك (معاينة)

(VM_GPUExtensionSuspiciousFailure)

الوصف: الهدف المشبوه لتثبيت ملحق GPU على الأجهزة الظاهرية غير المدعومة. يجب تثبيت هذا الملحق على الأجهزة الظاهرية المجهزة بمعالج رسومي، وفي هذه الحالة لا تكون الأجهزة الظاهرية مجهزة بهذا. يمكن رؤية هذه الإخفاقات عندما ينفذ الخصوم الضارون عمليات تثبيت متعددة لمثل هذا الملحق لأغراض تعدين التشفير.

تكتيكات MITRE: التأثير

الخطورة: متوسط

تم الكشف عن تثبيت مشبوه لملحق GPU على جهازك الظاهري (معاينة)

(VM_GPUDriverExtensionUnusualExecution)

الوصف: تم الكشف عن التثبيت المشبوه لملحق GPU على جهازك الظاهري عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد يستخدم المهاجمون ملحق برنامج تشغيل GPU لتثبيت برامج تشغيل وحدة معالجة الرسومات على جهازك الظاهري عبر Azure Resource Manager لتنفيذ عملية التشفير. ويعتبر هذا النشاط مريبا لأن سلوك المدير يخرج عن أنماطه المعتادة.

تكتيكات MITRE: التأثير

الخطورة: منخفض

تم الكشف عن تشغيل الأمر باستخدام برنامج نصي مريب على جهازك الظاهري (معاينة)

(VM_RunCommandSuspiciousScript)

الوصف: تم الكشف عن أمر تشغيل مع برنامج نصي مريب على جهازك الظاهري عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد يستخدم المهاجمون Run Command لتنفيذ تعليمات برمجية ضارة بامتيازات عالية على جهازك الظاهري عبر Azure Resource Manager. يعتبر البرنامج النصي مريبا حيث تم تحديد أجزاء معينة على أنها يحتمل أن تكون ضارة.

تكتيكات MITRE: التنفيذ

الخطورة: عالية

تم الكشف عن استخدام أمر تشغيل غير مصرح به مريب على جهازك الظاهري (معاينة)

(VM_RunCommandSuspiciousFailure)

الوصف: فشل الاستخدام المشبوه غير المصرح به لأمر التشغيل وتم اكتشافه على جهازك الظاهري عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد يحاول المهاجمون استخدام أمر التشغيل لتنفيذ تعليمات برمجية ضارة بامتيازات عالية على أجهزتك الظاهرية عبر Azure Resource Manager. يعتبر هذا النشاط مريبا لأنه لم يتم رؤيته بشكل شائع من قبل.

تكتيكات MITRE: التنفيذ

الخطورة: متوسط

تم الكشف عن استخدام أمر التشغيل المشبوه على جهازك الظاهري (معاينة)

(VM_RunCommandSuspiciousUsage)

الوصف: تم الكشف عن الاستخدام المشبوه لأمر التشغيل على جهازك الظاهري عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد يستخدم المهاجمون الأمر Run لتنفيذ تعليمات برمجية ضارة بامتيازات عالية على أجهزتك الظاهرية عبر Azure Resource Manager. يعتبر هذا النشاط مريبا لأنه لم يتم رؤيته بشكل شائع من قبل.

تكتيكات MITRE: التنفيذ

الخطورة: منخفض

تم الكشف عن استخدام مشبوه لمراقبة متعددة أو ملحقات جمع البيانات على أجهزتك الظاهرية (معاينة)

(VM_SuspiciousMultiExtensionUsage)

الوصف: تم الكشف عن الاستخدام المشبوه لمراقبة متعددة أو ملحقات جمع البيانات على أجهزتك الظاهرية عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد يسيء المهاجمون استخدام هذه الملحقات لجمع البيانات ومراقبة نسبة استخدام الشبكة والمزيد في اشتراكك. يعتبر هذا الاستخدام مريبا لأنه لم يتم رؤيته بشكل شائع من قبل.

تكتيكات MITRE: الاستكشاف

الخطورة: متوسط

تم الكشف عن تثبيت مشبوه لملحقات تشفير القرص على الأجهزة الظاهرية (معاينة)

(VM_DiskEncryptionSuspiciousUsage)

الوصف: تم الكشف عن التثبيت المشبوه لملحقات تشفير القرص على أجهزتك الظاهرية عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد يسيء المهاجمون استخدام ملحق تشفير القرص لنشر تشفير القرص الكامل على الأجهزة الظاهرية عبر Azure Resource Manager في محاولة لتنفيذ نشاط برامج الفدية الضارة. يعتبر هذا النشاط مريبا لأنه لم يتم رؤيته بشكل شائع من قبل وبسبب العدد الكبير من عمليات تثبيت الملحقات.

تكتيكات MITRE: التأثير

الخطورة: متوسط

تم الكشف عن الاستخدام المشبوه لملحق VMAccess على أجهزتك الظاهرية (معاينة)

(VM_VMAccessSuspiciousUsage)

الوصف: تم الكشف عن الاستخدام المشبوه لملحق VMAccess على أجهزتك الظاهرية. قد يسيء المهاجمون استخدام ملحق VMAccess للوصول إلى أجهزتك الظاهرية واختراقها بامتيازات عالية عن طريق إعادة تعيين الوصول أو إدارة المستخدمين الإداريين. يعتبر هذا النشاط مريبا لأن سلوك المدير يخرج عن أنماطه المعتادة، وبسبب العدد الكبير من تثبيتات الملحق.

تكتيكات MITRE: الثبات

الخطورة: متوسط

تم الكشف عن ملحق تكوين الحالة المطلوب (DSC) مع برنامج نصي مريب على جهازك الظاهري (معاينة)

(VM_DSCExtensionSuspiciousScript)

الوصف: تم الكشف عن ملحق تكوين الحالة المطلوبة (DSC) مع برنامج نصي مريب على جهازك الظاهري عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد يستخدم المهاجمون ملحق تكوين الحالة المطلوبة (DSC) لنشر تكوينات ضارة، مثل آليات الاستمرار والبرامج النصية الضارة والمزيد، بامتيازات عالية، على أجهزتك الظاهرية. يعتبر البرنامج النصي مريبا حيث تم تحديد أجزاء معينة على أنها يحتمل أن تكون ضارة.

تكتيكات MITRE: التنفيذ

الخطورة: عالية

تم الكشف عن الاستخدام المشبوه لملحق Desired State Configuration (DSC) على أجهزتك الظاهرية (معاينة)

(VM_DSCExtensionSuspiciousUsage)

الوصف: تم الكشف عن الاستخدام المشبوه لملحق تكوين الحالة المطلوبة (DSC) على أجهزتك الظاهرية عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد يستخدم المهاجمون ملحق تكوين الحالة المطلوبة (DSC) لنشر تكوينات ضارة، مثل آليات الاستمرار والبرامج النصية الضارة والمزيد، بامتيازات عالية، على أجهزتك الظاهرية. يعتبر هذا النشاط مريبا لأن سلوك المدير يخرج عن أنماطه المعتادة، وبسبب العدد الكبير من تثبيتات الملحق.

تكتيكات MITRE: التنفيذ

الخطورة: منخفض

تم الكشف عن ملحق البرنامج النصي المخصص مع برنامج نصي مريب على جهازك الظاهري (معاينة)

(VM_CustomScriptExtensionSuspiciousCmd)

الوصف: تم الكشف عن ملحق البرنامج النصي المخصص مع برنامج نصي مريب على جهازك الظاهري عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد يستخدم المهاجمون ملحق البرنامج النصي المخصص لتنفيذ تعليمات برمجية ضارة بامتيازات عالية على جهازك الظاهري عبر Azure Resource Manager. يعتبر البرنامج النصي مريبا حيث تم تحديد أجزاء معينة على أنها يحتمل أن تكون ضارة.

تكتيكات MITRE: التنفيذ

الخطورة: عالية

التنفيذ الفاشل المشبوه لملحق البرنامج النصي المخصص في جهازك الظاهري

(VM_CustomScriptExtensionSuspiciousFailure)

الوصف: تم الكشف عن فشل مريب لملحق برنامج نصي مخصص في جهازك الظاهري عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد تكون حالات الفشل هذه مقترنة بنصوص ضارة يتم تشغيلها بواسطة هذا الملحق.

تكتيكات MITRE: التنفيذ

الخطورة: متوسط

الحذف غير العادي لملحق البرنامج النصي المخصص في جهازك الظاهري

(VM_CustomScriptExtensionUnusualDeletion)

الوصف: تم الكشف عن حذف غير عادي لملحق برنامج نصي مخصص في جهازك الظاهري عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد يستخدم المهاجمون ملحقات البرامج النصية المخصصة لتنفيذ تعليمات برمجية ضارة على أجهزتك الظاهرية عبر Azure Resource Manager.

تكتيكات MITRE: التنفيذ

الخطورة: متوسط

تنفيذ غير عادي لملحق البرنامج النصي المخصص في جهازك الظاهري

(VM_CustomScriptExtensionUnusualExecution)

الوصف: تم الكشف عن تنفيذ غير عادي لملحق برنامج نصي مخصص في جهازك الظاهري عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد يستخدم المهاجمون ملحقات البرامج النصية المخصصة لتنفيذ تعليمات برمجية ضارة على أجهزتك الظاهرية عبر Azure Resource Manager.

تكتيكات MITRE: التنفيذ

الخطورة: متوسط

ملحق البرنامج النصي المخصص مع نقطة إدخال مريبة في جهازك الظاهري

(VM_CustomScriptExtensionSuspiciousEntryPoint)

الوصف: تم الكشف عن ملحق البرنامج النصي المخصص مع نقطة إدخال مشبوهة في جهازك الظاهري عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. تشير نقطة الإدخال إلى مستودع GitHub مريب. قد يستخدم المهاجمون ملحقات البرامج النصية المخصصة لتنفيذ تعليمات برمجية ضارة على أجهزتك الظاهرية عبر Azure Resource Manager.

تكتيكات MITRE: التنفيذ

الخطورة: متوسط

ملحق البرنامج النصي المخصص مع حمولة مشبوهة في جهازك الظاهري

(VM_CustomScriptExtensionSuspiciousPayload)

الوصف: تم الكشف عن ملحق البرنامج النصي المخصص مع حمولة من مستودع GitHub مريب في جهازك الظاهري عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد يستخدم المهاجمون ملحقات البرامج النصية المخصصة لتنفيذ تعليمات برمجية ضارة على أجهزتك الظاهرية عبر Azure Resource Manager.

تكتيكات MITRE: التنفيذ

الخطورة: متوسط

تنبيهات لخدمة تطبيقات Azure

مزيد من التفاصيل والملاحظات

محاولة لتشغيل أوامر Linux على خدمة تطبيقات Windows

(AppServices_LinuxCommandOnWindows)

الوصف: كشف تحليل عمليات App Service عن محاولة لتشغيل أمر Linux على خدمة تطبيقات Windows. تم تشغيل هذا الإجراء بواسطة تطبيق الويب. غالبًا ما ينظر إلى هذا السلوك أثناء الحملات التي تستغل ثغرة أمنية في تطبيق ويب شائع. (ينطبق على: App Service على Windows)

تكتيكات MITRE: -

الخطورة: متوسط

تم العثور على عنوان IP متصل بواجهة Azure App Service FTP في تحليل ذكي للمخاطر

(AppServices_IncomingTiClientIpFtp)

الوصف: يشير سجل Azure App Service FTP إلى اتصال من عنوان مصدر تم العثور عليه في موجز التحليل الذكي للمخاطر. في أثناء هذا الاتصال، قام مستخدم بالوصول إلى الصفحات المدرجة. (ينطبق على: App Service على Windows وApp Service على Linux)

تكتيكات MITRE: الوصول الأولي

الخطورة: متوسط

تم الكشف عن محاولة تشغيل أمر امتياز عال

(AppServices_HighPrivilegeCommand)

الوصف: كشف تحليل عمليات App Service عن محاولة لتشغيل أمر يتطلب امتيازات عالية. تم تشغيل الأمر في سياق تطبيق الويب. بينما يمكن أن يكون هذا السلوك شرعيًا، في تطبيقات الويب تتم ملاحظة هذا السلوك أيضًا في الأنشطة الضارة. (ينطبق على: App Service على Windows)

تكتيكات MITRE: -

الخطورة: متوسط

الاتصال بالمجال المشبوه الذي حدَّده التحليل الذكي للمخاطر

(AzureDNS_ThreatIntelSuspectDomain)

الوصف: تم الكشف عن الاتصال بالمجال المشبوه من خلال تحليل معاملات DNS من المورد الخاص بك والمقارنة مع المجالات الضارة المعروفة التي تم تحديدها بواسطة موجزات التحليل الذكي للمخاطر. أجرى المهاجمون الاتصال بالمجالات الضارة بشكل متكرر وقد يعني ذلك أن موردك عرضة للخطر.

تكتيكات MITRE: الوصول الأولي، والمثابرة، والتنفيذ، والتحكم، والاستغلال

الخطورة: متوسط

تم الكشف عن الاتصال بصفحة ويب من عنوان IP غير المألوف

(AppServices_AnomalousPageAccess)

الوصف: يشير سجل نشاط Azure App Service إلى اتصال شاذ بصفحة ويب حساسة من عنوان IP المصدر المدرج. قد يشير هذا إلى أن شخصًا ما يحاول هجوم القوة الغاشمة في صفحات إدارة تطبيق الويب الخاص بك. قد يكون أيضًا نتيجة لعنوان IP جديد يستخدمه مستخدم شرعي. إذا كان عنوان IP المصدر موثوقا به، يمكنك منع هذا التنبيه بأمان لهذا المورد. لمعرفة كيفية منع تنبيهات الأمان، راجع منع التنبيهات من Microsoft Defender for Cloud. (ينطبق على: App Service على Windows وApp Service على Linux)

تكتيكات MITRE: الوصول الأولي

الخطورة: منخفض

تم الكشف عن سجل DNS المتدلي لمورد App Service

(AppServices_DanglingDomain)

الوصف: تم الكشف عن سجل DNS يشير إلى مورد App Service محذوف مؤخرا (يعرف أيضا باسم إدخال DNS المتدلي). هذا يتركك عرضة للاستيلاء على المجال الفرعي. تمكن عمليات الاستحواذ على المجال الفرعي الجهات الفاعلة الضارة من إعادة توجيه نسبة استخدام الشبكة المخصصة لمجال المؤسسة إلى موقع يقوم بنشاط ضار. (ينطبق على: App Service على Windows وApp Service على Linux)

تكتيكات MITRE: -

الخطورة: عالية

تم الكشف عن قابل للتنفيذ مرمز في بيانات سطر الأوامر

(AppServices_Base64EncodedExecutableInCommandLineParams)

الوصف: كشف تحليل بيانات المضيف على {Compromised host} عن ملف قابل للتنفيذ مرمز ب base-64. كان هذا مرتبطًا سابقًا بالمهاجمين الذين يحاولون إنشاء الملفات التنفيذية في أثناء التنقل عبر سلسلة من الأوامر، ومحاولة التهرب من أنظمة الكشف عن الاختراق عن طريق التأكد من عدم تشغيل أي أمر فردي تنبيه. قد يكون هذا نشاطًا شرعيًا، أو مؤشرًا على مضيف معرض للخطر. (ينطبق على: App Service على Windows)

تكتيكات MITRE: التهرب الدفاعي، التنفيذ

الخطورة: عالية

تم الكشف عن تنزيل الملف من مصدر ضار معروف

(AppServices_SuspectDownload)

الوصف: كشف تحليل بيانات المضيف عن تنزيل ملف من مصدر برامج ضارة معروف على المضيف. (ينطبق على: App Service على Linux)

تكتيكات MITRE: تصعيد الامتيازات والتنفيذ والاختراق والتحكم

الخطورة: متوسط

تم الكشف عن تنزيل الملفات المشبوهة

(AppServices_SuspectDownloadArtifacts)

الوصف: كشف تحليل بيانات المضيف عن تنزيل مشبوه للملف البعيد. (ينطبق على: App Service على Linux)

تكتيكات MITRE: الثبات

الخطورة: متوسط

تم الكشف عن السلوك ذي الصلة بالتنقيب عن العملة الرقمية

(AppServices_DigitalCurrencyMining)

الوصف: كشف تحليل بيانات المضيف على Inn-Flow-WebJobs عن تنفيذ عملية أو أمر يرتبط عادة بالتنقيب عن العملات الرقمية. (ينطبق على: App Service على Windows وApp Service على Linux)

تكتيكات MITRE: التنفيذ

الخطورة: عالية

فك ترميز قابل للتنفيذ باستخدام certutil

(AppServices_ExecutableDecodedUsingCertutil)

الوصف: كشف تحليل بيانات المضيف على [الكيان المخترق] عن استخدام certutil.exe، وهي أداة مساعدة مسؤول مضمنة، لفك ترميز قابل للتنفيذ بدلا من الغرض الرئيسي الخاص به والذي يتعلق بمعالجة الشهادات وبيانات الشهادة. من المعروف أن المهاجمين يسيئون استخدام وظائف أدوات المسؤول الشرعية لتنفيذ إجراءات ضارة، على سبيل المثال باستخدام أداة مثل certutil.exe لفك تشفير قابل للتنفيذ الضار الذي سيتم تنفيذه بعد ذلك. (ينطبق على: App Service على Windows)

تكتيكات MITRE: التهرب الدفاعي، التنفيذ

الخطورة: عالية

تم الكشف عن سلوك الهجوم بدون ملف

(AppServices_FilelessAttackBehaviorDetection)

الوصف: تحتوي ذاكرة العملية المحددة أدناه على سلوكيات شائعة الاستخدام من قبل الهجمات بدون ملفات. تتضمن السلوكيات المحددة: {قائمة السلوكيات التي تمت ملاحظتها} (ينطبق على: App Service على Windows وApp Service على Linux)

تكتيكات MITRE: التنفيذ

الخطورة: متوسط

تم الكشف عن تقنية الهجوم بدون ملف

(AppServices_FilelessAttackTechniqueDetection)

الوصف: تحتوي ذاكرة العملية المحددة أدناه على دليل على تقنية هجوم بدون ملف. يتم استخدام الهجمات بدون ملفات من قبل المهاجمين لتنفيذ التعليمات البرمجية أثناء التهرب من الكشف بواسطة برنامج الأمان. تتضمن السلوكيات المحددة: {قائمة السلوكيات التي تمت ملاحظتها} (ينطبق على: App Service على Windows وApp Service على Linux)

تكتيكات MITRE: التنفيذ

الخطورة: عالية

تم الكشف عن مجموعة أدوات الهجوم بدون ملف

(AppServices_FilelessAttackToolkitDetection)

الوصف: تحتوي ذاكرة العملية المحددة أدناه على مجموعة أدوات هجوم بدون ملف: {ToolKitName}. عادة ما لا يكون لدى مجموعات أدوات الهجوم بدون ملفات وجود على نظام الملفات، ما يجعل الكشف عن طريق برامج مكافحة الفيروسات التقليدية أمرًا صعبًا. تتضمن السلوكيات المحددة: {قائمة السلوكيات التي تمت ملاحظتها} (ينطبق على: App Service على Windows وApp Service على Linux)

تكتيكات MITRE: التهرب الدفاعي، التنفيذ

الخطورة: عالية

تنبيه اختبار Microsoft Defender for Cloud لـ App Service (وليس تهديدًا)

(AppServices_EICAR)

الوصف: هذا تنبيه اختبار تم إنشاؤه بواسطة Microsoft Defender for Cloud. لا يوجد إجراء آخر مطلوب. (ينطبق على: App Service على Windows وApp Service على Linux)

تكتيكات MITRE: -

الخطورة: عالية

تم الكشف عن فحص NMap

(AppServices_Nmap)

الوصف: يشير سجل نشاط Azure App Service إلى نشاط محتمل لبصمات الأصابع على الويب على مورد App Service. يرتبط النشاط المشبوه الذي تم اكتشافه بـ NMAP. غالبًا ما يستخدم المهاجمون هذه الأداة للتحقق من تطبيق الويب للعثور على الثغرات الأمنية. (ينطبق على: App Service على Windows وApp Service على Linux)

تكتيكات MITRE: PreAttack

الخطورة: معلوماتية

محتوى التصيد الاحتيالي المستضاف على Azure Webapps

(AppServices_PhishingContent)

الوصف: عنوان URL المستخدم في هجوم التصيد الاحتيالي الموجود على موقع Azure AppServices على الويب. كان عنوان URL هذا جزءا من هجوم تصيد احتيالي تم إرساله إلى عملاء Microsoft 365. عادة ما يغرى المحتوى الزوار بإدخال بيانات اعتماد الشركة أو المعلومات المالية الخاصة بهم في موقع ويب شرعي المظهر. (ينطبق على: App Service على Windows وApp Service على Linux)

تكتيكات MITRE: المجموعة

الخطورة: عالية

ملف PHP في مجلد التحميل

(AppServices_PhpInUploadFolder)

الوصف: يشير سجل نشاط Azure App Service إلى وصول إلى صفحة PHP مريبة موجودة في مجلد التحميل. لا يحتوي هذا النوع من المجلدات عادة على ملفات PHP. قد يشير وجود هذا النوع من الملفات إلى استغلال الاستفادة من نقاط الضعف في تحميل الملف العشوائي. (ينطبق على: App Service على Windows وApp Service على Linux)

تكتيكات MITRE: التنفيذ

الخطورة: متوسط

تم الكشف عن تنزيل Cryptocoinminer المحتمل

(AppServices_CryptoCoinMinerDownload)

الوصف: كشف تحليل بيانات المضيف عن تنزيل ملف يرتبط عادة بالتنقيب عن العملات الرقمية. (ينطبق على: App Service على Linux)

تكتيكات MITRE: التهرب الدفاعي، القيادة والتحكم، الاستغلال

الخطورة: متوسط

تم الكشف عن النقل غير المصرح للبيانات المحتمل

(AppServices_DataEgressArtifacts)

الوصف: كشف تحليل بيانات المضيف/الجهاز عن حالة خروج بيانات محتملة. غالبًا ما يسحب المهاجمون البيانات من الأجهزة التي قاموا باختراقها. (ينطبق على: App Service على Linux)

MITRE tactics: Collection, Exfiltration

الخطورة: متوسط

تم الكشف عن سجل DNS متشابك محتمل لمورد App Service

(AppServices_PotentialDanglingDomain)

الوصف: تم الكشف عن سجل DNS يشير إلى مورد App Service محذوف مؤخرا (يعرف أيضا باسم إدخال DNS المتدلي). قد يتركك هذا عرضة للاستيلاء على مجال فرعي. تمكن عمليات الاستحواذ على المجال الفرعي الجهات الفاعلة الضارة من إعادة توجيه نسبة استخدام الشبكة المخصصة لمجال المؤسسة إلى موقع يقوم بنشاط ضار. في هذه الحالة، تم العثور على سجل نصي مع معرف التحقق من المجال. تمنع مثل هذه السجلات النصية استيلاء المجال الفرعي ولكننا لا نزال نوصي بإزالة المجال المتدلي. إذا تركت سجل DNS يشير إلى المجال الفرعي، فأنت في خطر إذا حذف أي شخص في مؤسستك ملف TXT أو سجله في المستقبل. (ينطبق على: App Service على Windows وApp Service على Linux)

تكتيكات MITRE: -

الخطورة: منخفض

الكشف عن غلاف عكسي محتمل

(AppServices_ReverseShell)

الوصف: كشف تحليل بيانات المضيف عن غلاف عكسي محتمل. يتم استخدام هذه للحصول على جهاز مخترق للاتصال مرة أخرى إلى جهاز يمتلكه المهاجم. (ينطبق على: App Service على Linux)

تكتيكات MITRE: الاختراق والاستغلال

الخطورة: متوسط

تم الكشف عن تنزيل البيانات الأولية

(AppServices_DownloadCodeFromWebsite)

الوصف: كشف تحليل عمليات App Service عن محاولة لتنزيل التعليمات البرمجية من مواقع الويب للبيانات الأولية مثل Pastebin. تم تشغيل هذا الإجراء بواسطة عملية PHP. يرتبط هذا السلوك بمحاولات تنزيل قذائف الويب أو المكونات الضارة الأخرى إلى App Service. (ينطبق على: App Service على Windows)

تكتيكات MITRE: التنفيذ

الخطورة: متوسط

تم الكشف عن حفظ إخراج curl إلى القرص

(AppServices_CurlToDisk)

الوصف: كشف تحليل عمليات App Service عن تشغيل أمر curl حيث تم حفظ الإخراج إلى القرص. في حين أن هذا السلوك يمكن أن يكون شرعيًا، في تطبيقات الويب تتم ملاحظة هذا السلوك أيضًا في الأنشطة الضارة مثل محاولات إصابة مواقع الويب بقذائف الويب. (ينطبق على: App Service على Windows)

تكتيكات MITRE: -

الخطورة: منخفض

تم الكشف عن محيل مجلد البريد العشوائي

(AppServices_SpamReferrer)

الوصف: يشير سجل نشاط Azure App Service إلى نشاط الويب الذي تم تعريفه على أنه من موقع ويب مقترن بنشاط البريد العشوائي. يمكن أن يحدث هذا إذا تم اختراق موقع الويب الخاص بك واستخدامه لنشاط البريد العشوائي. (ينطبق على: App Service على Windows وApp Service على Linux)

تكتيكات MITRE: -

الخطورة: منخفض

تم الكشف عن إمكانية الوصول المشبوه إلى صفحة الويب التي يحتمل أن تكون عرضة للخطر

(AppServices_ScanSensitivePage)

الوصف: يشير سجل نشاط Azure App Service إلى أنه تم الوصول إلى صفحة ويب يبدو أنها حساسة. نشأ هذا النشاط المشبوه من عنوان IP المصدر الذي يشبه نمط الوصول الخاص به برنامج فحص الويب. غالبا ما يرتبط هذا النشاط بمحاولة المهاجم فحص شبكتك لمحاولة الوصول إلى صفحات الويب الحساسة أو الضعيفة. (ينطبق على: App Service على Windows وApp Service على Linux)

تكتيكات MITRE: -

الخطورة: منخفض

مرجع اسم المجال المشبوه

(AppServices_CommandlineSuspectDomain)

الوصف: تحليل بيانات المضيف التي تم اكتشافها كمرجع لاسم المجال المشبوه. هذا النشاط، على الرغم من أنه قد يكون سلوكًا شرعيًا للمستخدم، غالبًا ما يكون مؤشرًا على تنزيل البرامج الضارة أو تنفيذها. من المحتمل أن يتضمن نشاط المهاجم ذي الصلة النموذجي تنزيل وتنفيذ المزيد من البرامج الضارة أو أدوات الإدارة عن بعد. (ينطبق على: App Service على Linux)

تكتيكات MITRE: النقل غير المصرح به

الخطورة: منخفض

تم الكشف عن تنزيل مشبوه باستخدام Certutil

(AppServices_DownloadUsingCertutil)

الوصف: كشف تحليل بيانات المضيف على {NAME} عن استخدام certutil.exe، وهي أداة مساعدة مسؤول مضمنة، لتنزيل ثنائي بدلا من الغرض الأساسي الخاص به والذي يتعلق بمعالجة الشهادات وبيانات الشهادة. من المعروف أن المهاجمين يسيئون استخدام وظائف أدوات المسؤول الشرعية لتنفيذ إجراءات ضارة، على سبيل المثال باستخدام certutil.exe لتنزيل وفك تشفير ملف تنفيذي ضار سيتم تنفيذه بعد ذلك. (ينطبق على: App Service على Windows)

تكتيكات MITRE: التنفيذ

الخطورة: متوسط

تم الكشف عن تنفيذ PHP المشبوه

(AppServices_SuspectPhp)

الوصف: تشير سجلات الجهاز إلى أن عملية PHP مريبة قيد التشغيل. تضمن الإجراء محاولة تشغيل أوامر نظام التشغيل أو التعليمات البرمجية PHP من سطر الأوامر، باستخدام عملية PHP. على الرغم من أن هذا السلوك يمكن أن يكون شرعيًا، فقد يشير هذا السلوك في تطبيقات الويب إلى أنشطة ضارة، مثل محاولات إصابة مواقع الويب بقذائف الويب. (ينطبق على: App Service على Windows وApp Service على Linux)

تكتيكات MITRE: التنفيذ

الخطورة: متوسط

تنفيذ أوامر PowerShell cmdlets المشبوهة

(AppServices_PowerShellPowerSploitScriptExecution)

الوصف: يشير تحليل بيانات المضيف إلى تنفيذ أوامر PowerShell PowerSploit cmdlets الضارة المعروفة. (ينطبق على: App Service على Windows)

تكتيكات MITRE: التنفيذ

الخطورة: متوسط

تنفيذ عملية مشبوهة

(AppServices_KnownCredential AccessTools)

الوصف: تشير سجلات الجهاز إلى أن العملية المشبوهة: '٪{مسار العملية}' كانت تعمل على الجهاز، وغالبا ما تكون مقترنة بمحاولات المهاجم للوصول إلى بيانات الاعتماد. (ينطبق على: App Service على Windows)

تكتيكات MITRE: الوصول إلى بيانات الاعتماد

الخطورة: عالية

تم الكشف عن اسم العملية المشبوهة

(AppServices_ProcessWithKnownSuspiciousExtension)

الوصف: كشف تحليل بيانات المضيف على {NAME} عن عملية مشبوهة اسمها، على سبيل المثال مطابقة لأداة مهاجم معروفة أو مسماة بطريقة توحي بأدوات المهاجم التي تحاول الاختباء في مرأى من الجميع. قد تكون هذه العملية نشاطًا مشروعًا، أو إشارة إلى أن أحد أجهزتك قد تم اختراقه. (ينطبق على: App Service على Windows)

تكتيكات MITRE: الثبات، والتهرب الدفاعي

الخطورة: متوسط

تنفيذ عملية SVCHOST المشبوهة

(AppServices_SVCHostFromInvalidPath)

الوصف: تمت ملاحظة أن عملية النظام SVCHOST تعمل في سياق غير طبيعي. غالبا ما تستخدم البرامج الضارة SVCHOST لإخفاء نشاطها الضار. (ينطبق على: App Service على Windows)

تكتيكات MITRE: التهرب الدفاعي، التنفيذ

الخطورة: عالية

تم الكشف عن عامل مستخدم مريب

(AppServices_UserAgentInjection)

الوصف: يشير سجل نشاط Azure App Service إلى طلبات مع عامل مستخدم مشبوه. يمكن أن يشير هذا السلوك إلى محاولات استغلال ثغرة أمنية في تطبيق App Service. (ينطبق على: App Service على Windows وApp Service على Linux)

تكتيكات MITRE: الوصول الأولي

الخطورة: معلوماتية

الكشف عن استدعاء نسق WordPress المشبوه

(AppServices_WpThemeInjection)

الوصف: يشير سجل نشاط Azure App Service إلى نشاط محتمل لإدخال التعليمات البرمجية على مورد App Service. يشبه النشاط المشبوه الذي تم اكتشافه معالجة نسق WordPress لدعم تنفيذ جانب الخادم للتعليمات البرمجية، متبوعًا بطلب ويب مباشر لاستدعاء ملف النسق الذي تم التلاعب به. كان ينظر إلى هذا النوع من النشاط في الماضي كجزء من حملة هجومية عبر WordPress. إذا لم يكن مورد App Service الخاص بك يستضيف موقع WordPress، فهو ليس عرضة لاستغلال إدخال التعليمات البرمجية المحدد هذا ويمكنك منع هذا التنبيه للمورد بأمان. لمعرفة كيفية منع تنبيهات الأمان، راجع منع التنبيهات من Microsoft Defender for Cloud. (ينطبق على: App Service على Windows وApp Service على Linux)

تكتيكات MITRE: التنفيذ

الخطورة: عالية

تم الكشف عن الماسح الضوئي للثغرات الأمنية

(AppServices_DrupalScanner)

الوصف: يشير سجل نشاط Azure App Service إلى أنه تم استخدام ماسح ضوئي محتمل للثغرات الأمنية على مورد App Service. يشبه النشاط المشبوه الذي تم اكتشافه نشاط الأدوات التي تستهدف نظام إدارة المحتوى (CMS). إذا لم يستضيف مورد App Service موقع Drupal، فإنه ليس عرضة لاستغلال إدخال التعليمات البرمجية المحدد هذا ويمكنك منع هذا التنبيه للمورد بأمان. لمعرفة كيفية منع تنبيهات الأمان، راجع منع التنبيهات من Microsoft Defender for Cloud. (ينطبق على: App Service على Windows)

تكتيكات MITRE: PreAttack

الخطورة: منخفض

تم الكشف عن الماسح الضوئي للثغرات الأمنية

(AppServices_JoomlaScanner)

الوصف: يشير سجل نشاط Azure App Service إلى أنه تم استخدام ماسح ضوئي محتمل للثغرات الأمنية على مورد App Service. يشبه النشاط المشبوه المكتشف الأدوات التي تستهدف تطبيقات Joomla. إذا لم يستضيف مورد App Service موقع Joomla، فإنه ليس عرضة لاستغلال إدخال التعليمات البرمجية المحدد هذا ويمكنك منع هذا التنبيه للمورد بأمان. لمعرفة كيفية منع تنبيهات الأمان، راجع منع التنبيهات من Microsoft Defender for Cloud. (ينطبق على: App Service على Windows وApp Service على Linux)

تكتيكات MITRE: PreAttack

الخطورة: منخفض

تم الكشف عن الماسح الضوئي للثغرات الأمنية

(AppServices_WpScanner)

الوصف: يشير سجل نشاط Azure App Service إلى أنه تم استخدام ماسح ضوئي محتمل للثغرات الأمنية على مورد App Service. يشبه النشاط المشبوه المكتشف الأدوات التي تستهدف تطبيقات WordPress. إذا لم يكن مورد App Service الخاص بك يستضيف موقع WordPress، فهو ليس عرضة لاستغلال إدخال التعليمات البرمجية المحدد هذا ويمكنك منع هذا التنبيه للمورد بأمان. لمعرفة كيفية منع تنبيهات الأمان، راجع منع التنبيهات من Microsoft Defender for Cloud. (ينطبق على: App Service على Windows وApp Service على Linux)

تكتيكات MITRE: PreAttack

الخطورة: منخفض

تم الكشف عن بصمات الأصابع على الويب

(AppServices_WebFingerprinting)

الوصف: يشير سجل نشاط Azure App Service إلى نشاط محتمل لبصمات الأصابع على الويب على مورد App Service. يرتبط النشاط المشبوه المكتشف بأداة تسمى Blind Elephant. خوادم ويب بصمة الأداة وتحاول الكشف عن التطبيقات والإصدارات المثبتة. غالبًا ما يستخدم المهاجمون هذه الأداة للتحقق من تطبيق الويب للعثور على الثغرات الأمنية. (ينطبق على: App Service على Windows وApp Service على Linux)

تكتيكات MITRE: PreAttack

الخطورة: متوسط

يتم وضع علامة على موقع الويب على أنه ضار في موجز التحليل الذكي للمخاطر

(AppServices_SmartScreen)

الوصف: تم وضع علامة على موقعك على ويب كما هو موضح أدناه كموقع ضار بواسطة Windows SmartScreen. إذا كنت تعتقد أن هذه إيجابية خاطئة، فاتصل Windows SmartScreen عبر ارتباط ملاحظات التقرير المقدم. (ينطبق على: App Service على Windows وApp Service على Linux)

تكتيكات MITRE: المجموعة

الخطورة: متوسط

تنبيهات للحاويات - مجموعات Kubernetes

يوفر Microsoft Defender for Containers تنبيهات أمان على مستوى نظام المجموعة وعلى عقد نظام المجموعة الأساسية من خلال مراقبة كل من مستوى التحكم (خادم واجهة برمجة التطبيقات) وعبء العمل الحاوي نفسه. يمكن التعرف على تنبيهات أمان مستوى التحكم بواسطة بادئة K8S_ من نوع التنبيه. يمكن التعرف على تنبيهات الأمان لحمل عمل وقت التشغيل في المجموعات بواسطة بادئة K8S.NODE_ من نوع التنبيه. يتم دعم جميع التنبيهات على Linux فقط، ما لم يشار إلى خلاف ذلك.

مزيد من التفاصيل والملاحظات

تم الكشف عن خدمة Postgres المكشوفة مع تكوين مصادقة الثقة في Kubernetes (معاينة)

(K8S_ExposedPostgresTrustAuth)

الوصف: كشف تحليل تكوين مجموعة Kubernetes عن تعرض خدمة Postgres بواسطة موازن تحميل. يتم تكوين الخدمة باستخدام أسلوب مصادقة الثقة، والذي لا يتطلب بيانات اعتماد.

تكتيكات MITRE: InitialAccess

الخطورة: متوسط

تم الكشف عن خدمة Postgres المكشوفة مع تكوين محفوف بالمخاطر في Kubernetes (معاينة)

(K8S_ExposedPostgresBroadIPRange)

الوصف: كشف تحليل تكوين مجموعة Kubernetes عن تعرض خدمة Postgres بواسطة موازن تحميل مع تكوين محفوف بالمخاطر. يشكل تعريض الخدمة لمجموعة واسعة من عناوين IP خطرا أمنيا.

تكتيكات MITRE: InitialAccess

الخطورة: متوسط

محاولة إنشاء مساحة اسم Linux جديدة من حاوية تم اكتشافها

(K8S. NODE_NamespaceCreation) ¹

الوصف: كشف تحليل العمليات التي تعمل داخل حاوية في مجموعة Kubernetes عن محاولة لإنشاء مساحة اسم Linux جديدة. في حين أن هذا السلوك قد يكون شرعيًا، فقد يشير إلى أن المهاجم يحاول الهروب من الحاوية إلى العقدة. تستخدم بعض عمليات استغلال CVE-2022-0185 هذه التقنية.

تكتيكات MITRE: PrivilegeEscalation

الخطورة: معلوماتية

تم مسح ملف محفوظات

(K8S.NODE_HistoryFileCleared) ¹

الوصف: كشف تحليل العمليات التي تعمل داخل حاوية أو مباشرة على عقدة Kubernetes أنه تم مسح ملف سجل محفوظات الأوامر. قد يقوم المهاجمون بذلك لتغطية مساراتهم. تم تنفيذ العملية بواسطة حساب المستخدم المحدد.

تكتيكات MITRE: التهرب الدفاعي

الخطورة: متوسط

نشاط غير طبيعي للهوية المدارة المرتبطة بـ Kubernetes (معاينة)

(K8S_AbnormalMiActivity)

الوصف: كشف تحليل عمليات Azure Resource Manager عن سلوك غير طبيعي لهوية مدارة يستخدمها ملحق AKS. النشاط المكتشف غير متسق مع سلوك الوظيفة الإضافية المقترنة. بينما يمكن أن يكون هذا النشاط شرعيًا، قد يشير هذا السلوك إلى أن الهوية تم اكتسابها من قبل مهاجم، ربما من حاوية تم اختراقها في مجموعة Kubernetes.

تكتيكات MITRE: الحركة الجانبية

الخطورة: متوسط

تم الكشف عن عملية حساب خدمة Kubernetes غير الطبيعية

(K8S_ServiceAccountRareOperation)

الوصف: كشف تحليل سجل تدقيق Kubernetes عن سلوك غير طبيعي بواسطة حساب خدمة في مجموعة Kubernetes. تم استخدام حساب الخدمة لعملية، وهو غير شائع لحساب الخدمة هذا. على الرغم من أن هذا النشاط يمكن أن يكون شرعيًا، فقد يشير هذا السلوك إلى أن حساب الخدمة يتم استخدامه لأغراض ضارة.

تكتيكات MITRE: الحركة الجانبية، الوصول إلى بيانات الاعتماد

الخطورة: متوسط

تم اكتشاف محاولة اتصال غير شائعة

(K8S.NODE_SuspectConnection) ¹

الوصف: اكتشف تحليل العمليات التي تعمل داخل حاوية أو مباشرة على عقدة Kubernetes محاولة اتصال غير شائعة باستخدام بروتوكول الجوارب. هذا نادر جدا في العمليات العادية، ولكن تقنية معروفة للمهاجمين الذين يحاولون تجاوز عمليات الكشف عن طبقة الشبكة.

تكتيكات MITRE: التنفيذ، النقل غير المصرح به، الاستغلال

الخطورة: متوسط

تم اكتشاف محاولة إيقاف خدمة apt-daily-upgrade.timer

(K8S.NODE_TimerServiceDisabled) ¹

الوصف: كشف تحليل العمليات التي تعمل داخل حاوية أو مباشرة على عقدة Kubernetes عن محاولة لإيقاف خدمة apt-daily-upgrade.timer. تمت ملاحظة أن المهاجمين يوقفون هذه الخدمة لتنزيل الملفات الضارة ومنح امتيازات التنفيذ لهجماتهم. يمكن أن يحدث هذا النشاط أيضًا إذا تم تحديث الخدمة من خلال الإجراءات الإدارية العادية.

تكتيكات MITRE: التهرب الدفاعي

الخطورة: معلوماتية

سلوك مشابه لروبوتات الدردشة Linux الشائعة التي تم اكتشافها (معاينة)

(K8S.NODE_CommonBot)

الوصف: كشف تحليل العمليات التي تعمل داخل حاوية أو مباشرة على عقدة Kubernetes عن تنفيذ عملية ترتبط عادة بشبكات روبوتات Linux الشائعة.

تكتيكات MITRE: التنفيذ والمجموعة والأمر والتحكم

الخطورة: متوسط

الأمر داخل حاوية تعمل بامتيازات عالية

(K8S.NODE_PrivilegedExecutionInContainer) ¹

الوصف: تشير سجلات الجهاز إلى أنه تم تشغيل أمر مميز في حاوية Docker. يحتوي الأمر المميز على امتيازات موسعة على الجهاز المضيف.

تكتيكات MITRE: PrivilegeEscalation

الخطورة: معلوماتية

الحاوية قيد التشغيل في الوضع المتميز

(K8S. NODE_PrivilegedContainerArtifacts) ¹

الوصف: كشف تحليل العمليات التي تعمل داخل حاوية أو مباشرة على عقدة Kubernetes عن تنفيذ أمر Docker الذي يقوم بتشغيل حاوية مميزة. الحاوية المميزة لديها حق الوصول الكامل إلى حاوية الاستضافة أو مورد المضيف. إذا تم اختراقه، فقد يستخدم المهاجم الحاوية المميزة للوصول إلى حاوية الاستضافة أو المضيف.

تكتيكات MITRE: PrivilegeEscalation, Execution

الخطورة: معلوماتية

تم الكشف عن حاوية ذات تحميل وحدة تخزين حساسة

(K8S_SensitiveMount)

الوصف: كشف تحليل سجل تدقيق Kubernetes عن حاوية جديدة مع تحميل وحدة تخزين حساسة. وحدة التخزين التي تم الكشف عنها هي نوع hostPath الذي يقوم بتحميل ملف أو مجلد حساس من العقدة إلى الحاوية. إذا تم اختراق الحاوية، يمكن للمهاجم استخدام هذا التحميل للوصول إلى العقدة.

تكتيكات MITRE: تصعيد الامتيازات

الخطورة: معلوماتية

تم الكشف عن تعديل CoreDNS في Kubernetes

(K8S_CoreDnsModification) ²³

الوصف: كشف تحليل سجل تدقيق Kubernetes عن تعديل تكوين CoreDNS. يمكن تعديل تكوين CoreDNS عن طريق تجاوز التكوين الخاص به. في حين أن هذا النشاط يمكن أن يكون شرعيا، إذا كان لدى المهاجمين أذونات لتعديل التكوين، يمكنهم تغيير سلوك خادم DNS الخاص بالمجموعة وتسميمه.

تكتيكات MITRE: الحركة الجانبية

الخطورة: منخفض

تم الكشف عن إنشاء تكوين إخطار على الويب للقبول

(K8S_AdmissionController) ³

الوصف: كشف تحليل سجل تدقيق Kubernetes عن تكوين إخطار على الويب للقبول جديد. لدى Kubernetes وحدتا تحكم عامتان في القبول: MutatingAdmissionWebhook و ValidatingAdmissionWebhook. يتم تحديد سلوك وحدات التحكم في القبول هذه من خلال إخطار على الويب للقبول الذي ينشره المستخدم إلى نظام المجموعة. يمكن أن يكون استخدام وحدات التحكم في القبول هذه شرعيا، ولكن يمكن للمهاجمين استخدام خطافات الويب هذه لتعديل الطلبات (في حالة الطفرةAdmissionWebhook) أو فحص الطلبات واكتساب معلومات حساسة (في حالة التحقق من صحةAdmissionWebhook).

تكتيكات MITRE: الوصول إلى بيانات الاعتماد، والمثابرة

الخطورة: معلوماتية

تم الكشف عن تنزيل الملف من مصدر ضار معروف

(K8S.NODE_SuspectDownload) ¹

الوصف: كشف تحليل العمليات التي تعمل داخل حاوية أو مباشرة على عقدة Kubernetes عن تنزيل ملف من مصدر يستخدم بشكل متكرر لتوزيع البرامج الضارة.

تكتيكات MITRE: PrivilegeEscalation, Execution, Exfiltration, Command and Control

الخطورة: متوسط

تم الكشف عن تنزيل الملفات المشبوهة

(K8S.NODE_SuspectDownloadArtifacts) ¹

الوصف: كشف تحليل العمليات التي تعمل داخل حاوية أو مباشرة على عقدة Kubernetes عن تنزيل مشبوه لملف بعيد.

تكتيكات MITRE: الثبات

الخطورة: معلوماتية

الكشف عن الاستخدام المشبوه لأمر nohup

(K8S.NODE_SuspectNohup) ¹

الوصف: كشف تحليل العمليات التي تعمل داخل حاوية أو مباشرة على عقدة Kubernetes عن استخدام مشبوه لأمر nohup. تمت رؤية المهاجمين باستخدام الأمر nohup لتشغيل الملفات المخفية من دليل مؤقت للسماح بتشغيل الملفات التنفيذية الخاصة بهم في الخلفية. من النادر رؤية هذا الأمر يعمل على الملفات المخفية الموجودة في دليل مؤقت.

تكتيكات MITRE: الاستمرارية، والتهرب الدفاعي

الخطورة: متوسط

تم الكشف عن الاستخدام المشبوه للأمر useradd

(K8S.NODE_SuspectUserAddition) ¹

الوصف: كشف تحليل العمليات التي تعمل داخل حاوية أو مباشرة على عقدة Kubernetes عن استخدام مشبوه للأمر useradd.

تكتيكات MITRE: الثبات

الخطورة: متوسط

تم الكشف عن حاوية استخراج العملات الرقمية

(K8S_MaliciousContainerImage) ³

الوصف: كشف تحليل سجل تدقيق Kubernetes عن حاوية تحتوي على صورة مرتبطة بأداة استخراج العملات الرقمية.

تكتيكات MITRE: التنفيذ

الخطورة: عالية

تم الكشف عن السلوك ذي الصلة بالتنقيب عن العملة الرقمية

(K8S.NODE_DigitalCurrencyMining) ¹

الوصف: كشف تحليل العمليات التي تعمل داخل حاوية أو مباشرة على عقدة Kubernetes عن تنفيذ عملية أو أمر يرتبط عادة بالتنقيب عن العملات الرقمية.

تكتيكات MITRE: التنفيذ

الخطورة: عالية

تم الكشف عن عملية بناء Docker على عقدة Kubernetes

(K8S.NODE_ImageBuildOnNode) ¹

الوصف: كشف تحليل العمليات التي تعمل داخل حاوية أو مباشرة على عقدة Kubernetes عن عملية بناء لصورة حاوية على عقدة Kubernetes. في حين أن هذا السلوك قد يكون شرعيًا، فقد يقوم المهاجمون ببناء صورهم الضارة محليًا لتجنب الكشف.

تكتيكات MITRE: التهرب الدفاعي

الخطورة: معلوماتية

تم الكشف عن لوحة معلومات Kubeflow المكشوفة

(K8S_ExposedKubeflow)

الوصف: كشف تحليل سجل تدقيق Kubernetes عن تعرض Istio Ingress بواسطة موازن تحميل في نظام مجموعة يقوم بتشغيل Kubeflow. قد يعرض هذا الإجراء لوحة معلومات Kubeflow إلى الإنترنت. إذا تعرضت لوحة المعلومات للإنترنت، يمكن للمهاجمين الوصول إليها وتشغيل حاويات أو تعليمات برمجية ضارة على نظام المجموعة. ابحث عن مزيد من التفاصيل في المقالة التالية: https://aka.ms/exposedkubeflow-blog

تكتيكات MITRE: الوصول الأولي

الخطورة: متوسط

تم الكشف عن لوحة معلومات Kubernetes المكشوفة

(K8S_ExposedDashboard)

الوصف: كشف تحليل سجل تدقيق Kubernetes عن تعرض لوحة معلومات Kubernetes بواسطة خدمة LoadBalancer. تسمح لوحة المعلومات المكشوفة بالوصول غير المصادق عليه إلى إدارة نظام المجموعة وتشكل تهديدا أمنيا.

تكتيكات MITRE: الوصول الأولي

الخطورة: عالية

تم الكشف عن خدمة Kubernetes المكشوفة

(K8S_ExposedService)

الوصف: كشف تحليل سجل تدقيق Kubernetes عن تعرض خدمة بواسطة موازن تحميل. ترتبط هذه الخدمة بتطبيق حساس يسمح بعمليات عالية التأثير في نظام المجموعة مثل تشغيل العمليات على العقدة أو إنشاء حاويات جديدة. في بعض الحالات، لا تتطلب هذه الخدمة مصادقة. إذا كانت الخدمة لا تتطلب مصادقة، فإن تعريضها للإنترنت يشكل خطرًا أمنيًا.

تكتيكات MITRE: الوصول الأولي

الخطورة: متوسط

تم الكشف عن خدمة Redis المكشوفة في AKS

(K8S_ExposedRedis)

الوصف: كشف تحليل سجل تدقيق Kubernetes عن تعرض خدمة Redis بواسطة موازن تحميل. إذا كانت الخدمة لا تتطلب مصادقة، فإن تعريضها للإنترنت يشكل خطرًا أمنيًا.

تكتيكات MITRE: الوصول الأولي

الخطورة: منخفض

تم الكشف عن المؤشرات المرتبطة بمجموعة أدوات DDOS

(K8S.NODE_KnownLinuxDDoSToolkit) ¹

الوصف: كشف تحليل العمليات التي تعمل داخل حاوية أو مباشرة على عقدة Kubernetes أسماء الملفات التي تعد جزءا من مجموعة أدوات مرتبطة بالبرامج الضارة القادرة على بدء هجمات DDoS وفتح المنافذ والخدمات والتحكم الكامل في النظام المصاب. وقد يكون هذا أيضًا نشاطًا مشروعًا.

تكتيكات MITRE: الثبات، الحركات الجانبية، التنفيذ، الاستغلال

الخطورة: متوسط

تم الكشف عن طلبات K8S API من عنوان IP الوكيل

(K8S_TI_Proxy) ³

الوصف: كشف تحليل سجل تدقيق Kubernetes عن طلبات واجهة برمجة التطبيقات إلى نظام المجموعة من عنوان IP المقترن بخدمات الوكيل، مثل TOR. على الرغم من أن هذا السلوك يمكن أن يكون مشروعًا، فإنه غالبًا ما يظهر في الأنشطة الضارة، عندما يحاول المهاجمون إخفاء عنوان IP المصدر الخاص بهم.

تكتيكات MITRE: التنفيذ

الخطورة: منخفض

حذف أحداث Kubernetes

(K8S_DeleteEvents) ²⁴

الوصف: اكتشف Defender for Cloud أنه تم حذف بعض أحداث Kubernetes. أحداث Kubernetes هي كائنات في Kubernetes تحتوي على معلومات حول التغييرات في نظام المجموعة. قد يحذف المهاجمون هذه الأحداث لإخفاء عملياتهم في نظام المجموعة.

تكتيكات MITRE: التهرب الدفاعي

الخطورة: منخفض

تم الكشف عن أداة اختبار اختراق Kubernetes

(K8S_PenTestToolsKubeHunter)

الوصف: كشف تحليل سجل تدقيق Kubernetes عن استخدام أداة اختبار اختراق Kubernetes في نظام مجموعة AKS. في حين أن هذا السلوك يمكن أن يكون شرعياً، قد يستخدم المهاجمون مثل هذه الأدوات العامة لأغراض ضارة.

تكتيكات MITRE: التنفيذ

الخطورة: منخفض

تنبيه اختبار Microsoft Defender for Cloud (وليس تهديدًا).

(K8S. NODE_EICAR) ¹

الوصف: هذا تنبيه اختبار تم إنشاؤه بواسطة Microsoft Defender for Cloud. لا يوجد إجراء آخر مطلوب.

تكتيكات MITRE: التنفيذ

الخطورة: عالية

تم الكشف عن حاوية جديدة في مساحة اسم نظام kube

(K8S_KubeSystemContainer) ³

الوصف: كشف تحليل سجل تدقيق Kubernetes عن حاوية جديدة في مساحة اسم نظام kube ليست من بين الحاويات التي تعمل عادة في مساحة الاسم هذه. يجب ألا تحتوي مساحات أسماء نظام kube على موارد المستخدم. يمكن للمهاجمين استخدام مساحة الاسم هذه لإخفاء المكونات الضارة.

تكتيكات MITRE: الثبات

الخطورة: معلوماتية

تم الكشف عن دور امتيازات عالية جديد

(K8S_HighPrivilegesRole) ³

الوصف: كشف تحليل سجل تدقيق Kubernetes عن دور جديد بامتيازات عالية. يمنح الربط بدور بامتيازات عالية امتيازات عالية للمستخدم/المجموعة في نظام المجموعة. قد تتسبب الامتيازات غير الضرورية في تصعيد الامتيازات في نظام المجموعة.

تكتيكات MITRE: الثبات

الخطورة: معلوماتية

تم الكشف عن أداة الهجوم المحتملة

(K8S.NODE_KnownLinuxAttackTool) ¹

الوصف: اكتشف تحليل العمليات التي تعمل داخل حاوية أو مباشرة على عقدة Kubernetes استدعاء أداة مشبوهة. غالبا ما ترتبط هذه الأداة بمستخدمين ضارين يهاجمون الآخرين.

تكتيكات MITRE: التنفيذ، التجميع، القيادة والتحكم، التحقق

الخطورة: متوسط

تم الكشف عن خلفية محتملة

(K8S.NODE_LinuxBackdoorArtifact) ¹

الوصف: كشف تحليل العمليات التي تعمل داخل حاوية أو مباشرة على عقدة Kubernetes عن ملف مشبوه يتم تنزيله وتشغيله. تم إقران هذا النشاط مسبقًا بتثبيت أحد الأبواب الخلفية.

تكتيكات MITRE: الثبات، والتهرب الدفاعي، والتنفيذ، والاستغلال

الخطورة: متوسط

محاولة استغلال سطر الأوامر المحتملة

(K8S.NODE_ExploitAttempt) ¹

الوصف: كشف تحليل العمليات التي تعمل داخل حاوية أو مباشرة على عقدة Kubernetes عن محاولة استغلال محتملة ضد ثغرة أمنية معروفة.

تكتيكات MITRE: الاستغلال

الخطورة: متوسط

تم الكشف عن أداة الوصول إلى بيانات الاعتماد المحتملة

(K8S.NODE_KnownLinuxCredentialAccessTool) ¹

الوصف: كشف تحليل العمليات التي تعمل داخل حاوية أو مباشرة على عقدة Kubernetes عن تشغيل أداة وصول بيانات اعتماد معروفة محتملة على الحاوية، كما هو محدد من قبل العملية المحددة وعنصر محفوظات سطر الأوامر. غالبًا ما ترتبط هذه الأداة بمحاولات المهاجم للوصول إلى بيانات الاعتماد.

تكتيكات MITRE: CredentialAccess

الخطورة: متوسط

تم الكشف عن تنزيل Cryptocoinminer المحتمل

(K8S.NODE_CryptoCoinMinerDownload) ¹

الوصف: كشف تحليل العمليات التي تعمل داخل حاوية أو مباشرة على عقدة Kubernetes، عن تنزيل ملف يرتبط عادة بالتنقيب عن العملات الرقمية.

تكتيكات MITRE: الدفاع التهرب، القيادة والتحكم، الاستغلال

الخطورة: متوسط

تم الكشف عن نشاط محتمل للعبث بالسجل

(K8S.NODE_SystemLogRemoval) ¹

الوصف: كشف تحليل العمليات التي تعمل داخل حاوية أو مباشرة على عقدة Kubernetes عن إزالة محتملة للملفات التي تتعقب نشاط المستخدم أثناء تشغيله. غالبًا ما يحاول المهاجمون التهرب من الكشف وعدم ترك أي أثر للأنشطة الضارة عن طريق حذف ملفات السجل هذه.

تكتيكات MITRE: التهرب الدفاعي

الخطورة: متوسط

تغيير كلمة المرور المحتمل باستخدام طريقة التشفير التي تم اكتشافها

(K8S.NODE_SuspectPasswordChange) ¹

الوصف: كشف تحليل العمليات التي تعمل داخل حاوية أو مباشرة على عقدة Kubernetes عن تغيير كلمة المرور باستخدام أسلوب التشفير. يمكن للمهاجمين إجراء هذا التغيير لمواصلة الوصول والحصول على الاستمرار بعد التسوية.

تكتيكات MITRE: CredentialAccess

الخطورة: متوسط

منفذ محتمل إعادة توجيه إلى عنوان IP خارجي

(K8S.NODE_SuspectPortForwarding) ¹

الوصف: كشف تحليل العمليات التي تعمل داخل حاوية أو مباشرة على عقدة Kubernetes عن بدء إعادة توجيه المنفذ إلى عنوان IP خارجي.

تكتيكات MITRE: النقل غير المصرح به، الأمر والتحكم

الخطورة: متوسط

الكشف عن غلاف عكسي محتمل

(K8S.NODE_ReverseShell) ¹

الوصف: كشف تحليل العمليات التي تعمل داخل حاوية أو مباشرة على عقدة Kubernetes عن غلاف عكسي محتمل. يتم استخدام هذه للحصول على جهاز مخترق للاتصال مرة أخرى إلى جهاز يمتلكه المهاجم.

تكتيكات MITRE: الاختراق والاستغلال

الخطورة: متوسط

تم الكشف عن الحاوية المميزة

(K8S_PrivilegedContainer)

الوصف: كشف تحليل سجل تدقيق Kubernetes عن حاوية مميزة جديدة. الحاوية المميزة لديها حق الوصول إلى موارد العقدة وكسر العزل بين الحاويات. إذا تم اختراقه، يمكن للمهاجم استخدام الحاوية المميزة للوصول إلى العقدة.

تكتيكات MITRE: تصعيد الامتيازات

الخطورة: معلوماتية

العملية المرتبطة باستخراج العملات الرقمية التي تم اكتشافها

(K8S.NODE_CryptoCoinMinerArtifacts) ¹

الوصف: كشف تحليل العمليات التي تعمل داخل الحاوية عن تنفيذ عملية ترتبط عادة بالتنقيب عن العملات الرقمية.

تكتيكات MITRE: التنفيذ والاستغلال

الخطورة: متوسط

العملية التي تمت مشاهدتها للوصول إلى ملف المفاتيح المعتمدة من SSH بطريقة غير عادية

(K8S.NODE_SshKeyAccess) ¹

الوصف: تم الوصول إلى ملف SSH authorized_keys بطريقة مشابهة لحملات البرامج الضارة المعروفة. يمكن أن يشير هذا الوصول إلى أن المستخدم يحاول الوصول المستمر إلى جهاز.

تكتيكات MITRE: غير معروف

الخطورة: معلوماتية

تم الكشف عن ربط الدور بدور مسؤول نظام المجموعة

(K8S_ClusterAdminBinding)

الوصف: كشف تحليل سجل تدقيق Kubernetes عن ربط جديد لدور مسؤول نظام المجموعة الذي يمنح امتيازات المسؤول. قد تتسبب امتيازات المسؤول غير الضرورية في تصعيد الامتيازات في نظام المجموعة.

تكتيكات MITRE: الثبات

الخطورة: معلوماتية

تم الكشف عن إنهاء العملية المتعلقة بالأمان

(K8S.NODE_SuspectProcessTermination) ¹

الوصف: اكتشف تحليل العمليات التي تعمل داخل حاوية أو مباشرة على عقدة Kubernetes محاولة إنهاء العمليات المتعلقة بمراقبة الأمان على الحاوية. غالبًا ما يحاول المهاجمون إنهاء مثل هذه العمليات باستخدام برامج نصية محددة مسبقا بعد التسوية.

تكتيكات MITRE: الثبات

الخطورة: منخفض

خادم SSH قيد التشغيل داخل حاوية

(K8S. NODE_ContainerSSH) ¹

الوصف: كشف تحليل العمليات التي تعمل داخل حاوية عن خادم SSH يعمل داخل الحاوية.

تكتيكات MITRE: التنفيذ

الخطورة: معلوماتية

تعديل الطابع الزمني للملفات المشبوهة

(K8S. NODE_TimestampTampering) ¹

الوصف: كشف تحليل العمليات التي تعمل داخل حاوية أو مباشرة على عقدة Kubernetes عن تعديل طابع زمني مشبوه. غالبًا ما يقوم المهاجمون بنسخ الطوابع الزمنية من الملفات الشرعية الموجودة إلى أدوات جديدة لتجنب الكشف عن هذه الملفات التي تم إسقاطها حديثًا.

تكتيكات MITRE: الاستمرارية، والتهرب الدفاعي

الخطورة: منخفض

طلب مريب إلى واجهة برمجة تطبيقات Kubernetes

(K8S. NODE_KubernetesAPI) ¹

الوصف: يشير تحليل العمليات التي تعمل داخل حاوية إلى أنه تم إجراء طلب مريب إلى واجهة برمجة تطبيقات Kubernetes. تم إرسال الطلب من حاوية في نظام المجموعة. على الرغم من أن هذا السلوك يمكن أن يكون مقصودًا، فقد يشير إلى أن حاوية تم اختراقها قيد التشغيل في نظام المجموعة.

MITRE tactics: LateralMovement

الخطورة: متوسط

طلب مشبوه إلى لوحة معلومات Kubernetes

(K8S.NODE_KubernetesDashboard) ¹

الوصف: يشير تحليل العمليات التي تعمل داخل حاوية إلى أنه تم تقديم طلب مشبوه إلى لوحة معلومات Kubernetes. تم إرسال الطلب من حاوية في نظام المجموعة. على الرغم من أن هذا السلوك يمكن أن يكون مقصودًا، فقد يشير إلى أن حاوية تم اختراقها قيد التشغيل في نظام المجموعة.

MITRE tactics: LateralMovement

الخطورة: متوسط

بدأ منجم عملة التشفير المحتملة

(K8S.NODE_CryptoCoinMinerExecution) ¹

الوصف: كشف تحليل العمليات التي تعمل داخل حاوية أو مباشرة على عقدة Kubernetes عن عملية يتم تشغيلها بطريقة ترتبط عادة بالتنقيب عن العملات الرقمية.

تكتيكات MITRE: التنفيذ

الخطورة: متوسط

الوصول إلى كلمة المرور المشبوهة

(K8S.NODE_SuspectPasswordFileAccess) ¹

الوصف: كشف تحليل العمليات التي تعمل داخل حاوية أو مباشرة على عقدة Kubernetes، عن محاولة مشبوهة للوصول إلى كلمات مرور المستخدم المشفرة.

تكتيكات MITRE: الثبات

الخطورة: معلوماتية

تم الكشف عن قذيفة ويب الخبيثة المحتملة.

(K8S. NODE_Webshell) ¹

الوصف: كشف تحليل العمليات التي تعمل داخل حاوية عن غلاف ويب محتمل. غالبًا ما يقوم المهاجمون بتحميل واجهة ويب إلى مورد حساب قاموا باختراقه للحصول على استمرار أو لمزيد من الاستغلال.

تكتيكات MITRE: الاستمرارية والاستغلال

الخطورة: متوسط

يمكن أن يشير انفجار أوامر الاستطلاع المتعددة إلى النشاط الأولي بعد التسوية

(K8S.NODE_ReconnaissanceArtifactsBurst) ¹

الوصف: كشف تحليل بيانات المضيف/الجهاز عن تنفيذ أوامر استطلاع متعددة تتعلق بجمع تفاصيل النظام أو المضيف التي يقوم بها المهاجمون بعد الاختراق الأولي.

تكتيكات MITRE: الاكتشاف، المجموعة

الخطورة: منخفض

تنزيل مشبوه ثم تشغيل النشاط

(K8S.NODE_DownloadAndRunCombo) ¹

الوصف: كشف تحليل العمليات التي تعمل داخل حاوية أو مباشرة على عقدة Kubernetes عن ملف يتم تنزيله ثم تشغيله في نفس الأمر. على الرغم من أن هذا ليس ضارًا دائمًا، فإن هذه تقنية شائعة جدًا يستخدمها المهاجمون للحصول على ملفات ضارة على أجهزة الضحايا.

تكتيكات MITRE: التنفيذ، CommandAndControl، الاستغلال

الخطورة: متوسط

تم الكشف عن الوصول إلى ملف kubelet kubeconfig

(K8S.NODE_KubeConfigAccess) ¹

الوصف: كشف تحليل العمليات التي تعمل على عقدة نظام مجموعة Kubernetes عن الوصول إلى ملف kubeconfig على المضيف. يحتوي ملف kubeconfig، الذي تستخدمه عملية Kubelet عادة، على بيانات اعتماد إلى خادم واجهة برمجة تطبيقات نظام مجموعة Kubernetes. غالبًا ما يقترن الوصول إلى هذا الملف بالمهاجمين الذين يحاولون الوصول إلى بيانات الاعتماد هذه، أو بأدوات فحص الأمان التي تتحقق مما إذا كان الملف يمكن الوصول إليه.

تكتيكات MITRE: CredentialAccess

الخطورة: متوسط

تم الكشف عن الوصول إلى خدمة بيانات التعريف السحابية

(K8S. NODE_ImdsCall) ¹

الوصف: تم الكشف عن تحليل العمليات التي تعمل داخل حاوية الوصول إلى خدمة بيانات التعريف السحابية للحصول على رمز الهوية المميز. لا تقوم الحاوية عادة بتنفيذ مثل هذه العملية. في حين أن هذا السلوك قد يكون مشروعا، قد يستخدم المهاجمون هذه التقنية للوصول إلى موارد السحابة بعد الوصول الأولي إلى حاوية قيد التشغيل.

تكتيكات MITRE: CredentialAccess

الخطورة: متوسط

تم الكشف عن عامل MITRE Caldera

(K8S. NODE_MitreCalderaTools) ¹

الوصف: كشف تحليل العمليات التي تعمل داخل حاوية أو مباشرة على عقدة Kubernetes عن عملية مشبوهة. غالبا ما يرتبط هذا بعامل MITRE 54ndc47، والذي يمكن استخدامه بشكل ضار لمهاجمة الأجهزة الأخرى.

تكتيكات MITRE: المثابرة، والامتيازات، ودفاع الحماية، وبيانات الاعتمادAccess، واكتشاف، و LateralMovement، والتنفيذ، والمجموعة، والاختراق، والتحكم، والاكتشاف، والاستغلال

الخطورة: متوسط

¹: معاينة لمجموعات غير AKS: يتوفر هذا التنبيه بشكل عام لمجموعات AKS، ولكنه قيد المعاينة لبيئات أخرى، مثل Azure Arc وEKS وGKE.

²: القيود المفروضة على مجموعات GKE: يستخدم GKE نهج تدقيق Kubernetes الذي لا يدعم جميع أنواع التنبيهات. ونتيجة لذلك، فإن تنبيه الأمان هذا، الذي يستند إلى أحداث تدقيق Kubernetes، غير مدعوم لمجموعات GKE.

³: هذا التنبيه مدعوم على عقد/حاويات Windows.

التنبيهات لـSQL Database وAzure Synapse Analytics

مزيد من التفاصيل والملاحظات

ثغرة أمنية محتملة لحقن SQL

(SQL. DB_VulnerabilityToSqlInjection SQL. VM_VulnerabilityToSqlInjection SQL.MI_VulnerabilityToSqlInjection SQL. DW_VulnerabilityToSqlInjection Synapse.SQLPool_VulnerabilityToSqlInjection)

الوصف: أنشأ تطبيق عبارة SQL خاطئة في قاعدة البيانات. وهذا يمكن أن يشير إلى احتمال التعرض لهجمات الحقن SQL. هناك سببان محتملان لخلل في البيان. قد يكون عيب في التعليمات البرمجية للتطبيق قد قام ببناء عبارة SQL الخاطئة. أو، لم يقم رمز التطبيق أو الإجراءات المخزنة بتعقيم إدخال المستخدم عند إنشاء عبارة SQL الخاطئة، والتي يمكن استغلالها لحقن SQL.

تكتيكات MITRE: PreAttack

الخطورة: متوسط

محاولة تسجيل الدخول بواسطة تطبيق قد يكون ضارًا

(SQL. DB_HarmfulApplication SQL. VM_HarmfulApplication SQL.MI_HarmfulApplication SQL. DW_HarmfulApplication Synapse.SQLPool_HarmfulApplication)

الوصف: حاول تطبيق قد يكون ضارا الوصول إلى المورد الخاص بك.

تكتيكات MITRE: PreAttack

الخطورة: عالية

تسجيل الدخول من مركز بيانات Azure غير عادي

(SQL. DB_DataCenterAnomaly SQL. VM_DataCenterAnomaly SQL. DW_DataCenterAnomaly SQL.MI_DataCenterAnomaly Synapse.SQLPool_DataCenterAnomaly)

الوصف: حدث تغيير في نمط الوصول إلى SQL Server، حيث قام شخص ما بتسجيل الدخول إلى الخادم من مركز بيانات Azure غير عادي. في بعض الحالات، التنبيه بالكشف عن إجراء شرعي (تطبيق جديد أو خدمة Azure). في حالات أخرى، يكتشف التنبيه إجراء ضارًا (المهاجم الذي يعمل من مورد تم اختراقه في Azure).

تكتيكات MITRE: فحص

الخطورة: منخفض

تسجيل الدخول من موقع غير عادي

(SQL. DB_GeoAnomaly SQL. VM_GeoAnomaly SQL. DW_GeoAnomaly SQL.MI_GeoAnomaly Synapse.SQLPool_GeoAnomaly)

الوصف: حدث تغيير في نمط الوصول إلى SQL Server، حيث قام شخص ما بتسجيل الدخول إلى الخادم من موقع جغرافي غير عادي. في بعض الحالات، التنبيه بالكشف عن إجراء شرعي (تطبيق جديد أو صيانة المطور). في حالات أخرى، يكتشف التنبيه إجراء ضار (موظف سابق أو مهاجم خارجي).

تكتيكات MITRE: الاستغلال

الخطورة: متوسط

تسجيل الدخول من مستخدم أساسي لم يتم رؤيته في 60 يومًا

(SQL. DB_PrincipalAnomaly SQL. VM_PrincipalAnomaly SQL. DW_PrincipalAnomaly SQL.MI_PrincipalAnomaly Synapse.SQLPool_PrincipalAnomaly)

الوصف: قام مستخدم أساسي لم يتم رؤيته في آخر 60 يوما بتسجيل الدخول إلى قاعدة البيانات الخاصة بك. إذا كانت قاعدة البيانات هذه جديدة أو كان هذا السلوك المتوقع بسبب التغييرات الأخيرة في المستخدمين الذين يصلون إلى قاعدة البيانات، فسيحدد Defender for Cloud التغييرات الهامة في أنماط الوصول ويحاول منع الإيجابيات الخاطئة المستقبلية.

تكتيكات MITRE: الاستغلال

الخطورة: متوسط

تسجيل الدخول من مجال لم يظهر في 60 يوما

(SQL. DB_DomainAnomaly SQL. VM_DomainAnomaly SQL. DW_DomainAnomaly SQL.MI_DomainAnomaly Synapse.SQLPool_DomainAnomaly)

الوصف: قام مستخدم بتسجيل الدخول إلى المورد الخاص بك من مجال لم يتصل به أي مستخدم آخر في آخر 60 يوما. إذا كان هذا المورد جديدًا أو كان هذا السلوك المتوقع بسبب التغييرات الأخيرة في المستخدمين الذين يصلون إلى المورد، فسيحدد Defender for Cloud التغييرات الهامة في أنماط الوصول ويحاول منع الإيجابيات الخاطئة المستقبلية.

تكتيكات MITRE: الاستغلال

الخطورة: متوسط

تسجيل الدخول من عنوان IP مريب

(SQL. DB_SuspiciousIpAnomaly SQL. VM_SuspiciousIpAnomaly SQL. DW_SuspiciousIpAnomaly SQL.MI_SuspiciousIpAnomaly Synapse.SQLPool_SuspiciousIpAnomaly)

الوصف: تم الوصول إلى المورد الخاص بك بنجاح من عنوان IP الذي ربطه Microsoft Threat Intelligence بنشاط مشبوه.

تكتيكات MITRE: PreAttack

الخطورة: متوسط

حقن SQL المحتمل

(SQL. DB_PotentialSqlInjection SQL. VM_PotentialSqlInjection SQL.MI_PotentialSqlInjection SQL. DW_PotentialSqlInjection Synapse.SQLPool_PotentialSqlInjection)

الوصف: حدث استغلال نشط ضد تطبيق محدد عرضة لحقن SQL. وهذا يعني أن المهاجم يحاول إدخال عبارات SQL ضارة باستخدام التعليمات البرمجية للتطبيق الضعيفة أو الإجراءات المخزنة.

تكتيكات MITRE: PreAttack

الخطورة: عالية

هجوم القوة الغاشمة المشتبه به باستخدام مستخدم صالح

(SQL. DB_BruteForce SQL. VM_BruteForce SQL. DW_BruteForce SQL.MI_BruteForce Synapse.SQLPool_BruteForce)

الوصف: تم الكشف عن هجوم محتمل للقوة الغاشمة على موردك. يستخدم المهاجم المستخدم الصالح (اسم المستخدم)، الذي لديه أذونات لتسجيل الدخول.

تكتيكات MITRE: PreAttack

الخطورة: عالية

يشتبه في هجوم بالقوة الغاشمة

(SQL. DB_BruteForce SQL. VM_BruteForce SQL. DW_BruteForce SQL.MI_BruteForce Synapse.SQLPool_BruteForce)

الوصف: تم الكشف عن هجوم محتمل للقوة الغاشمة على موردك.

تكتيكات MITRE: PreAttack

الخطورة: عالية

يشتبه في نجاح هجوم القوة الغاشمة

(SQL. DB_BruteForce SQL. VM_BruteForce SQL. DW_BruteForce SQL.MI_BruteForce Synapse.SQLPool_BruteForce)

الوصف: حدث تسجيل دخول ناجح بعد هجوم واضح بقوة غاشمة على المورد الخاص بك.

تكتيكات MITRE: PreAttack

الخطورة: عالية

من المحتمل أن يكون SQL Server قد أفرز غلاف أوامر Windows ووصول إلى مصدر خارجي غير طبيعي

(SQL. DB_ShellExternalSourceAnomaly SQL. VM_ShellExternalSourceAnomaly SQL. DW_ShellExternalSourceAnomaly SQL.MI_ShellExternalSourceAnomaly Synapse.SQLPool_ShellExternalSourceAnomaly)

الوصف: من المحتمل أن تكون عبارة SQL مريبة قد ولدت غلاف أوامر Windows بمصدر خارجي لم يتم رؤيته من قبل. يعد تنفيذ shell الذي يصل إلى مصدر خارجي طريقة يستخدمها المهاجمون لتنزيل الحمولة الضارة ثم تنفيذها على الجهاز واختراقها. وهذا يمكن المهاجم من تنفيذ مهام ضارة تحت الاتجاه البعيد. بدلا من ذلك، يمكن استخدام الوصول إلى مصدر خارجي لتصفية البيانات إلى وجهة خارجية.

تكتيكات MITRE: التنفيذ

الخطورة: عالية

تم بدء حمولة غير عادية مع أجزاء مشوشة بواسطة SQL Server

(SQL. VM_PotentialSqlInjection)

الوصف: بدأ شخص ما حمولة جديدة باستخدام الطبقة في SQL Server التي تتصل بنظام التشغيل أثناء إخفاء الأمر في استعلام SQL. عادة ما يخفي المهاجمون الأوامر المؤثرة التي تتم مراقبتها بشكل شائع مثل xp_cmdshell sp_add_job وغيرها. تسيء تقنيات التعتيم إلى الأوامر المشروعة مثل سلسلة السلسلة، والصب، وتغيير القاعدة، وغيرها، لتجنب اكتشاف regex والإضرار بقابلية قراءة السجلات.

تكتيكات MITRE: التنفيذ

الخطورة: عالية

تنبيهات لقواعد البيانات الارتباطية مفتوحة المصدر

مزيد من التفاصيل والملاحظات

هجوم القوة الغاشمة المشتبه به باستخدام مستخدم صالح

(SQL. PostgreSQL_BruteForce SQL. MariaDB_BruteForce SQL. MySQL_BruteForce)

الوصف: تم الكشف عن هجوم محتمل للقوة الغاشمة على موردك. يستخدم المهاجم المستخدم الصالح (اسم المستخدم)، الذي لديه أذونات لتسجيل الدخول.

تكتيكات MITRE: PreAttack

الخطورة: عالية

يشتبه في نجاح هجوم القوة الغاشمة

(SQL. PostgreSQL_BruteForce SQL. MySQL_BruteForce SQL. MariaDB_BruteForce)

الوصف: حدث تسجيل دخول ناجح بعد هجوم واضح بقوة غاشمة على المورد الخاص بك.

تكتيكات MITRE: PreAttack

الخطورة: عالية

يشتبه في هجوم بالقوة الغاشمة

(SQL. PostgreSQL_BruteForce SQL. MySQL_BruteForce SQL. MariaDB_BruteForce)

الوصف: تم الكشف عن هجوم محتمل للقوة الغاشمة على موردك.

تكتيكات MITRE: PreAttack

الخطورة: عالية

محاولة تسجيل الدخول بواسطة تطبيق قد يكون ضارًا

(SQL. PostgreSQL_HarmfulApplication SQL. MariaDB_HarmfulApplication SQL. MySQL_HarmfulApplication)

الوصف: حاول تطبيق قد يكون ضارا الوصول إلى المورد الخاص بك.

تكتيكات MITRE: PreAttack

الخطورة: عالية

تسجيل الدخول من مستخدم أساسي لم يتم رؤيته في 60 يومًا

(SQL. PostgreSQL_PrincipalAnomaly SQL. MariaDB_PrincipalAnomaly SQL. MySQL_PrincipalAnomaly)

الوصف: قام مستخدم أساسي لم يتم رؤيته في آخر 60 يوما بتسجيل الدخول إلى قاعدة البيانات الخاصة بك. إذا كانت قاعدة البيانات هذه جديدة أو كان هذا السلوك المتوقع بسبب التغييرات الأخيرة في المستخدمين الذين يصلون إلى قاعدة البيانات، فسيحدد Defender for Cloud التغييرات الهامة في أنماط الوصول ويحاول منع الإيجابيات الخاطئة المستقبلية.

تكتيكات MITRE: الاستغلال

الخطورة: متوسط

تسجيل الدخول من مجال لم يظهر في 60 يوما

(SQL. MariaDB_DomainAnomaly SQL. PostgreSQL_DomainAnomaly SQL. MySQL_DomainAnomaly)

الوصف: قام مستخدم بتسجيل الدخول إلى المورد الخاص بك من مجال لم يتصل به أي مستخدم آخر في آخر 60 يوما. إذا كان هذا المورد جديدًا أو كان هذا السلوك المتوقع بسبب التغييرات الأخيرة في المستخدمين الذين يصلون إلى المورد، فسيحدد Defender for Cloud التغييرات الهامة في أنماط الوصول ويحاول منع الإيجابيات الخاطئة المستقبلية.

تكتيكات MITRE: الاستغلال

الخطورة: متوسط

تسجيل الدخول من مركز بيانات Azure غير عادي

(SQL. PostgreSQL_DataCenterAnomaly SQL. MariaDB_DataCenterAnomaly SQL. MySQL_DataCenterAnomaly)

الوصف: قام شخص ما بتسجيل الدخول إلى المورد الخاص بك من مركز بيانات Azure غير عادي.

تكتيكات MITRE: فحص

الخطورة: منخفض

تسجيل الدخول من موفر سحابة غير عادي

(SQL. PostgreSQL_CloudProviderAnomaly SQL. MariaDB_CloudProviderAnomaly SQL. MySQL_CloudProviderAnomaly)

الوصف: قام شخص ما بتسجيل الدخول إلى المورد الخاص بك من موفر سحابة لم يتم رؤيته في آخر 60 يوما. من السهل والسريع على الجهات الفاعلة في التهديد الحصول على قوة حسابية يمكن التخلص منها لاستخدامها في حملاتها. إذا كان هذا السلوك المتوقع بسبب اعتماد موفر سحابة جديد مؤخرًا، فسيتعلم Defender for Cloud بمرور الوقت ويحاول منع الإيجابيات الكاذبة في المستقبل.

تكتيكات MITRE: الاستغلال

الخطورة: متوسط

تسجيل الدخول من موقع غير عادي

(SQL. MariaDB_GeoAnomaly SQL. PostgreSQL_GeoAnomaly SQL. MySQL_GeoAnomaly)

الوصف: قام شخص ما بتسجيل الدخول إلى المورد الخاص بك من مركز بيانات Azure غير عادي.

تكتيكات MITRE: الاستغلال

الخطورة: متوسط

تسجيل الدخول من عنوان IP مريب

(SQL. PostgreSQL_SuspiciousIpAnomaly SQL. MariaDB_SuspiciousIpAnomaly SQL. MySQL_SuspiciousIpAnomaly)

الوصف: تم الوصول إلى المورد الخاص بك بنجاح من عنوان IP الذي ربطه Microsoft Threat Intelligence بنشاط مشبوه.

تكتيكات MITRE: PreAttack

الخطورة: متوسط

تنبيهات Resource Manager

إشعار

يتم تشغيل التنبيهات ذات إشارة وصول مفوضة بسبب نشاط موفري الخدمات التابعين لجهات خارجية. تعرف على المزيد حول مؤشرات نشاط موفري الخدمة.

مزيد من التفاصيل والملاحظات

عملية Azure Resource Manager من عنوان IP مشبوه

(ARM_OperationFromSuspiciousIP)

الوصف: اكتشف Microsoft Defender for Resource Manager عملية من عنوان IP تم وضع علامة عليه على أنه مريب في موجزات التحليل الذكي للمخاطر.

تكتيكات MITRE: التنفيذ

الخطورة: متوسط

عملية Azure Resource Manager من عنوان IP مشبوه للوكيل

(ARM_OperationFromSuspiciousProxyIP)

الوصف: اكتشف Microsoft Defender for Resource Manager عملية إدارة الموارد من عنوان IP المقترن بخدمات الوكيل، مثل TOR. في حين أن هذا السلوك يمكن أن يكون شرعياً، غالباً ما يُنظَر إليه من ضمن الأنشطة الضارة، عندما يحاول ممثلو التهديد إخفاء عنوان IP المصدر.

تكتيكات MITRE: التهرب الدفاعي

الخطورة: متوسط

مجموعة أدوات استغلال MicroBurst المستخدمة لتعداد الموارد في اشتراكاتك

(ARM_MicroBurst.AzDomainInfo)

الوصف: تم تشغيل برنامج نصي PowerShell في اشتراكك ونفذ نمطا مشبوها لتنفيذ عمليات جمع المعلومات لاكتشاف الموارد والأذونات وهياكل الشبكة. تستخدم جهات التهديد البرامج النصية التلقائية، مثل MicroBurst، لجمع المعلومات للأنشطة الضارة. تم الكشف عن ذلك عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد تشير هذه العملية إلى أنه تم اختراق هوية في مؤسستك، وأن ممثل التهديد يحاول اختراق بيئتك للنيات الضارة.

تكتيكات MITRE: -

الخطورة: منخفض

مجموعة أدوات استغلال MicroBurst المستخدمة لتعداد الموارد في اشتراكاتك

(ARM_MicroBurst.AzureDomainInfo)

الوصف: تم تشغيل برنامج نصي PowerShell في اشتراكك ونفذ نمطا مشبوها لتنفيذ عمليات جمع المعلومات لاكتشاف الموارد والأذونات وهياكل الشبكة. تستخدم جهات التهديد البرامج النصية التلقائية، مثل MicroBurst، لجمع المعلومات للأنشطة الضارة. تم الكشف عن ذلك عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد تشير هذه العملية إلى أنه تم اختراق هوية في مؤسستك، وأن ممثل التهديد يحاول اختراق بيئتك للنيات الضارة.

تكتيكات MITRE: -

الخطورة: منخفض

مجموعة أدوات استغلال MicroBurst المستخدمة لتنفيذ التعليمات البرمجية على جهازك الظاهري

(ARM_MicroBurst.AzVMBulkCMD)

الوصف: تم تشغيل برنامج نصي PowerShell في اشتراكك ونفذ نمطا مشبوها لتنفيذ التعليمات البرمجية على جهاز ظاهري أو قائمة من الأجهزة الظاهرية. تستخدم جهات التهديد البرامج النصية التلقائية، مثل MicroBurst، لتشغيل برنامج نصي على جهاز ظاهري للأنشطة الضارة. تم الكشف عن ذلك عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد تشير هذه العملية إلى أنه تم اختراق هوية في مؤسستك، وأن ممثل التهديد يحاول اختراق بيئتك للنيات الضارة.

تكتيكات MITRE: التنفيذ

الخطورة: عالية

مجموعة أدوات استغلال MicroBurst المستخدمة لتنفيذ التعليمات البرمجية على جهازك الظاهري

(RM_MicroBurst.AzureRmVMBulkCMD)

الوصف: تم استخدام مجموعة أدوات استغلال MicroBurst لتنفيذ التعليمات البرمجية على أجهزتك الظاهرية. تم الكشف عن ذلك عن طريق تحليل عمليات Azure Resource Manager في اشتراكك.

تكتيكات MITRE: -

الخطورة: عالية

مجموعة أدوات استغلال MicroBurst المستخدمة لاستخراج المفاتيح من خزائن مفاتيح Azure

(ARM_MicroBurst.AzKeyVaultKeysREST)

الوصف: تم تشغيل برنامج نصي PowerShell في اشتراكك ونفذ نمطا مريبا لاستخراج المفاتيح من Azure Key Vault(s). تستخدم جهات التهديد البرامج النصية التلقائية، مثل MicroBurst، لسرد المفاتيح واستخدامها للوصول إلى البيانات الحساسة أو إجراء حركة أفقية. تم الكشف عن ذلك عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد تشير هذه العملية إلى أنه تم اختراق هوية في مؤسستك، وأن ممثل التهديد يحاول اختراق بيئتك للنيات الضارة.

تكتيكات MITRE: -

الخطورة: عالية

مجموعة أدوات استغلال MicroBurst المستخدمة لاستخراج المفاتيح لحسابات التخزين الخاصة بك

(ARM_MicroBurst.AZStorageKeysREST)

الوصف: تم تشغيل برنامج نصي PowerShell في اشتراكك ونفذ نمطا مشبوها لاستخراج المفاتيح إلى حساب (حسابات) التخزين. يستخدم مستخدمو التهديد البرامج النصية التلقائية، مثل MicroBurst، لسرد المفاتيح واستخدامها للوصول إلى البيانات الحساسة في حساب (حسابات) التخزين الخاص بك. تم الكشف عن ذلك عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد تشير هذه العملية إلى أنه تم اختراق هوية في مؤسستك، وأن ممثل التهديد يحاول اختراق بيئتك للنيات الضارة.

تكتيكات MITRE: المجموعة

الخطورة: عالية

مجموعة أدوات استغلال MicroBurst المستخدمة لاستخراج الأسرار من خزائن مفاتيح Azure

(ARM_MicroBurst.AzKeyVaultSecretsREST)

الوصف: تم تشغيل برنامج نصي PowerShell في اشتراكك ونفذ نمطا مريبا لاستخراج الأسرار من Azure Key Vault(s). تستخدم جهات التهديد البرامج النصية التلقائية، مثل MicroBurst، لسرد الأسرار واستخدامها للوصول إلى البيانات الحساسة أو إجراء حركة أفقية. تم الكشف عن ذلك عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد تشير هذه العملية إلى أنه تم اختراق هوية في مؤسستك، وأن ممثل التهديد يحاول اختراق بيئتك للنيات الضارة.

تكتيكات MITRE: -

الخطورة: عالية

مجموعة أدوات استغلال PowerZure المستخدمة لرفع مستوى الوصول من Azure AD إلى Azure

(ARM_PowerZure.AzureElevatedPrivileges)

الوصف: تم استخدام مجموعة أدوات استغلال PowerZure لرفع مستوى الوصول من AzureAD إلى Azure. تم الكشف عن ذلك عن طريق تحليل عمليات Azure Resource Manager في المستأجر الخاص بك.

تكتيكات MITRE: -

الخطورة: عالية

مجموعة أدوات استغلال PowerZure المستخدمة لتعداد الموارد

(ARM_PowerZure.GetAzureTargets)

الوصف: تم استخدام مجموعة أدوات استغلال PowerZure لتعداد الموارد نيابة عن حساب مستخدم شرعي في مؤسستك. تم الكشف عن ذلك عن طريق تحليل عمليات Azure Resource Manager في اشتراكك.

تكتيكات MITRE: المجموعة

الخطورة: عالية

مجموعة أدوات استغلال PowerZure المستخدمة لتعداد حاويات التخزين والمشاركات والجداول

(ARM_PowerZure.ShowStorageContent)

الوصف: تم استخدام مجموعة أدوات استغلال PowerZure لتعداد مشاركات التخزين والجداول والحاويات. تم الكشف عن ذلك عن طريق تحليل عمليات Azure Resource Manager في اشتراكك.

تكتيكات MITRE: -

الخطورة: عالية

مجموعة أدوات استغلال PowerZure المستخدمة لتنفيذ دفتر تشغيل في اشتراكك

(ARM_PowerZure.StartRunbook)

الوصف: تم استخدام مجموعة أدوات استغلال PowerZure لتنفيذ دفتر تشغيل. تم الكشف عن ذلك عن طريق تحليل عمليات Azure Resource Manager في اشتراكك.

تكتيكات MITRE: -

الخطورة: عالية

مجموعة أدوات استغلال PowerZure المستخدمة لاستخراج محتوى Runbooks

(ARM_PowerZure.AzureRunbookContent)

الوصف: تم استخدام مجموعة أدوات استغلال PowerZure لاستخراج محتوى دفتر التشغيل. تم الكشف عن ذلك عن طريق تحليل عمليات Azure Resource Manager في اشتراكك.

تكتيكات MITRE: المجموعة

الخطورة: عالية

معاينة - تم الكشف عن تشغيل مجموعة أدوات Azurite

(ARM_Azurite)

الوصف: تم الكشف عن تشغيل مجموعة أدوات استكشاف بيئة سحابية معروفة في بيئتك. يمكن استخدام الأداة Azurite من قبل المهاجم (أو اختبار الاختراق) لتعيين موارد اشتراكاتك وتحديد التكوينات غير الآمنة.

تكتيكات MITRE: المجموعة

الخطورة: عالية

معاينة - اكتشاف إنشاء مريب لموارد الحوسبة

(ARM_SuspiciousComputeCreation)

الوصف: حدد Microsoft Defender for Resource Manager إنشاءا مشبوها لموارد الحوسبة في اشتراكك باستخدام الأجهزة الظاهرية/مجموعة مقياس Azure. تم تصميم العمليات المحددة للسماح للمسؤولين بإدارة بيئاتهم بكفاءة عن طريق نشر موارد جديدة عند الحاجة. على الرغم من أن هذا النشاط قد يكون مشروعا، فقد يستخدم أحد الجهات الفاعلة في التهديد مثل هذه العمليات لإجراء تعدين التشفير. يعتبر النشاط مريبا لأن مقياس موارد الحوسبة أعلى من الملاحظ سابقا في الاشتراك. يمكن أن يشير هذا إلى أن الأساسي يتعرض للخطر ويتم استخدامه بهدف ضار.

تكتيكات MITRE: التأثير

الخطورة: متوسط

معاينة - تم الكشف عن استرداد مخزن المفاتيح المشبوه

(Arm_Suspicious_Vault_Recovering)

الوصف: اكتشف Microsoft Defender for Resource Manager عملية استرداد مشبوهة لمورد مخزن مفاتيح محذوف مبدئيا. يختلف المستخدم الذي يسترد المورد عن المستخدم الذي قام بحذفه. هذا مريب للغاية لأن المستخدم نادرا ما يستدعي مثل هذه العملية. بالإضافة إلى ذلك، قام المستخدم بتسجيل الدخول دون مصادقة متعددة العوامل (MFA). قد يشير هذا إلى أن المستخدم يتعرض للاختراق ويحاول اكتشاف الأسرار والمفاتيح للوصول إلى الموارد الحساسة، أو لتنفيذ حركة أفقية عبر شبكتك.

تكتيكات MITRE: الحركة الجانبية

الخطورة: متوسط/مرتفع

معاينة - جلسة إدارة مشبوهة باستخدام حساب غير نشط تم اكتشافه

(ARM_UnusedAccountPersistence)

الوصف: اكتشف تحليل سجلات نشاط الاشتراك سلوكا مشبوها. يقوم الآن المبدأ غير المستخدم لفترة طويلة من الوقت بتنفيذ إجراءات يمكن أن تضمن استمرار المهاجم.

تكتيكات MITRE: الثبات

الخطورة: متوسط

معاينة - استدعاء مشبوه لعملية "الوصول إلى بيانات الاعتماد" عالية المخاطر بواسطة كيان خدمة تم اكتشافه

(ARM_AnomalousServiceOperation.CredentialAccess)

الوصف: حدد Microsoft Defender for Resource Manager استدعاء مشبوه لعملية عالية المخاطر في اشتراكك، مما قد يشير إلى محاولة الوصول إلى بيانات الاعتماد. صُمِّمت العمليات المحددة للسماح للمسؤولين بإدارة بيئاتهم بكفاءة. في حين أن هذا النشاط قد يكون شرعيا، قد يستخدم ممثل التهديد مثل هذه العمليات للوصول إلى بيانات الاعتماد المقيدة واختراق الموارد في بيئتك. يمكن أن يشير هذا إلى أن كيان الخدمة معرض للخطر ويتم استخدامه بهدف ضار.

تكتيكات MITRE: الوصول إلى بيانات الاعتماد

الخطورة: متوسط

معاينة - استدعاء مشبوه لعملية "جمع البيانات" عالية المخاطر بواسطة كيان خدمة تم اكتشافه

(ARM_AnomalousServiceOperation.Collection)

الوصف: حدد Microsoft Defender for Resource Manager استدعاء مشبوه لعملية عالية المخاطر في اشتراكك، مما قد يشير إلى محاولة جمع البيانات. صُمِّمت العمليات المحددة للسماح للمسؤولين بإدارة بيئاتهم بكفاءة. على الرغم من أن هذا النشاط قد يكون مشروعا، فقد يستخدم أحد الجهات الفاعلة في التهديد مثل هذه العمليات لجمع البيانات الحساسة حول الموارد في بيئتك. يمكن أن يشير هذا إلى أن كيان الخدمة معرض للخطر ويتم استخدامه بهدف ضار.

تكتيكات MITRE: المجموعة

الخطورة: متوسط

معاينة - استدعاء مشبوه لعملية "التهرب الدفاعي" عالية المخاطر من قبل كيان الخدمة الذي تم اكتشافه

(ARM_AnomalousServiceOperation.DefenseEvasion)

الوصف: حدد Microsoft Defender for Resource Manager استدعاءا مشبوها لعملية عالية المخاطر في اشتراكك، مما قد يشير إلى محاولة التهرب من الدفاعات. صُمِّمت العمليات المحددة للسماح للمسؤولين بإدارة الوضع الأمني لبيئاتهم بكفاءة. على الرغم من أن هذا النشاط قد يكون مشروعا، قد يستخدم ممثل التهديد مثل هذه العمليات لتجنب الكشف عنه أثناء المساس بالموارد في بيئتك. يمكن أن يشير هذا إلى أن كيان الخدمة معرض للخطر ويتم استخدامه بهدف ضار.

تكتيكات MITRE: التهرب الدفاعي

الخطورة: متوسط

معاينة - استدعاء مشبوه لعملية "تنفيذ" عالية المخاطر بواسطة كيان خدمة تم اكتشافه

(ARM_AnomalousServiceOperation.Execution)

الوصف: حدد Microsoft Defender for Resource Manager استدعاء مشبوها لعملية عالية المخاطر على جهاز في اشتراكك، مما قد يشير إلى محاولة تنفيذ التعليمات البرمجية. صُمِّمت العمليات المحددة للسماح للمسؤولين بإدارة بيئاتهم بكفاءة. في حين أن هذا النشاط قد يكون شرعيا، قد يستخدم ممثل التهديد مثل هذه العمليات للوصول إلى بيانات الاعتماد المقيدة واختراق الموارد في بيئتك. يمكن أن يشير هذا إلى أن كيان الخدمة معرض للخطر ويتم استخدامه بهدف ضار.

تكتيكات MITRE: تنفيذ الدفاع

الخطورة: متوسط

معاينة - استدعاء مشبوه لعملية "التأثير" عالية المخاطر بواسطة كيان خدمة تم اكتشافه

(ARM_AnomalousServiceOperation.Impact)

الوصف: حدد Microsoft Defender for Resource Manager استدعاءا مشبوها لعملية عالية المخاطر في اشتراكك، مما قد يشير إلى محاولة تغيير التكوين. صُمِّمت العمليات المحددة للسماح للمسؤولين بإدارة بيئاتهم بكفاءة. في حين أن هذا النشاط قد يكون شرعيا، قد يستخدم ممثل التهديد مثل هذه العمليات للوصول إلى بيانات الاعتماد المقيدة واختراق الموارد في بيئتك. يمكن أن يشير هذا إلى أن كيان الخدمة معرض للخطر ويتم استخدامه بهدف ضار.

تكتيكات MITRE: التأثير

الخطورة: متوسط

معاينة - استدعاء مشبوه لعملية "الوصول الأولي" عالية المخاطر بواسطة كيان خدمة تم اكتشافه

(ARM_AnomalousServiceOperation.InitialAccess)

الوصف: حدد Microsoft Defender for Resource Manager استدعاء مشبوه لعملية عالية المخاطر في اشتراكك، مما قد يشير إلى محاولة الوصول إلى الموارد المقيدة. صُمِّمت العمليات المحددة للسماح للمسؤولين بالوصول إلى بيئاتهم بكفاءة. على الرغم من أن هذا النشاط قد يكون شرعيا، قد يستخدم ممثل التهديد مثل هذه العمليات للوصول الأولي إلى الموارد المقيدة في بيئتك. يمكن أن يشير هذا إلى أن كيان الخدمة معرض للخطر ويتم استخدامه بهدف ضار.

تكتيكات MITRE: الوصول الأولي

الخطورة: متوسط

معاينة - استدعاء مشبوه لعملية "الوصول إلى الحركة الجانبية" عالية المخاطر بواسطة كيان خدمة تم اكتشافه

(ARM_AnomalousServiceOperation.LateralMovement)

الوصف: حدد Microsoft Defender for Resource Manager استدعاءا مشبوها لعملية عالية المخاطر في اشتراكك، مما قد يشير إلى محاولة إجراء حركة أفقية. صُمِّمت العمليات المحددة للسماح للمسؤولين بإدارة بيئاتهم بكفاءة. على الرغم من أن هذا النشاط قد يكون شرعيا، فقد يستخدم أحد الجهات الفاعلة في التهديد مثل هذه العمليات للمساس بمزيد من الموارد في بيئتك. يمكن أن يشير هذا إلى أن كيان الخدمة معرض للخطر ويتم استخدامه بهدف ضار.

تكتيكات MITRE: الحركة الجانبية

الخطورة: متوسط

معاينة - استدعاء مشبوه لعملية "استمرار" عالية المخاطر بواسطة كيان خدمة تم اكتشافه

(ARM_AnomalousServiceOperation.Persistence)

الوصف: حدد Microsoft Defender for Resource Manager استدعاءا مشبوها لعملية عالية المخاطر في اشتراكك، مما قد يشير إلى محاولة تأسيس استمرار. صُمِّمت العمليات المحددة للسماح للمسؤولين بإدارة بيئاتهم بكفاءة. على الرغم من أن هذا النشاط قد يكون مشروعا، فقد يستخدم أحد الجهات الفاعلة في التهديد مثل هذه العمليات لتأسيس استمرار في بيئتك. يمكن أن يشير هذا إلى أن كيان الخدمة معرض للخطر ويتم استخدامه بهدف ضار.

تكتيكات MITRE: الثبات

الخطورة: متوسط

معاينة - استدعاء مشبوه لعملية "تصعيد الامتياز" عالية المخاطر بواسطة كيان خدمة تم اكتشافه

(ARM_AnomalousServiceOperation.PrivilegeEscalation)

الوصف: حدد Microsoft Defender for Resource Manager استدعاءا مشبوها لعملية عالية المخاطر في اشتراكك، مما قد يشير إلى محاولة تصعيد الامتيازات. صُمِّمت العمليات المحددة للسماح للمسؤولين بإدارة بيئاتهم بكفاءة. على الرغم من أن هذا النشاط قد يكون شرعيا، فقد يستخدم ممثل التهديد مثل هذه العمليات لتصعيد الامتيازات مع المساس بالموارد في بيئتك. يمكن أن يشير هذا إلى أن كيان الخدمة معرض للخطر ويتم استخدامه بهدف ضار.

تكتيكات MITRE: تصعيد الامتيازات

الخطورة: متوسط

معاينة - جلسة إدارة مشبوهة باستخدام حساب غير نشط تم اكتشافه

(ARM_UnusedAccountPersistence)

الوصف: اكتشف تحليل سجلات نشاط الاشتراك سلوكا مشبوها. يقوم الآن المبدأ غير المستخدم لفترة طويلة من الوقت بتنفيذ إجراءات يمكن أن تضمن استمرار المهاجم.

تكتيكات MITRE: الثبات

الخطورة: متوسط

معاينة - تم الكشف عن جلسة إدارة مشبوهة باستخدام PowerShell

(ARM_UnusedAppPowershellPersistence)

الوصف: اكتشف تحليل سجلات نشاط الاشتراك سلوكا مشبوها. يستخدم الآن الأساسي الذي لا يستخدم PowerShell بانتظام لإدارة بيئة الاشتراك PowerShell، وينفذ إجراءات يمكنها تأمين استمرار المهاجم.

تكتيكات MITRE: الثبات

الخطورة: متوسط

معاينة جلسة إدارة مشبوهة باستخدام مدخل Azure الذي تم اكتشافه

(ARM_UnusedAppIbizaPersistence)

الوصف: اكتشف تحليل سجلات نشاط الاشتراك سلوكا مريبا. يستخدم الآن الأساسي الذي لا يستخدم مدخل Azure (Ibiza) بانتظام لإدارة بيئة الاشتراك (لم يستخدم مدخل Azure للإدارة خلال آخر 45 يومًا، أو اشتراكًا يديره بنشاط)، وهو يستخدم الآن مدخل Azure وينفذ إجراءات يمكنها تأمين استمرار المهاجم.

تكتيكات MITRE: الثبات

الخطورة: متوسط

تم إنشاء دور مخصص متميز لاشتراكك بطريقة مريبة (معاينة)

(ARM_PrivilegedRoleDefinitionCreation)

الوصف: اكتشف Microsoft Defender for Resource Manager إنشاء مشبوه لتعريف دور مخصص متميز في اشتراكك. ربما ينفِّذ هذه العملية مستخدم شرعي في مؤسستك. بدلًا من ذلك، قد يشير إلى أنه تم اختراق حساب في مؤسستك، وأن ممثل التهديد يحاول إنشاء دور متميز لاستخدامه في المستقبل للتهرب من الكشف.

تكتيكات MITRE: تصعيد الامتياز، التهرب الدفاعي

الخطورة: معلوماتية

تم الكشف عن تعيين دور Azure المشبوه (معاينة)

(ARM_AnomalousRBACRoleAssignment)

الوصف: حدد Microsoft Defender for Resource Manager تعيين دور Azure مريب / تم تنفيذه باستخدام PIM (إدارة الهويات المتميزة) في المستأجر الخاص بك، مما قد يشير إلى أنه تم اختراق حساب في مؤسستك. تم تصميم العمليات المحددة للسماح للمسؤولين بمنح الأساسيات حق الوصول إلى موارد Azure. على الرغم من أن هذا النشاط قد يكون مشروعا، فقد يستخدم ممثل التهديد تعيين الدور لتصعيد أذوناته مما يسمح له بالتقدم بهجومه.

تكتيكات MITRE: الحركة الجانبية، التهرب الدفاعي

الخطورة: منخفضة (PIM) / عالية

تم اكتشاف استدعاء مشبوه لعملية "وصول إلى بيانات الاعتماد" عالية المخاطر (معاينة)

(ARM_AnomalousOperation.CredentialAccess)

الوصف: حدد Microsoft Defender for Resource Manager استدعاء مشبوه لعملية عالية المخاطر في اشتراكك، مما قد يشير إلى محاولة الوصول إلى بيانات الاعتماد. صُمِّمت العمليات المحددة للسماح للمسؤولين بالوصول إلى بيئاتهم بكفاءة. في حين أن هذا النشاط قد يكون شرعيا، قد يستخدم ممثل التهديد مثل هذه العمليات للوصول إلى بيانات الاعتماد المقيدة واختراق الموارد في بيئتك. يمكن أن يشير هذا الأمر إلى أن الحساب مخترق ويُستخدَم بهدف ضار.

تكتيكات MITRE: الوصول إلى بيانات الاعتماد

الخطورة: متوسط

تم اكتشاف استدعاء مشبوه لعملية "جمع بيانات" عالية المخاطر (معاينة)

(ARM_AnomalousOperation.Collection)

الوصف: حدد Microsoft Defender for Resource Manager استدعاء مشبوه لعملية عالية المخاطر في اشتراكك، مما قد يشير إلى محاولة جمع البيانات. صُمِّمت العمليات المحددة للسماح للمسؤولين بإدارة بيئاتهم بكفاءة. على الرغم من أن هذا النشاط قد يكون مشروعا، فقد يستخدم أحد الجهات الفاعلة في التهديد مثل هذه العمليات لجمع البيانات الحساسة حول الموارد في بيئتك. يمكن أن يشير هذا الأمر إلى أن الحساب مخترق ويُستخدَم بهدف ضار.

تكتيكات MITRE: المجموعة

الخطورة: متوسط

تم اكتشاف استدعاء مشبوه لعملية "تهرب دفاعي" عالية المخاطر (معاينة)

(ARM_AnomalousOperation.DefenseEvasion)

الوصف: حدد Microsoft Defender for Resource Manager استدعاءا مشبوها لعملية عالية المخاطر في اشتراكك، مما قد يشير إلى محاولة التهرب من الدفاعات. صُمِّمت العمليات المحددة للسماح للمسؤولين بإدارة الوضع الأمني لبيئاتهم بكفاءة. على الرغم من أن هذا النشاط قد يكون مشروعا، قد يستخدم ممثل التهديد مثل هذه العمليات لتجنب الكشف عنه أثناء المساس بالموارد في بيئتك. يمكن أن يشير هذا الأمر إلى أن الحساب مخترق ويُستخدَم بهدف ضار.

تكتيكات MITRE: التهرب الدفاعي

الخطورة: متوسط

تم اكتشاف استدعاء مشبوه لعملية "تنفيذ" عالية المخاطر (معاينة)

(ARM_AnomalousOperation.Execution)

الوصف: حدد Microsoft Defender for Resource Manager استدعاء مشبوها لعملية عالية المخاطر على جهاز في اشتراكك، مما قد يشير إلى محاولة تنفيذ التعليمات البرمجية. صُمِّمت العمليات المحددة للسماح للمسؤولين بإدارة بيئاتهم بكفاءة. في حين أن هذا النشاط قد يكون شرعيا، قد يستخدم ممثل التهديد مثل هذه العمليات للوصول إلى بيانات الاعتماد المقيدة واختراق الموارد في بيئتك. يمكن أن يشير هذا الأمر إلى أن الحساب مخترق ويُستخدَم بهدف ضار.

تكتيكات MITRE: التنفيذ

الخطورة: متوسط

تم اكتشاف استدعاء مشبوه لعملية "تأثير" عالية المخاطر (معاينة)

(ARM_AnomalousOperation.Impact)

الوصف: حدد Microsoft Defender for Resource Manager استدعاءا مشبوها لعملية عالية المخاطر في اشتراكك، مما قد يشير إلى محاولة تغيير التكوين. صُمِّمت العمليات المحددة للسماح للمسؤولين بإدارة بيئاتهم بكفاءة. في حين أن هذا النشاط قد يكون شرعيا، قد يستخدم ممثل التهديد مثل هذه العمليات للوصول إلى بيانات الاعتماد المقيدة واختراق الموارد في بيئتك. يمكن أن يشير هذا الأمر إلى أن الحساب مخترق ويُستخدَم بهدف ضار.

تكتيكات MITRE: التأثير

الخطورة: متوسط

تم اكتشاف استدعاء مشبوه لعملية "الوصول الأولي" عالية المخاطر (إصدار أولي)

(ARM_AnomalousOperation.InitialAccess)

الوصف: حدد Microsoft Defender for Resource Manager استدعاء مشبوه لعملية عالية المخاطر في اشتراكك، مما قد يشير إلى محاولة الوصول إلى الموارد المقيدة. صُمِّمت العمليات المحددة للسماح للمسؤولين بالوصول إلى بيئاتهم بكفاءة. على الرغم من أن هذا النشاط قد يكون شرعيا، قد يستخدم ممثل التهديد مثل هذه العمليات للوصول الأولي إلى الموارد المقيدة في بيئتك. يمكن أن يشير هذا الأمر إلى أن الحساب مخترق ويُستخدَم بهدف ضار.

تكتيكات MITRE: الوصول الأولي

الخطورة: متوسط

تم اكتشاف استدعاء مشبوه لعملية "حركة جانبية" عالية المخاطر (معاينة)

(ARM_AnomalousOperation.LateralMovement)

الوصف: حدد Microsoft Defender for Resource Manager استدعاءا مشبوها لعملية عالية المخاطر في اشتراكك، مما قد يشير إلى محاولة إجراء حركة أفقية. صُمِّمت العمليات المحددة للسماح للمسؤولين بإدارة بيئاتهم بكفاءة. على الرغم من أن هذا النشاط قد يكون شرعيا، فقد يستخدم أحد الجهات الفاعلة في التهديد مثل هذه العمليات للمساس بمزيد من الموارد في بيئتك. يمكن أن يشير هذا الأمر إلى أن الحساب مخترق ويُستخدَم بهدف ضار.

تكتيكات MITRE: الحركة الجانبية

الخطورة: متوسط

عملية الوصول المريبة إلى الارتفاع (معاينة)(ARM_AnomalousElevateAccess)

الوصف: حدد Microsoft Defender for Resource Manager عملية "Elevate Access" مشبوهة. ويعتبر النشاط مريبا، لأن هذا المبدأ نادرا ما يستدعي مثل هذه العمليات. في حين أن هذا النشاط قد يكون شرعيا، قد يستخدم ممثل التهديد عملية "رفع مستوى الوصول" لتنفيذ تصعيد الامتياز لمستخدم معرض للخطر.

تكتيكات MITRE: تصعيد الامتيازات

الخطورة: متوسط

تم اكتشاف استدعاء مشبوه لعملية "استمرارية" عالية المخاطر (معاينة)

(ARM_AnomalousOperation.Persistence)

الوصف: حدد Microsoft Defender for Resource Manager استدعاءا مشبوها لعملية عالية المخاطر في اشتراكك، مما قد يشير إلى محاولة تأسيس استمرار. صُمِّمت العمليات المحددة للسماح للمسؤولين بإدارة بيئاتهم بكفاءة. على الرغم من أن هذا النشاط قد يكون مشروعا، فقد يستخدم أحد الجهات الفاعلة في التهديد مثل هذه العمليات لتأسيس استمرار في بيئتك. يمكن أن يشير هذا الأمر إلى أن الحساب مخترق ويُستخدَم بهدف ضار.

تكتيكات MITRE: الثبات

الخطورة: متوسط

تم اكتشاف استدعاء مشبوه لعملية "زيادة الامتيازات" عالية المخاطر (معاينة)

(ARM_AnomalousOperation.PrivilegeEscalation)

الوصف: حدد Microsoft Defender for Resource Manager استدعاءا مشبوها لعملية عالية المخاطر في اشتراكك، مما قد يشير إلى محاولة تصعيد الامتيازات. صُمِّمت العمليات المحددة للسماح للمسؤولين بإدارة بيئاتهم بكفاءة. على الرغم من أن هذا النشاط قد يكون شرعيا، فقد يستخدم ممثل التهديد مثل هذه العمليات لتصعيد الامتيازات مع المساس بالموارد في بيئتك. يمكن أن يشير هذا الأمر إلى أن الحساب مخترق ويُستخدَم بهدف ضار.

تكتيكات MITRE: تصعيد الامتيازات

الخطورة: متوسط

استخدام مجموعة أدوات استغلال MicroBurst لتشغيل تعليمة برمجية عشوائية أو تسرب بيانات اعتماد حساب Azure Automation

(ARM_MicroBurst.RunCodeOnBehalf)

الوصف: تم تشغيل برنامج نصي PowerShell في اشتراكك ونفذ نمطا مريبا لتنفيذ تعليمة برمجية عشوائية أو تسرب بيانات اعتماد حساب Azure Automation. يستخدم مستخدمو التهديد البرامج النصية التلقائية، مثل MicroBurst، لتشغيل تعليمات برمجية عشوائية للأنشطة الضارة. تم الكشف عن ذلك عن طريق تحليل عمليات Azure Resource Manager في اشتراكك. قد تشير هذه العملية إلى أنه تم اختراق هوية في مؤسستك، وأن ممثل التهديد يحاول اختراق بيئتك للنيات الضارة.

تكتيكات MITRE: الثبات، الوصول إلى بيانات الاعتماد

الخطورة: عالية

استخدام تقنيات NetSPI للحفاظ على الاستمرار في بيئة Azure

(ARM_NetSPI.MaintainPersistence)

الوصف: استخدام تقنية استمرار NetSPI لإنشاء خلفية خطاف ويب والحفاظ على الاستمرار في بيئة Azure الخاصة بك. تم الكشف عن ذلك عن طريق تحليل عمليات Azure Resource Manager في اشتراكك.

تكتيكات MITRE: -

الخطورة: عالية

استخدام مجموعة أدوات استغلال PowerZure لتشغيل تعليمة برمجية عشوائية أو تسرب بيانات اعتماد حساب Azure Automation

(ARM_PowerZure.RunCodeOnBehalf)

الوصف: اكتشفت مجموعة أدوات استغلال PowerZure محاولة تشغيل التعليمات البرمجية أو تسرب بيانات اعتماد حساب Azure Automation. تم الكشف عن ذلك عن طريق تحليل عمليات Azure Resource Manager في اشتراكك.

تكتيكات MITRE: -

الخطورة: عالية

استخدام دالة PowerZure للحفاظ على الاستمرارية في بيئة Azure

(ARM_PowerZure.MaintainPersistence)

الوصف: اكتشفت مجموعة أدوات استغلال PowerZure إنشاء مدخل خلفي لخطاف الويب للحفاظ على الاستمرار في بيئة Azure الخاصة بك. تم الكشف عن ذلك عن طريق تحليل عمليات Azure Resource Manager في اشتراكك.

تكتيكات MITRE: -

الخطورة: عالية

تم الكشف عن تعيين الدور الكلاسيكي المشبوه (معاينة)

(ARM_AnomalousClassicRoleAssignment)

الوصف: حدد Microsoft Defender for Resource Manager تعيين دور كلاسيكي مريب في المستأجر الخاص بك، مما قد يشير إلى أنه تم اختراق حساب في مؤسستك. تم تصميم العمليات المحددة لتوفير التوافق مع الإصدارات السابقة مع الأدوار الكلاسيكية التي لم تعد شائعة الاستخدام. على الرغم من أن هذا النشاط قد يكون شرعيا، فقد يستخدم ممثل التهديد مثل هذا التعيين لمنح أذونات لحساب مستخدم آخر تحت سيطرته.

تكتيكات MITRE: الحركة الجانبية، التهرب الدفاعي

الخطورة: عالية

تنبيهات لـ Azure Storage

مزيد من التفاصيل والملاحظات

الوصول من تطبيق مشبوه

(Storage.Blob_SuspiciousApp)

الوصف: يشير إلى أن تطبيقا مشبوها قد نجح في الوصول إلى حاوية حساب تخزين مع المصادقة. قد يشير هذا إلى أن المهاجم قد حصل على بيانات الاعتماد اللازمة للوصول إلى الحساب، ويستغله. قد يكون هذا أيضاً مؤشراً على اختبار الاختراق الذي تم إجراؤه في مؤسستك. ينطبق على: Azure Blob Storage، Azure Data Lake Storage Gen2

تكتيكات MITRE: الوصول الأولي

الخطورة: عالية/متوسطة

الوصول من عنوان IP مريب

(Storage.Blob_SuspiciousIp Storage.Files_SuspiciousIp)

الوصف: يشير إلى أنه تم الوصول بنجاح إلى حساب التخزين هذا من عنوان IP الذي يعتبر مريبا. يتم تشغيل هذا التنبيه بواسطة Microsoft Threat Intelligence. تعرف على المزيد حول قدرات التحليل الذكي للمخاطر من Microsoft. ينطبق على: Azure Blob Storage وAzure Files وAzure Data Lake Storage Gen2

تكتيكات MITRE: ما قبل الهجوم

الخطورة: عالية/متوسطة/منخفضة

محتوى التصيد الاحتيالي المستضاف على حساب تخزين

(Storage.Blob_PhishingContent Storage.Files_PhishingContent)

الوصف: يشير عنوان URL المستخدم في هجوم التصيد الاحتيالي إلى حساب Azure Storage الخاص بك. كان عنوان URL هذا جزءًا من هجوم تصيد احتيالي يؤثر على مستخدمي Microsoft 365. عادة ما يتم تصميم المحتوى المستضاف على مثل هذه الصفحات لخداع الزوار لإدخال بيانات اعتماد الشركة أو المعلومات المالية الخاصة بهم في نموذج ويب يبدو شرعيًا. يتم تشغيل هذا التنبيه بواسطة Microsoft Threat Intelligence. تعرف على المزيد حول قدرات التحليل الذكي للمخاطر من Microsoft. ينطبق على: Azure Blob Storage وAzure Files

تكتيكات MITRE: المجموعة

الخطورة: عالية

حساب التخزين المحدد كمصدر لتوزيع البرامج الضارة

(Storage.Files_WidespreadeAm)

الوصف: تشير تنبيهات مكافحة البرامج الضارة إلى تخزين ملف (ملفات) مصابة في مشاركة ملف Azure التي يتم تحميلها على أجهزة ظاهرية متعددة. إذا تمكن المهاجمون من الوصول إلى جهاز ظاهري مع مشاركة ملف Azure مثبتة، يمكنهم استخدامه لنشر البرامج الضارة إلى الأجهزة الظاهرية الأخرى التي تحمل نفس المشاركة. ينطبق على: Azure Files

تكتيكات MITRE: التنفيذ

الخطورة: متوسط

تم تغيير مستوى الوصول إلى حاوية كائن ثنائي كبير الحجم للتخزين يحتمل أن تكون حساسة للسماح بالوصول العام غير المصادق عليه

(Storage.Blob_OpenACL)

الوصف: يشير التنبيه إلى أن شخصا ما قد قام بتغيير مستوى الوصول إلى حاوية كائن ثنائي كبير الحجم في حساب التخزين، والذي قد يحتوي على بيانات حساسة، إلى مستوى "الحاوية"، للسماح بالوصول العام غير المصادق عليه (المجهول). تم إجراء التغيير من خلال مدخل Microsoft Azure. استنادا إلى التحليل الإحصائي، يتم وضع علامة على حاوية الكائن الثنائي كبير الحجم على أنها ربما تحتوي على بيانات حساسة. يشير هذا التحليل إلى أن حاويات الكائنات الثنائية كبيرة الحجم أو حسابات التخزين ذات الأسماء المماثلة عادة لا تتعرض للوصول العام. ينطبق على: حسابات تخزين Azure Blob (الإصدار 2 للأغراض العامة القياسية، أو Azure Data Lake Storage Gen2، أو الكائنات الثنائية كبيرة الحجم للكتلة المميزة).

تكتيكات MITRE: المجموعة

الخطورة: متوسط

الوصول المعتمد من عقدة إنهاء Tor

(Storage.Blob_TorAnomaly Storage.Files_TorAnomaly)

الوصف: تم الوصول بنجاح إلى حاوية (حاويات) تخزين واحدة أو أكثر / مشاركة ملف في حساب التخزين الخاص بك من عنوان IP معروف بأنه عقدة خروج نشطة من Tor (وكيل مجهول المصدر). يستخدم ممثلو التهديد Tor لجعل تتبع النشاط مرة أخرى أمراً صعباً. الوصول المصادق عليه من عقدة الخروج من Tor هو إشارة على الأرجح إلى أن ممثل التهديد يحاول إخفاء هويته. ينطبق على: Azure Blob Storage وAzure Files وAzure Data Lake Storage Gen2

تكتيكات MITRE: الوصول الأولي / ما قبل الهجوم

الخطورة: عالية/متوسطة

الوصول من موقع غير عادي إلى حساب تخزين

(Storage.Blob_GeoAnomaly Storage.Files_GeoAnomaly)

الوصف: يشير إلى وجود تغيير في نمط الوصول إلى حساب Azure Storage. قام شخص ما بالوصول إلى هذا الحساب من عنوان IP يعتبر غير مألوف بالمقارنة مع النشاط الأخير. إما أن المهاجم قد تمكن من الوصول إلى الحساب، أو أن مستخدمًا شرعيًا قد اتصل من موقع جغرافي جديد أو غير معتاد. مثال على هذا الأخير هو الصيانة عن بعد من تطبيق أو مطور جديد. ينطبق على: Azure Blob Storage وAzure Files وAzure Data Lake Storage Gen2

تكتيكات MITRE: الوصول الأولي

الخطورة: عالية/متوسطة/منخفضة

وصول غير مصادق عليه غير عادي إلى حاوية تخزين

(Storage.Blob_AnonymousAccessAnomaly)

الوصف: تم الوصول إلى حساب التخزين هذا دون مصادقة، وهو تغيير في نمط الوصول الشائع. عادة ما تتم مصادقة الوصول للقراءة إلى هذه الحاوية. قد يشير هذا إلى أن ممثل التهديد كان قادراً على استغلال الوصول العام للقراءة إلى حاوية (حاويات) التخزين في حساب (حسابات) التخزين هذا. ينطبق على: Azure Blob Storage

تكتيكات MITRE: الوصول الأولي

الخطورة: عالية/منخفضة

البرامج الضارة المحتملة التي تم تحميلها إلى حساب تخزين

(Storage.Blob_MalwareHashReputation Storage.Files_MalwareHashReputation)

الوصف: يشير إلى أنه تم تحميل كائن ثنائي كبير الحجم يحتوي على برامج ضارة محتملة إلى حاوية كائن ثنائي كبير الحجم أو مشاركة ملف في حساب تخزين. يستند هذا التنبيه إلى تحليل سمعة التجزئة الذي يستفيد من قوة التحليل الذكي للمخاطر من Microsoft، والذي يتضمن تجزئات للفيروسات وأجنة طروادة وبرامج التجسس وبرامج الفدية الضارة. قد تتضمن الأسباب المحتملة تحميل برنامج ضار مقصود من قبل مهاجم، أو تحميل غير مقصود لكائن ثنائي كبير الحجم يحتمل أن يكون ضارا من قبل مستخدم شرعي. ينطبق على: Azure Blob Storage وAzure Files (فقط للمعاملات عبر REST API) تعرف على المزيد حول قدرات التحليل الذكي للمخاطر من Microsoft.

تكتيكات MITRE: الحركة الجانبية

الخطورة: عالية

نجاح اكتشاف حاويات تخزين يمكن الوصول إليها بشكل عام

(Storage.Blob_OpenContainersScanning.SuccessfulDiscovery)

الوصف: تم إجراء اكتشاف ناجح لحاوية (حاويات) التخزين المفتوحة بشكل عام في حساب التخزين الخاص بك في الساعة الأخيرة بواسطة برنامج نصي أو أداة للمسح الضوئي.

يشير هذا عادة إلى هجوم استكشاف، حيث يحاول ممثل التهديد سرد الكائنات الثنائية كبيرة الحجم عن طريق تخمين أسماء الحاويات، على أمل العثور على حاويات تخزين مفتوحة مُكوَّنة بشكل خاطئ تحتوي على بيانات حساسة.

قد يستخدم ممثل التهديد برنامجه النصي الخاص أو يستخدم أدوات المسح المعروفة مثل Microburst للفحص بحثا عن حاويات مفتوحة بشكل عام.

✔ Azure Blob Storage ✖ Azure Files ✖ Azure Data Lake Storage Gen2

تكتيكات MITRE: المجموعة

الخطورة: عالية/متوسطة

فشل فحص حاويات التخزين التي يمكن الوصول إليها بشكل عام

(Storage.Blob_OpenContainersScanning.FailedAttempt)

الوصف: تم تنفيذ سلسلة من المحاولات الفاشلة للفحص بحثا عن حاويات التخزين المفتوحة بشكل عام في الساعة الأخيرة.

يشير هذا عادة إلى هجوم استكشاف، حيث يحاول ممثل التهديد سرد الكائنات الثنائية كبيرة الحجم عن طريق تخمين أسماء الحاويات، على أمل العثور على حاويات تخزين مفتوحة مُكوَّنة بشكل خاطئ تحتوي على بيانات حساسة.

قد يستخدم ممثل التهديد برنامجه النصي الخاص أو يستخدم أدوات المسح المعروفة مثل Microburst للفحص بحثا عن حاويات مفتوحة بشكل عام.

✔ Azure Blob Storage ✖ Azure Files ✖ Azure Data Lake Storage Gen2

تكتيكات MITRE: المجموعة

الخطورة: عالية/منخفضة

فحص الوصول غير العادي في حساب تخزين

(Storage.Blob_AccessInspectionAnomaly Storage.Files_AccessInspectionAnomaly)

الوصف: يشير إلى أنه تم فحص أذونات الوصول لحساب التخزين بطريقة غير عادية، مقارنة بالنشاط الأخير على هذا الحساب. السبب المحتمل هو أن المهاجم قد أجرى استطلاعًا لهجوم مستقبلي. ينطبق على: Azure Blob Storage وAzure Files

تكتيكات MITRE: الاكتشاف

الخطورة: عالية/متوسطة

كمية غير عادية من البيانات المستخرجة من حساب تخزين

(Storage.Blob_DataExfiltration.AmountOfDataAnomaly Storage.Blob_DataExfiltration.NumberOfBlobsAnomaly Storage.Files_DataExfiltration.AmountOfDataAnomaly Storage.Files_DataExfiltration.NumberOfFilesAnomaly)

الوصف: يشير إلى أنه تم استخراج كمية كبيرة بشكل غير عادي من البيانات مقارنة بالنشاط الأخير على حاوية التخزين هذه. السبب المحتمل هو أن المهاجم قد استخرج كمية كبيرة من البيانات من حاوية تحتوي على تخزين كائن ثنائي كبير الحجم. ينطبق على: Azure Blob Storage وAzure Files وAzure Data Lake Storage Gen2

تكتيكات MITRE: النقل غير المصرح به

الخطورة: عالية/منخفضة

وصول تطبيق غير عادي إلى حساب تخزين

(Storage.Blob_ApplicationAnomaly Storage.Files_ApplicationAnomaly)

الوصف: يشير إلى أن تطبيقا غير عادي قد قام بالوصول إلى حساب التخزين هذا. السبب المحتمل هو أن المهاجم قد قام بالوصول إلى حساب التخزين الخاص بك باستخدام تطبيق جديد. ينطبق على: Azure Blob Storage وAzure Files

تكتيكات MITRE: التنفيذ

الخطورة: عالية/متوسطة

استكشاف البيانات غير العادي في حساب تخزين

(Storage.Blob_DataExplorationAnomaly Storage.Files_DataExplorationAnomaly)

الوصف: يشير إلى أنه تم تعداد الكائنات الثنائية كبيرة الحجم أو الحاويات في حساب تخزين بطريقة غير طبيعية، مقارنة بالنشاط الأخير على هذا الحساب. السبب المحتمل هو أن المهاجم قد أجرى استطلاعًا لهجوم مستقبلي. ينطبق على: Azure Blob Storage وAzure Files

تكتيكات MITRE: التنفيذ

الخطورة: عالية/متوسطة

حذف غير عادي في حساب تخزين

(Storage.Blob_DeletionAnomaly Storage.Files_DeletionAnomaly)

الوصف: يشير إلى حدوث عملية حذف غير متوقعة واحدة أو أكثر في حساب تخزين، مقارنة بالنشاط الأخير على هذا الحساب. السبب المحتمل هو أن المهاجم قد حذف البيانات من حساب التخزين الخاص بك. ينطبق على: Azure Blob Storage وAzure Files وAzure Data Lake Storage Gen2

تكتيكات MITRE: النقل غير المصرح به

الخطورة: عالية/متوسطة

وصول عام غير مصادق عليه غير عادي إلى حاوية كائن ثنائي كبير الحجم حساسة (معاينة)

Storage.Blob_AnonymousAccessAnomaly.حساس

الوصف: يشير التنبيه إلى أن شخصا ما قد قام بالوصول إلى حاوية كائن ثنائي كبير الحجم مع بيانات حساسة في حساب التخزين دون مصادقة، باستخدام عنوان IP خارجي (عام). هذا الوصول مريب لأن حاوية الكائن الثنائي كبير الحجم مفتوحة للوصول العام وعادة ما يتم الوصول إليها فقط من خلال المصادقة من الشبكات الداخلية (عناوين IP الخاصة). قد يشير هذا الوصول إلى أن مستوى الوصول إلى حاوية الكائن الثنائي كبير الحجم تم تكوينه بشكل خاطئ، وربما استغل مستخدم ضار الوصول العام. يتضمن تنبيه الأمان سياق المعلومات الحساسة المكتشفة (وقت الفحص وتسمية التصنيف وأنواع المعلومات وأنواع الملفات). تعرف على المزيد حول الكشف عن تهديدات البيانات الحساسة. ينطبق على: حسابات تخزين Azure Blob (الإصدار 2 للأغراض العامة القياسية، أو Azure Data Lake Storage Gen2، أو الكائنات الثنائية كبيرة الحجم للكتلة المتميزة) مع خطة Defender for Storage الجديدة مع تمكين ميزة الكشف عن تهديدات حساسية البيانات.

تكتيكات MITRE: الوصول الأولي

الخطورة: عالية

كمية غير عادية من البيانات المستخرجة من حاوية كائن ثنائي كبير الحجم حساسة (معاينة)

Storage.Blob_DataExfiltration.AmountOfDataAnomaly.Sensitive

الوصف: يشير التنبيه إلى أن شخصا ما قد استخرج كمية كبيرة بشكل غير عادي من البيانات من حاوية كائن ثنائي كبير الحجم مع بيانات حساسة في حساب التخزين. ينطبق على: حسابات تخزين Azure Blob (الإصدار 2 للأغراض العامة القياسية، أو Azure Data Lake Storage Gen2، أو الكائنات الثنائية كبيرة الحجم للكتلة المتميزة) مع خطة Defender for Storage الجديدة مع تمكين ميزة الكشف عن تهديدات حساسية البيانات.

تكتيكات MITRE: النقل غير المصرح به

الخطورة: متوسط

عدد غير عادي من الكائنات الثنائية كبيرة الحجم المستخرجة من حاوية كائن ثنائي كبير الحجم حساسة (معاينة)

Storage.Blob_DataExfiltration.NumberOfBlobsAnomaly.Sensitive

الوصف: يشير التنبيه إلى أن شخصا ما قد استخرج عددا كبيرا بشكل غير عادي من الكائنات الثنائية كبيرة الحجم من حاوية كائن ثنائي كبير الحجم مع بيانات حساسة في حساب التخزين. ينطبق على: حسابات تخزين Azure Blob (الإصدار 2 للأغراض العامة القياسية، أو Azure Data Lake Storage Gen2 أو الكائنات الثنائية كبيرة الحجم للكتلة المتميزة) مع خطة Defender for Storage الجديدة مع تمكين ميزة الكشف عن تهديدات حساسية البيانات.

تكتيكات MITRE: النقل غير المصرح به

الوصول من تطبيق مشبوه معروف إلى حاوية كائن ثنائي كبير الحجم حساسة (معاينة)

Storage.Blob_SuspiciousApp.حساس

الوصف: يشير التنبيه إلى أن شخصا لديه تطبيق مشبوه معروف قد قام بالوصول إلى حاوية كائن ثنائي كبير الحجم مع بيانات حساسة في حساب التخزين وأجرى عمليات مصادق عليها.
قد يشير الوصول إلى أن جهة التهديد حصلت على بيانات اعتماد للوصول إلى حساب التخزين باستخدام تطبيق مشبوه معروف. ومع ذلك، يمكن أن يشير الوصول أيضا إلى اختبار اختراق تم إجراؤه في المنظمة. ينطبق على: حسابات تخزين Azure Blob (الإصدار 2 للأغراض العامة القياسية، أو Azure Data Lake Storage Gen2 أو الكائنات الثنائية كبيرة الحجم للكتلة المتميزة) مع خطة Defender for Storage الجديدة مع تمكين ميزة الكشف عن تهديدات حساسية البيانات.

تكتيكات MITRE: الوصول الأولي

الخطورة: عالية

الوصول من عنوان IP مريب معروف إلى حاوية كائن ثنائي كبير الحجم حساسة (معاينة)

Storage.Blob_SuspiciousIp.حساس

الوصف: يشير التنبيه إلى أن شخصا ما قد قام بالوصول إلى حاوية كائن ثنائي كبير الحجم مع بيانات حساسة في حساب التخزين من عنوان IP مريب معروف مرتبط بintel التهديد بواسطة Microsoft Threat Intelligence. منذ مصادقة الوصول، من الممكن أن تكون بيانات الاعتماد التي تسمح بالوصول إلى حساب التخزين هذا قد تم اختراقها. تعرف على المزيد حول قدرات التحليل الذكي للمخاطر من Microsoft. ينطبق على: حسابات تخزين Azure Blob (الإصدار 2 للأغراض العامة القياسية، أو Azure Data Lake Storage Gen2، أو الكائنات الثنائية كبيرة الحجم للكتلة المتميزة) مع خطة Defender for Storage الجديدة مع تمكين ميزة الكشف عن تهديدات حساسية البيانات.

تكتيكات MITRE: ما قبل الهجوم

الخطورة: عالية

الوصول من عقدة خروج Tor إلى حاوية كائن ثنائي كبير الحجم حساسة (معاينة)

Storage.Blob_TorAnomaly.حساس

الوصف: يشير التنبيه إلى أن شخصا لديه عنوان IP معروف بأنه عقدة خروج Tor قام بالوصول إلى حاوية كائن ثنائي كبير الحجم مع بيانات حساسة في حساب التخزين مع وصول مصادق عليه. يشير الوصول المصادق عليه من عقدة خروج Tor بقوة إلى أن المستخدم يحاول البقاء مجهولا للنية الضارة المحتملة. منذ مصادقة الوصول، من الممكن أن تكون بيانات الاعتماد التي تسمح بالوصول إلى حساب التخزين هذا قد تم اختراقها. ينطبق على: حسابات تخزين Azure Blob (الإصدار 2 للأغراض العامة القياسية، أو Azure Data Lake Storage Gen2، أو الكائنات الثنائية كبيرة الحجم للكتلة المتميزة) مع خطة Defender for Storage الجديدة مع تمكين ميزة الكشف عن تهديدات حساسية البيانات.

تكتيكات MITRE: ما قبل الهجوم

الخطورة: عالية

الوصول من موقع غير عادي إلى حاوية كائن ثنائي كبير الحجم حساسة (معاينة)

Storage.Blob_GeoAnomaly.حساس

الوصف: يشير التنبيه إلى أن شخصا ما قد قام بالوصول إلى حاوية كائن ثنائي كبير الحجم مع بيانات حساسة في حساب التخزين مع مصادقة من موقع غير عادي. منذ مصادقة الوصول، من الممكن أن تكون بيانات الاعتماد التي تسمح بالوصول إلى حساب التخزين هذا قد تم اختراقها. ينطبق على: حسابات تخزين Azure Blob (الإصدار 2 للأغراض العامة القياسية، أو Azure Data Lake Storage Gen2، أو الكائنات الثنائية كبيرة الحجم للكتلة المتميزة) مع خطة Defender for Storage الجديدة مع تمكين ميزة الكشف عن تهديدات حساسية البيانات.

تكتيكات MITRE: الوصول الأولي

الخطورة: متوسط

تم تغيير مستوى الوصول لحاوية تخزين البيانات الثنائية الكبيرة الحساسة للسماح بالوصول العام غير المصادق عليه (معاينة)

Storage.Blob_OpenACL.حساس

الوصف: يشير التنبيه إلى أن شخصا ما قد غير مستوى الوصول إلى حاوية كائن ثنائي كبير الحجم في حساب التخزين، الذي يحتوي على بيانات حساسة، إلى مستوى "الحاوية"، والذي يسمح بالوصول العام غير المصادق عليه (المجهول). تم إجراء التغيير من خلال مدخل Microsoft Azure. قد يعرض تغيير مستوى الوصول أمان البيانات للخطر. نوصي باتخاذ إجراء فوري لتأمين البيانات ومنع الوصول غير المصرح به في حالة تشغيل هذا التنبيه. ينطبق على: حسابات تخزين Azure Blob (الإصدار 2 للأغراض العامة القياسية، أو Azure Data Lake Storage Gen2، أو الكائنات الثنائية كبيرة الحجم للكتلة المتميزة) مع خطة Defender for Storage الجديدة مع تمكين ميزة الكشف عن تهديدات حساسية البيانات.

تكتيكات MITRE: المجموعة

الخطورة: عالية

الوصول الخارجي المشبوه إلى حساب تخزين Azure مع رمز SAS المميز المتساهل للغاية (معاينة)

Storage.Blob_AccountSas.InternalSasUsedExternally

الوصف: يشير التنبيه إلى أن شخصا ما لديه عنوان IP خارجي (عام) قد قام بالوصول إلى حساب التخزين باستخدام رمز SAS مميز مسموح به بشكل مفرط بتاريخ انتهاء صلاحية طويل. يعتبر هذا النوع من الوصول مريبا لأن رمز SAS المميز يستخدم عادة فقط في الشبكات الداخلية (من عناوين IP الخاصة). قد يشير النشاط إلى أن رمز SAS المميز قد تسرب من قبل ممثل ضار أو تم تسريبه عن غير قصد من مصدر شرعي. حتى إذا كان الوصول شرعيا، فإن استخدام رمز SAS عالي الأذونات بتاريخ انتهاء صلاحية طويل يتعارض مع أفضل ممارسات الأمان ويشكل خطرا أمنيا محتملا. ينطبق على: حسابات تخزين Azure Blob (الإصدار 2 للأغراض العامة القياسية، أو Azure Data Lake Storage Gen2، أو الكائنات الثنائية كبيرة الحجم للكتلة المتميزة) مع خطة Defender for Storage الجديدة.

تكتيكات MITRE: النقل غير المصرح به / تطوير الموارد / التأثير

الخطورة: متوسط

عملية خارجية مشبوهة لحساب تخزين Azure مع رمز SAS المميز المتساهل للغاية (معاينة)

Storage.Blob_AccountSas.UnusualOperationFromExternalIp

الوصف: يشير التنبيه إلى أن شخصا ما لديه عنوان IP خارجي (عام) قد قام بالوصول إلى حساب التخزين باستخدام رمز SAS مميز مسموح به بشكل مفرط بتاريخ انتهاء صلاحية طويل. يعتبر الوصول مريبا لأن العمليات التي يتم استدعاؤها خارج شبكتك (وليس من عناوين IP الخاصة) مع رمز SAS المميز هذا تستخدم عادة لمجموعة معينة من عمليات القراءة/الكتابة/الحذف، ولكن حدثت عمليات أخرى، مما يجعل هذا الوصول مريبا. قد يشير هذا النشاط إلى أن رمز SAS المميز قد تم تسريبه من قبل ممثل ضار أو تم تسريبه عن غير قصد من مصدر شرعي. حتى إذا كان الوصول شرعيا، فإن استخدام رمز SAS عالي الأذونات بتاريخ انتهاء صلاحية طويل يتعارض مع أفضل ممارسات الأمان ويشكل خطرا أمنيا محتملا. ينطبق على: حسابات تخزين Azure Blob (الإصدار 2 للأغراض العامة القياسية، أو Azure Data Lake Storage Gen2، أو الكائنات الثنائية كبيرة الحجم للكتلة المتميزة) مع خطة Defender for Storage الجديدة.

تكتيكات MITRE: النقل غير المصرح به / تطوير الموارد / التأثير

الخطورة: متوسط

تم استخدام رمز SAS المميز غير العادي للوصول إلى حساب تخزين Azure من عنوان IP عام (معاينة)

Storage.Blob_AccountSas.UnusualExternalAccess

الوصف: يشير التنبيه إلى أن شخصا لديه عنوان IP خارجي (عام) قد قام بالوصول إلى حساب التخزين باستخدام رمز SAS المميز للحساب. الوصول غير عادي للغاية ويعتبر مريبا، لأن الوصول إلى حساب التخزين باستخدام رموز SAS المميزة عادة ما يأتي فقط من عناوين IP الداخلية (الخاصة). من المحتمل أن يكون قد تم تسريب رمز SAS المميز أو إنشاؤه بواسطة ممثل ضار إما من داخل مؤسستك أو خارجيا للوصول إلى حساب التخزين هذا. ينطبق على: حسابات تخزين Azure Blob (الإصدار 2 للأغراض العامة القياسية، أو Azure Data Lake Storage Gen2، أو الكائنات الثنائية كبيرة الحجم للكتلة المتميزة) مع خطة Defender for Storage الجديدة.

تكتيكات MITRE: النقل غير المصرح به / تطوير الموارد / التأثير

الخطورة: منخفض

ملف ضار تم تحميله إلى حساب التخزين

Storage.Blob_AM. MalwareFound

الوصف: يشير التنبيه إلى أنه تم تحميل كائن ثنائي كبير الحجم ضار إلى حساب تخزين. يتم إنشاء تنبيه الأمان هذا بواسطة ميزة فحص البرامج الضارة في Defender for Storage. قد تتضمن الأسباب المحتملة تحميل البرامج الضارة عن قصد من قبل ممثل تهديد أو تحميل غير مقصود لملف ضار من قبل مستخدم شرعي. ينطبق على: حسابات تخزين Azure Blob (الإصدار 2 للأغراض العامة القياسية، أو Azure Data Lake Storage Gen2، أو الكائنات الثنائية كبيرة الحجم للكتلة المتميزة) مع خطة Defender for Storage الجديدة مع تمكين ميزة فحص البرامج الضارة.

تكتيكات MITRE: الحركة الجانبية

الخطورة: عالية

تم تنزيل الكائن الثنائي كبير الحجم الضار من حساب تخزين (معاينة)

Storage.Blob_MalwareDownload

الوصف: يشير التنبيه إلى أنه تم تنزيل كائن ثنائي كبير الحجم ضار من حساب تخزين. قد تتضمن الأسباب المحتملة البرامج الضارة التي تم تحميلها إلى حساب التخزين ولم تتم إزالتها أو عزلها، وبالتالي تمكين ممثل التهديد من تنزيلها، أو تنزيل البرامج الضارة عن غير قصد من قبل مستخدمين أو تطبيقات شرعية. ينطبق على: حسابات تخزين Azure Blob (الإصدار 2 للأغراض العامة القياسية، أو Azure Data Lake Storage Gen2 أو الكائنات الثنائية كبيرة الحجم للكتلة المتميزة) مع خطة Defender for Storage الجديدة مع تمكين ميزة فحص البرامج الضارة.

تكتيكات MITRE: الحركة الجانبية

الخطورة: عالية، إذا كانت Eicar - منخفضة

تنبيهات لـAzure Cosmos DB

مزيد من التفاصيل والملاحظات

الوصول من عقدة إنهاء Tor

(CosmosDB_TorAnomaly)

الوصف: تم الوصول بنجاح إلى حساب Azure Cosmos DB هذا من عنوان IP معروف بأنه عقدة خروج نشطة من Tor، وهو وكيل مجهول المصدر. الوصول المصادق عليه من عقدة الخروج من Tor هو إشارة على الأرجح إلى أن ممثل التهديد يحاول إخفاء هويته.

تكتيكات MITRE: الوصول الأولي

الخطورة: عالية/متوسطة

الوصول من عنوان IP مريب

(CosmosDB_SuspiciousIp)

الوصف: تم الوصول بنجاح إلى حساب Azure Cosmos DB هذا من عنوان IP تم تحديده كتهديد بواسطة Microsoft Threat Intelligence.

تكتيكات MITRE: الوصول الأولي

الخطورة: متوسط

الوصول من موقع غير عادي

(CosmosDB_GeoAnomaly)

الوصف: تم الوصول إلى حساب Azure Cosmos DB هذا من موقع يعتبر غير مألوف، استنادا إلى نمط الوصول المعتاد.

إما أن جهة التهديد قد حصلت على حق الوصول إلى الحساب، أو أن مستخدمًا شرعيًا قد اتصل من موقع جغرافي جديد أو غير معتاد

تكتيكات MITRE: الوصول الأولي

الخطورة: منخفض

حجم غير عادي من البيانات المستخرجة

(CosmosDB_DataExfiltrationAnomaly)

الوصف: تم استخراج حجم كبير بشكل غير عادي من البيانات من حساب Azure Cosmos DB هذا. قد يشير هذا إلى أن ممثل التهديد قام بتهديد البيانات.

تكتيكات MITRE: النقل غير المصرح به

الخطورة: متوسط

استخراج مفاتيح حسابات Azure Cosmos DB عبر برنامج نصي يحتمل أن يكون ضارًا

(CosmosDB_SuspiciousListKeys.MaliciousScript)

الوصف: تم تشغيل برنامج نصي PowerShell في اشتراكك ونفذ نمطا مريبا من عمليات سرد المفاتيح للحصول على مفاتيح حسابات Azure Cosmos DB في اشتراكك. يستخدم مستخدمو التهديد البرامج النصية التلقائية، مثل Microburst، لسرد المفاتيح والعثور على حسابات Azure Cosmos DB التي يمكنهم الوصول إليها.

قد تشير هذه العملية إلى أنه تم اختراق هوية في مؤسستك، وأن ممثل التهديد يحاول اختراق حسابات Azure Cosmos DB في بيئتك للحصول على نوايا ضارة.

بدلًا من ذلك، يمكن أن يحاول أحد المشاركين في برنامج Insider الضار الوصول إلى البيانات الحساسة وتنفيذ الحركة الجانبية.

تكتيكات MITRE: المجموعة

الخطورة: متوسط

الاستخراج المشبوه لمفاتيح حساب Azure Cosmos DB (AzureCosmosDB_SuspiciousListKeys.SuspiciousPrincipal)

الوصف: استخرج مصدر مريب مفاتيح الوصول إلى حساب Azure Cosmos DB من اشتراكك. إذا لم يكن هذا المصدر مصدرا شرعيا، فقد تكون هذه مشكلة ذات تأثير كبير. يوفر مفتاح الوصول الذي تم استخراجه التحكم الكامل في قواعد البيانات المقترنة والبيانات المخزنة داخلها. راجع تفاصيل كل تنبيه محدد لفهم سبب وضع علامة على المصدر على أنه مريب.

تكتيكات MITRE: الوصول إلى بيانات الاعتماد

الخطورة: عالية

حقن SQL: تسرب البيانات المحتمل

(CosmosDB_SqlInjection.DataExfiltration)

الوصف: تم استخدام عبارة SQL مريبة للاستعلام عن حاوية في حساب Azure Cosmos DB هذا.

ربما نجحت العبارة التي تم إدخالها في تصفية البيانات التي لم يصرح لممثل التهديد بالوصول إليها.

نظرا لبنية وقدرات استعلامات Azure Cosmos DB، لا يمكن أن تعمل العديد من هجمات حقن SQL المعروفة على حسابات Azure Cosmos DB. ومع ذلك، قد يعمل التباين المستخدم في هذا الهجوم ويمكن للجهات الفاعلة في التهديد النقل غير المصرح به للبيانات.

تكتيكات MITRE: النقل غير المصرح به

الخطورة: متوسط

حقن SQL: محاولة غير واضح

(CosmosDB_SqlInjection.FailedFuzzingAttempt)

الوصف: تم استخدام عبارة SQL مريبة للاستعلام عن حاوية في حساب Azure Cosmos DB هذا.

مثل هجمات حقن SQL المعروفة الأخرى، لن ينجح هذا الهجوم في المساس بحساب Azure Cosmos DB.

ومع ذلك، فهي إشارة إلى أن جهة التهديد تحاول مهاجمة الموارد الموجودة في هذا الحساب، وقد يتعرض تطبيقك للخطر.

يمكن أن تنجح بعض هجمات حقن SQL ويمكن استخدامها لتصفية البيانات. وهذا يعني أنه إذا استمر المهاجم في تنفيذ محاولات حقن SQL، فقد يتمكن من اختراق حساب Azure Cosmos DB الخاص بك واختراق البيانات.

يمكنك منع هذا التهديد باستخدام استعلامات ذات معلمات.

تكتيكات MITRE: ما قبل الهجوم

الخطورة: منخفض

تنبيهات لطبقة شبكة Azure

مزيد من التفاصيل والملاحظات

تم الكشف عن اتصال الشبكة بجهاز ضار

(Network_CommunicationWithC2)

الوصف: يشير تحليل نسبة استخدام الشبكة إلى أن جهازك (IP ٪{Victim IP}) قد تواصل مع ما قد يكون مركز الأوامر والتحكم. عندما يكون المورد الذي تم اختراقه موازن تحميل أو بوابة تطبيق، قد يشير النشاط المشتبه به إلى أن واحدًا أو أكثر من الموارد في تجمع الواجهة الخلفية (لموازن التحميل أو بوابة التطبيق) قد تواصل مع ما قد يكون مركز الأوامر والتحكم.

تكتيكات MITRE: القيادة والتحكم

الخطورة: متوسط

⁩الكشف عن الجهاز المخترق المحتمل⁩⁩

(Network_ResourceIpIndicatedAsMalicious)

الوصف: يشير التحليل الذكي للمخاطر إلى أن جهازك (في IP ٪{Machine IP}) قد تم اختراقه بواسطة برنامج ضار من نوع Conficker. Conficker هو فيروس كمبيوتر يستهدف نظام التشغيل Microsoft Windows وتم اكتشافه لأول مرة في نوفمبر 2008. أصيبت شركة Conficker الملايين من أجهزة الكمبيوتر بما في ذلك أجهزة الكمبيوتر الحكومية والتجارية والمنزلية في أكثر من 200 دولة/منطقة، مما يجعلها أكبر إصابة معروفة بدودة الكمبيوتر منذ دودة Welchia عام 2003.

تكتيكات MITRE: القيادة والتحكم

الخطورة: متوسط

تم الكشف عن محاولات القوة الغاشمة الواردة المحتملة %{Service Name}

(Generic_Incoming_BF_OneToOne)

الوصف: كشف تحليل نسبة استخدام الشبكة عن اتصال ٪{Service Name} الوارد إلى ٪{Victim IP}، المقترن بموردك ٪{Compromised Host} من ٪{Attacker IP}. عندما يكون المورد المخترق موازن تحميل أو بوابة تطبيق، تتم إعادة توجيه نسبة استخدام الشبكة الواردة المشتبه بها إلى مورد واحد أو أكثر في تجمع الواجهة الخلفية (لموازن التحميل أو بوابة التطبيق). على وجه التحديد، تعرض بيانات الشبكة التي تم أخذ عينات لها نشاطًا مشبوهًا بين %{Start Time} و%{End Time} على المنفذ %{Victim Port}. يتوافق هذا النشاط مع محاولات القوة الغاشمة ضد خوادم %{Service Name}.

تكتيكات MITRE: PreAttack

الخطورة: معلوماتية

تم اكتشاف محاولات محتملة لقوة SQL الغاشمة الواردة

(SQL_Incoming_BF_OneToOne)

الوصف: كشف تحليل حركة مرور الشبكة عن اتصال SQL وارد إلى ٪{Victim IP}، المقترن بموردك ٪{Compromised Host}، من ٪{Attacker IP}. عندما يكون المورد المخترق موازن تحميل أو بوابة تطبيق، تتم إعادة توجيه نسبة استخدام الشبكة الواردة المشتبه بها إلى مورد واحد أو أكثر في تجمع الواجهة الخلفية (لموازن التحميل أو بوابة التطبيق). على وجه التحديد، تعرض بيانات الشبكة التي تم أخذ عينات لها نشاطًا مشبوهًا بين %{Start Time} و%{End Time} على المنفذ %{Port Number} (%{SQL Service Type}). يتوافق هذا النشاط مع محاولات القوة الغاشمة ضد خوادم SQL.

تكتيكات MITRE: PreAttack

الخطورة: متوسط

اكتشاف هجوم رفض الخدمة الصادر المحتمل

(DDOS)

الوصف: كشف تحليل حركة مرور الشبكة عن نشاط صادر شاذ ينشأ من ٪{Compromised Host}، وهو مورد في عملية النشر. قد يشير هذا النشاط إلى أن المورد الخاص بك قد تم اختراقه وهو الآن يشارك في هجمات رفض الخدمة ضد نقاط النهاية الخارجية. عندما يكون المورد الذي تم اختراقه هو موازن تحميل أو بوابة تطبيق، قد يشير النشاط المشتبه به إلى تعرض مورد واحد أو أكثر من الموارد في تجمع الواجهة الخلفية (لموازن التحميل أو بوابة التطبيق) للخطر. استنادًا إلى حجم الاتصالات، نعتقد أن عناوين IP التالية ربما تكون أهداف هجوم DOS: %{Possible Victims}. لاحظ أنه من الممكن أن يكون الاتصال ببعض عناوين IP هذه شرعيًا.

تكتيكات MITRE: التأثير

الخطورة: متوسط

نشاط شبكة RDP الوارد المشبوه من مصادر متعددة

(RDP_Incoming_BF_ManyToOne)

الوصف: كشف تحليل حركة مرور الشبكة عن اتصال غير مألوف لبروتوكول سطح المكتب البعيد (RDP) إلى ٪{Victim IP}، المقترن بموردك ٪{Compromised Host}، من مصادر متعددة. عندما يكون المورد المخترق موازن تحميل أو بوابة تطبيق، تتم إعادة توجيه نسبة استخدام الشبكة الواردة المشتبه بها إلى مورد واحد أو أكثر في تجمع الواجهة الخلفية (لموازن التحميل أو بوابة التطبيق). على وجه التحديد، تظهر بيانات الشبكة التي تم أخذ عينات منها %{Number of Attacking IPs} الفريدة المتصلة بموردك، والتي تعتبر غير طبيعية لهذه البيئة. قد يشير هذا النشاط إلى محاولة فرض غاشمة على نقطة نهاية RDP الخاصة بك من مضيفين متعددين (Botnet).

تكتيكات MITRE: PreAttack

الخطورة: متوسط

نشاط شبكة RDP الواردة المشبوهة

(RDP_Incoming_BF_OneToOne)

الوصف: كشف تحليل حركة مرور الشبكة عن اتصال غير مألوف لبروتوكول سطح المكتب البعيد (RDP) إلى ٪{Victim IP}، المقترن بموردك ٪{Compromised Host}، من ٪{Attacker IP}. عندما يكون المورد المخترق موازن تحميل أو بوابة تطبيق، تتم إعادة توجيه نسبة استخدام الشبكة الواردة المشتبه بها إلى مورد واحد أو أكثر في تجمع الواجهة الخلفية (لموازن التحميل أو بوابة التطبيق). على وجه التحديد، تعرض بيانات الشبكة التي تم أخذ عينات منها %{Number of Connections} الاتصالات الواردة إلى المورد الخاص بك، والتي تعتبر غير طبيعية لهذه البيئة. قد يشير هذا النشاط إلى محاولة فرض القوة الغاشمة على نقطة نهاية RDP

تكتيكات MITRE: PreAttack

الخطورة: متوسط

نشاط شبكة SSH وارد مريب من مصادر متعددة

(SSH_Incoming_BF_ManyToOne)

الوصف: كشف تحليل حركة مرور الشبكة عن اتصال SSH وارد غير مألوف إلى ٪{Victim IP}، المقترن بموردك ٪{Compromised Host}، من مصادر متعددة. عندما يكون المورد المخترق موازن تحميل أو بوابة تطبيق، تتم إعادة توجيه نسبة استخدام الشبكة الواردة المشتبه بها إلى مورد واحد أو أكثر في تجمع الواجهة الخلفية (لموازن التحميل أو بوابة التطبيق). على وجه التحديد، تظهر بيانات الشبكة التي تم أخذ عينات منها %{Number of Attacking IPs} الفريدة المتصلة بموردك، والتي تعتبر غير طبيعية لهذه البيئة. قد يشير هذا النشاط إلى محاولة فرض نقطة نهاية SSH من مضيفين متعددين (Botnet)

تكتيكات MITRE: PreAttack

الخطورة: متوسط

نشاط شبكة SSH وارد مريب

(SSH_Incoming_BF_OneToOne)

الوصف: كشف تحليل حركة مرور الشبكة عن اتصال SSH وارد غير مألوف إلى ٪{Victim IP}، المقترن بموردك ٪{Compromised Host}، من ٪{Attacker IP}. عندما يكون المورد المخترق موازن تحميل أو بوابة تطبيق، تتم إعادة توجيه نسبة استخدام الشبكة الواردة المشتبه بها إلى مورد واحد أو أكثر في تجمع الواجهة الخلفية (لموازن التحميل أو بوابة التطبيق). على وجه التحديد، تعرض بيانات الشبكة التي تم أخذ عينات منها %{Number of Connections} الاتصالات الواردة إلى المورد الخاص بك، والتي تعتبر غير طبيعية لهذه البيئة. قد يشير هذا النشاط إلى محاولة فرض القوة الغاشمة على نقطة نهاية SSH

تكتيكات MITRE: PreAttack

الخطورة: متوسط

تم الكشف عن نسبة استخدام الشبكة الصادرة المشبوهة %{Attacked Protocol}

(PortScanning)

الوصف: كشف تحليل حركة مرور الشبكة عن نسبة استخدام الشبكة الصادرة المشبوهة من ٪{Host المخترق} إلى منفذ الوجهة ٪{المنفذ الأكثر شيوعا}. عندما يكون المورد المُخترَق موازن تحميل أو بوابة تطبيق، تنشأ نسبة استخدام الشبكة الصادرة المشتبه بها من مورد واحد أو أكثر من الموارد في تجمع الواجهة الخلفية (لموازن التحميل أو بوابة التطبيق). قد يشير هذا السلوك إلى أن المورد الخاص بك يشارك في ٪{Attacked Protocol} محاولات القوة الغاشمة أو هجمات مسح المنفذ.

تكتيكات MITRE: الاكتشاف

الخطورة: متوسط

نشاط شبكة RDP الصادر المشبوه إلى وجهات متعددة

(RDP_Outgoing_BF_OneToMany)

الوصف: كشف تحليل نسبة استخدام الشبكة عن اتصال بروتوكول سطح المكتب البعيد الصادر (RDP) غير المألوف إلى وجهات متعددة تنشأ من ٪{Compromised Host} (٪{Attacker IP})، وهو مورد في عملية النشر. عندما يكون المورد المُخترَق موازن تحميل أو بوابة تطبيق، تنشأ نسبة استخدام الشبكة الصادرة المشتبه بها من مورد واحد أو أكثر من الموارد في تجمع الواجهة الخلفية (لموازن التحميل أو بوابة التطبيق). على وجه التحديد، تظهر بيانات الشبكة التي تم أخذ عينات منها أن جهازك يتصل بـ %{Number of Attacked IPs} الفريدة، والتي تعتبر غير طبيعية لهذه البيئة. قد يشير هذا النشاط إلى أن المورد الخاص بك قد تم اختراقه ويستخدم الآن للقوة الغاشمة نقاط نهاية RDP الخارجية. لاحظ أن هذا النوع من النشاط قد يتسبب في وضع علامة على IP الخاص بك على أنه ضار من قبل الكيانات الخارجية.

تكتيكات MITRE: الاكتشاف

الخطورة: عالية

نشاط شبكة RDP الصادرة المشبوهة

(RDP_Outgoing_BF_OneToOne)

الوصف: كشف تحليل حركة مرور الشبكة عن اتصال بروتوكول سطح المكتب البعيد الصادر (RDP) إلى ٪{Victim IP} الذي ينشأ من ٪{Compromised Host} (٪{Attacker IP})، وهو مورد في عملية النشر. عندما يكون المورد المُخترَق موازن تحميل أو بوابة تطبيق، تنشأ نسبة استخدام الشبكة الصادرة المشتبه بها من مورد واحد أو أكثر من الموارد في تجمع الواجهة الخلفية (لموازن التحميل أو بوابة التطبيق). على وجه التحديد، تظهر بيانات الشبكة التي تم أخذ عينات منها %{Number of Connections} الاتصالات الصادرة من المورد الخاص بك، والتي تعتبر غير طبيعية لهذه البيئة. قد يشير هذا النشاط إلى أن جهازك قد تعرض للاختراق ويستخدم الآن للقوة الغاشمة لنقاط نهاية RDP الخارجية. لاحظ أن هذا النوع من النشاط قد يتسبب في وضع علامة على IP الخاص بك على أنه ضار من قبل الكيانات الخارجية.

تكتيكات MITRE: الحركة الجانبية

الخطورة: عالية

نشاط شبكة SSH الصادرة المشبوهة إلى وجهات متعددة

(SSH_Outgoing_BF_OneToMany)

الوصف: كشف تحليل نسبة استخدام الشبكة عن اتصال SSH صادر غير صحيح إلى وجهات متعددة تنشأ من ٪{Compromised Host} (٪{Attacker IP})، وهو مورد في عملية النشر. عندما يكون المورد المُخترَق موازن تحميل أو بوابة تطبيق، تنشأ نسبة استخدام الشبكة الصادرة المشتبه بها من مورد واحد أو أكثر من الموارد في تجمع الواجهة الخلفية (لموازن التحميل أو بوابة التطبيق). على وجه التحديد، تظهر بيانات الشبكة التي تم أخذ عينات منها موردك المتصل بـ %{Number of Attacked IPs} الفريدة، والتي تعتبر غير طبيعية لهذه البيئة. قد يشير هذا النشاط إلى أن المورد الخاص بك قد تم اختراقه ويستخدم الآن للقوة الغاشمة نقاط نهاية SSH الخارجية. لاحظ أن هذا النوع من النشاط قد يتسبب في وضع علامة على IP الخاص بك على أنه ضار من قبل الكيانات الخارجية.

تكتيكات MITRE: الاكتشاف

الخطورة: متوسط

نشاط شبكة SSH الصادرة المشبوهة

(SSH_Outgoing_BF_OneToOne)

الوصف: كشف تحليل حركة مرور الشبكة عن اتصال SSH صادر غير صحيح إلى ٪{Victim IP} ينشأ من ٪{Compromised Host} (٪{Attacker IP})، وهو مورد في عملية النشر. عندما يكون المورد المُخترَق موازن تحميل أو بوابة تطبيق، تنشأ نسبة استخدام الشبكة الصادرة المشتبه بها من مورد واحد أو أكثر من الموارد في تجمع الواجهة الخلفية (لموازن التحميل أو بوابة التطبيق). على وجه التحديد، تظهر بيانات الشبكة التي تم أخذ عينات منها %{Number of Connections} الاتصالات الصادرة من المورد الخاص بك، والتي تعتبر غير طبيعية لهذه البيئة. قد يشير هذا النشاط إلى أن المورد الخاص بك قد تم اختراقه ويستخدم الآن للقوة الغاشمة نقاط نهاية SSH الخارجية. لاحظ أن هذا النوع من النشاط قد يتسبب في وضع علامة على IP الخاص بك على أنه ضار من قبل الكيانات الخارجية.

تكتيكات MITRE: الحركة الجانبية

الخطورة: متوسط

نسبة استخدام الشبكة التي تم اكتشافها من عناوين IP الموصى بها للحظر

(Network_TrafficFromUnrecommendedIP)

الوصف: اكتشف Microsoft Defender for Cloud نسبة استخدام الشبكة الواردة من عناوين IP الموصى بحظرها. يحدث هذا عادة عندما لا يتصل عنوان IP هذا بشكل منتظم مع هذا المورد. بدلًا من ذلك، تم وضع علامة على عنوان IP على أنه ضار بواسطة مصادر التحليل الذكي للمخاطر في Defender for Cloud.

تكتيكات MITRE: فحص

الخطورة: معلوماتية

التنبيهات لـ Azure Key Vault

مزيد من التفاصيل والملاحظات

الوصول من عنوان IP مريب إلى مخزن مفاتيح

(KV_SuspiciousIPAccess)

الوصف: تم الوصول إلى مخزن مفاتيح بنجاح بواسطة عنوان IP تم تحديده بواسطة Microsoft Threat Intelligence كعنوان IP مريب. قد يشير هذا إلى أن البنية الأساسية الخاصة بك قد تم اختراقها. نوصي بإجراء مزيد من التحقيق. تعرف على المزيد حول قدرات التحليل الذكي للمخاطر من Microsoft.

تكتيكات MITRE: الوصول إلى بيانات الاعتماد

الخطورة: متوسط

الوصول من عقدة إنهاء TOR إلى مخزن مفاتيح

(KV_TORAccess)

الوصف: تم الوصول إلى مخزن مفاتيح من عقدة خروج TOR معروفة. قد يكون هذا مؤشرًا على أن ممثل التهديد قد قام بالوصول إلى مخزن المفاتيح ويستخدم شبكة TOR لإخفاء موقع المصدر الخاص به. نوصي بإجراء المزيد من التحقيقات.

تكتيكات MITRE: الوصول إلى بيانات الاعتماد

الخطورة: متوسط

حجم كبير من العمليات في خزنة المفاتيح

(KV_OperationVolumeAnomaly)

الوصف: تم تنفيذ عدد غير مألوف من عمليات خزنة المفاتيح من قبل مستخدم أو كيان خدمة و/أو مخزن مفاتيح محدد. قد يكون نمط النشاط الشاذ هذا شرعيا، ولكنه قد يكون مؤشرا على أن ممثل التهديد قد تمكن من الوصول إلى مخزن المفاتيح والأسرار المضمنة فيه. نوصي بإجراء المزيد من التحقيقات.

تكتيكات MITRE: الوصول إلى بيانات الاعتماد

الخطورة: متوسط

تغيير النهج المشبوه والاستعلام السري في مخزن المفاتيح

(KV_PutGetAnomaly)

الوصف: قام مستخدم أو كيان خدمة بتنفيذ عملية تغيير نهج وضع المخزن الشاذ متبوعا بعملية الحصول على بيانات سرية واحدة أو أكثر. لا يتم تنفيذ هذا النمط عادة بواسطة المستخدم المحدد أو كيان الخدمة المحدد. قد يكون هذا نشاطا شرعيا، ولكن قد يكون مؤشرا على أن جهة التهديد قامت بتحديث نهج key vault للوصول إلى الأسرار التي لم يكن الوصول إليها في السابق. نوصي بإجراء المزيد من التحقيقات.

تكتيكات MITRE: الوصول إلى بيانات الاعتماد

الخطورة: متوسط

سرد البيانات السرية المشبوهة والاستعلام في مخزن المفاتيح

(KV_ListGetAnomaly)

الوصف: قام مستخدم أو كيان خدمة بإجراء عملية قائمة سرية شاذة متبوعة بعملية "الحصول على البيانات السرية" واحدة أو أكثر. لا يتم تنفيذ هذا النمط عادة بواسطة المستخدم المحدد أو كيان الخدمة المحدد وعادة ما يقترن بتفريغ البيانات السرية. قد يكون هذا نشاطا شرعيا، ولكن قد يكون مؤشرا على أن ممثل التهديد قد تمكن من الوصول إلى مخزن المفاتيح ويحاول اكتشاف الأسرار التي يمكن استخدامها للتنقل أفقيا عبر شبكتك و/أو الوصول إلى الموارد الحساسة. نوصي بإجراء المزيد من التحقيقات.

تكتيكات MITRE: الوصول إلى بيانات الاعتماد

الخطورة: متوسط

تم رفض الوصول غير العادي - تم رفض وصول المستخدم إلى حجم كبير من خزائن المفاتيح

(KV_AccountVolumeAccessDeniedAnomaly)

الوصف: حاول مستخدم أو كيان خدمة الوصول إلى حجم كبير بشكل غير مألوف من خزائن المفاتيح في آخر 24 ساعة. قد يكون نمط الوصول الشاذ هذا نشاطا مشروعا. على الرغم من أن هذه المحاولة لم تنجح، إلا إنها قد تكون مؤشراً على محاولة محتملة للوصول إلى مخزن المفاتيح والأسرار المضمنة فيه. نوصي بإجراء المزيد من التحقيقات.

تكتيكات MITRE: الاكتشاف

الخطورة: منخفض

تم رفض الوصول غير العادي - تم رفض وصول مستخدم غير عادي إلى مخزن المفاتيح

(KV_UserAccessDeniedAnomaly)

الوصف: تمت محاولة الوصول إلى مخزن المفاتيح من قبل مستخدم لا يصل إليه عادة، قد يكون نمط الوصول الشاذ هذا نشاطا شرعيا. على الرغم من أن هذه المحاولة لم تنجح، إلا إنها قد تكون مؤشراً على محاولة محتملة للوصول إلى مخزن المفاتيح والأسرار المضمنة فيه.

تكتيكات MITRE: الوصول الأولي، الاكتشاف

الخطورة: منخفض

وصول تطبيق غير عادي إلى مخزن مفاتيح

(KV_AppAnomaly)

الوصف: تم الوصول إلى مخزن مفاتيح بواسطة كيان خدمة لا يصل إليه عادة. قد يكون نمط الوصول الشاذ هذا نشاطا مشروعا، ولكنه قد يكون مؤشرا على أن جهة التهديد قد حصلت على حق الوصول إلى مخزن المفاتيح في محاولة للوصول إلى الأسرار الموجودة داخلها. نوصي بإجراء المزيد من التحقيقات.

تكتيكات MITRE: الوصول إلى بيانات الاعتماد

الخطورة: متوسط

نمط عملية غير عادي في خزنة المفاتيح

(KV_OperationPatternAnomaly)

الوصف: تم تنفيذ نمط شاذ لعمليات خزنة المفاتيح من قبل مستخدم أو كيان الخدمة و/أو مخزن مفاتيح محدد. قد يكون نمط النشاط الشاذ هذا شرعيا، ولكنه قد يكون مؤشرا على أن ممثل التهديد قد تمكن من الوصول إلى مخزن المفاتيح والأسرار المضمنة فيه. نوصي بإجراء المزيد من التحقيقات.

تكتيكات MITRE: الوصول إلى بيانات الاعتماد

الخطورة: متوسط

وصول مستخدم غير عادي إلى مخزن مفاتيح

(KV_UserAnomaly)

الوصف: تم الوصول إلى مخزن مفاتيح من قبل مستخدم لا يصل إليه عادة. قد يكون نمط الوصول الشاذ هذا نشاطا مشروعا، ولكنه قد يكون مؤشرا على أن جهة التهديد قد حصلت على حق الوصول إلى مخزن المفاتيح في محاولة للوصول إلى الأسرار الموجودة داخلها. نوصي بإجراء المزيد من التحقيقات.

تكتيكات MITRE: الوصول إلى بيانات الاعتماد

الخطورة: متوسط

تم الوصول إلى زوج تطبيق المستخدم غير العادي إلى مخزن مفاتيح

(KV_UserAppAnomaly)

الوصف: تم الوصول إلى key vault بواسطة زوج أساسي لخدمة المستخدم لا يصل إليه عادة. قد يكون نمط الوصول الشاذ هذا نشاطا مشروعا، ولكنه قد يكون مؤشرا على أن جهة التهديد قد حصلت على حق الوصول إلى مخزن المفاتيح في محاولة للوصول إلى الأسرار الموجودة داخلها. نوصي بإجراء المزيد من التحقيقات.

تكتيكات MITRE: الوصول إلى بيانات الاعتماد

الخطورة: متوسط

وصول المستخدم إلى حجم كبير من خزائن المفاتيح

(KV_AccountVolumeAnomaly)

الوصف: قام المستخدم أو كيان الخدمة بالوصول إلى حجم كبير بشكل غير مألوف من خزائن المفاتيح. قد يكون نمط الوصول الشاذ هذا نشاطا مشروعا، ولكنه قد يكون مؤشرا على أن جهة التهديد قد حصلت على حق الوصول إلى مخازن مفاتيح متعددة في محاولة للوصول إلى الأسرار الموجودة داخلها. نوصي بإجراء المزيد من التحقيقات.

تكتيكات MITRE: الوصول إلى بيانات الاعتماد

الخطورة: متوسط

رفض الوصول من عنوان IP مريب إلى مخزن مفاتيح

(KV_SuspiciousIPAccessDenied)

الوصف: تمت محاولة الوصول غير الناجح إلى مخزن المفاتيح من قبل IP تم تحديده بواسطة Microsoft Threat Intelligence كعنوان IP مريب. على الرغم من أن هذه المحاولة لم تنجح، إلا أنها تشير إلى أنه ربما تم اختراق البنية الأساسية الخاصة بك. نوصي بإجراء المزيد من التحقيقات.

تكتيكات MITRE: الوصول إلى بيانات الاعتماد

الخطورة: منخفض

وصول غير عادي إلى خزنة المفاتيح من عنوان IP مريب (غير Microsoft أو خارجي)

(KV_UnusualAccessSuspiciousIP)

الوصف: حاول مستخدم أو كيان خدمة الوصول الشاذ إلى خزائن المفاتيح من عنوان IP غير Microsoft في آخر 24 ساعة. قد يكون نمط الوصول الشاذ هذا نشاطا مشروعا. يمكن أن يكون مؤشرا على محاولة محتملة للوصول إلى مخزن المفاتيح والأسرار المضمنة فيه. نوصي بإجراء المزيد من التحقيقات.

تكتيكات MITRE: الوصول إلى بيانات الاعتماد

الخطورة: متوسط

تنبيهات لـAzure DDoS Protection

مزيد من التفاصيل والملاحظات

تم الكشف عن هجوم DDoS لـIP العام

(NETWORK_DDOS_DETECTED)

الوصف: تم الكشف عن هجوم DDoS ل IP العام (عنوان IP) ويتم تخفيفه.

تكتيكات MITRE: فحص

الخطورة: عالية

تم تخفيف هجوم DDoS لـIP العام

(NETWORK_DDOS_MITIGATED)

الوصف: تم تخفيف هجوم DDoS ل IP العام (عنوان IP).

تكتيكات MITRE: فحص

الخطورة: منخفض

تنبيهات ل Defender لواجهات برمجة التطبيقات

ارتفاع مريب على مستوى المحتوى في حركة مرور واجهة برمجة التطبيقات إلى نقطة نهاية واجهة برمجة التطبيقات

(API_PopulationSpikeInAPITraffic)

الوصف: تم الكشف عن ارتفاع مريب في حركة مرور واجهة برمجة التطبيقات في إحدى نقاط نهاية واجهة برمجة التطبيقات. استخدم نظام الكشف أنماط نسبة استخدام الشبكة التاريخية لإنشاء أساس لحركة مرور واجهة برمجة التطبيقات الروتينية بين جميع عناوين IP ونقطة النهاية، مع تحديد الأساس لحركة مرور واجهة برمجة التطبيقات لكل رمز حالة (مثل نجاح 200). وقد وضع نظام الكشف علامة على انحراف غير عادي عن هذا الأساس مما أدى إلى الكشف عن نشاط مشبوه.

تكتيكات MITRE: التأثير

الخطورة: متوسط

ارتفاع مريب في حركة مرور واجهة برمجة التطبيقات من عنوان IP واحد إلى نقطة نهاية واجهة برمجة التطبيقات

(API_SpikeInAPITraffic)

الوصف: تم الكشف عن ارتفاع مريب في حركة مرور واجهة برمجة التطبيقات من عنوان IP للعميل إلى نقطة نهاية واجهة برمجة التطبيقات. استخدم نظام الكشف أنماط نسبة استخدام الشبكة التاريخية لإنشاء أساس لحركة مرور واجهة برمجة التطبيقات الروتينية إلى نقطة النهاية القادمة من عنوان IP محدد إلى نقطة النهاية. وقد وضع نظام الكشف علامة على انحراف غير عادي عن هذا الأساس مما أدى إلى الكشف عن نشاط مشبوه.

تكتيكات MITRE: التأثير

الخطورة: متوسط

حمولة استجابة كبيرة بشكل غير عادي يتم إرسالها بين عنوان IP واحد ونقطة نهاية واجهة برمجة التطبيقات

(API_SpikeInPayload)

الوصف: تمت ملاحظة ارتفاع مريب في حجم حمولة استجابة واجهة برمجة التطبيقات لحركة المرور بين عنوان IP واحد وإحدى نقاط نهاية واجهة برمجة التطبيقات. استنادا إلى أنماط نسبة استخدام الشبكة التاريخية من آخر 30 يوما، يتعلم Defender لواجهات برمجة التطبيقات خطا أساسيا يمثل حجم حمولة استجابة واجهة برمجة التطبيقات النموذجية بين عنوان IP محدد ونقطة نهاية واجهة برمجة التطبيقات. الأساس الذي تم تعلمه خاص بحركة مرور واجهة برمجة التطبيقات لكل رمز حالة (على سبيل المثال، 200 نجاح). تم تشغيل التنبيه لأن حجم حمولة استجابة واجهة برمجة التطبيقات انحرف بشكل كبير عن الأساس التاريخي.

تكتيكات MITRE: الوصول الأولي

الخطورة: متوسط

نص طلب كبير بشكل غير عادي يتم إرساله بين عنوان IP واحد ونقطة نهاية واجهة برمجة التطبيقات

(API_SpikeInPayload)

الوصف: تمت ملاحظة ارتفاع مريب في حجم نص طلب واجهة برمجة التطبيقات لحركة المرور بين عنوان IP واحد وإحدى نقاط نهاية واجهة برمجة التطبيقات. استنادا إلى أنماط نسبة استخدام الشبكة التاريخية من آخر 30 يوما، يتعلم Defender لواجهات برمجة التطبيقات الأساس الذي يمثل حجم نص طلب واجهة برمجة التطبيقات النموذجي بين IP ونقطة نهاية API محددة. الأساس الذي تم تعلمه خاص بحركة مرور واجهة برمجة التطبيقات لكل رمز حالة (على سبيل المثال، 200 نجاح). تم تشغيل التنبيه لأن حجم طلب واجهة برمجة التطبيقات انحرف بشكل كبير عن الأساس التاريخي.

تكتيكات MITRE: الوصول الأولي

الخطورة: متوسط

(معاينة) ارتفاع مريب في زمن الانتقال لحركة المرور بين عنوان IP واحد ونقطة نهاية واجهة برمجة التطبيقات

(API_SpikeInLatency)

الوصف: لوحظ ارتفاع مريب في زمن الانتقال لحركة المرور بين عنوان IP واحد وإحدى نقاط نهاية واجهة برمجة التطبيقات. استنادا إلى أنماط نسبة استخدام الشبكة التاريخية من آخر 30 يوما، يتعلم Defender لواجهات برمجة التطبيقات خطا أساسيا يمثل زمن انتقال حركة مرور واجهة برمجة التطبيقات الروتينية بين IP ونقطة نهاية API محددة. الأساس الذي تم تعلمه خاص بحركة مرور واجهة برمجة التطبيقات لكل رمز حالة (على سبيل المثال، 200 نجاح). تم تشغيل التنبيه لأن زمن انتقال استدعاء واجهة برمجة التطبيقات انحرف بشكل كبير عن الأساس التاريخي.

تكتيكات MITRE: الوصول الأولي

الخطورة: متوسط

تطلب واجهة برمجة التطبيقات الرش من عنوان IP واحد إلى عدد كبير بشكل غير عادي من نقاط نهاية واجهة برمجة التطبيقات المميزة

(API_SprayInRequests)

الوصف: تمت ملاحظة IP واحد يقوم بإجراء استدعاءات واجهة برمجة التطبيقات لعدد كبير بشكل غير عادي من نقاط النهاية المميزة. استنادا إلى أنماط نسبة استخدام الشبكة التاريخية من آخر 30 يوما، يتعلم Defenders لواجهات برمجة التطبيقات خطا أساسيا يمثل العدد النموذجي لنقاط النهاية المميزة التي يطلق عليها عنوان IP واحد عبر نوافذ مدتها 20 دقيقة. تم تشغيل التنبيه لأن سلوك IP واحد انحرف بشكل كبير عن الأساس التاريخي.

تكتيكات MITRE: الاكتشاف

الخطورة: متوسط

تعداد المعلمات على نقطة نهاية واجهة برمجة التطبيقات

(API_ParameterEnumeration)

الوصف: تمت ملاحظة IP واحد تعداد المعلمات عند الوصول إلى إحدى نقاط نهاية واجهة برمجة التطبيقات. استنادا إلى أنماط نسبة استخدام الشبكة التاريخية من آخر 30 يوما، يتعلم Defender لواجهات برمجة التطبيقات خطا أساسيا يمثل العدد النموذجي لقيم المعلمات المميزة المستخدمة من قبل IP واحد عند الوصول إلى نقطة النهاية هذه عبر نوافذ مدتها 20 دقيقة. تم تشغيل التنبيه لأن عنوان IP لعميل واحد قد قام مؤخرا بالوصول إلى نقطة نهاية باستخدام عدد كبير بشكل غير عادي من قيم المعلمات المميزة.

تكتيكات MITRE: الوصول الأولي

الخطورة: متوسط

تعداد المعلمات الموزعة على نقطة نهاية واجهة برمجة التطبيقات

(API_DistributedParameterEnumeration)

الوصف: تمت ملاحظة إجمالي عدد المستخدمين (جميع عناوين IP) تعداد المعلمات عند الوصول إلى إحدى نقاط نهاية واجهة برمجة التطبيقات. استنادا إلى أنماط نسبة استخدام الشبكة التاريخية من آخر 30 يوما، يتعلم Defender لواجهات برمجة التطبيقات خط أساس يمثل العدد النموذجي لقيم المعلمات المميزة المستخدمة من قبل محتوى المستخدم (جميع عناوين IP) عند الوصول إلى نقطة نهاية عبر نوافذ مدتها 20 دقيقة. تم تشغيل التنبيه لأن محتوى المستخدم قد قام مؤخرا بالوصول إلى نقطة نهاية باستخدام عدد كبير بشكل غير عادي من قيم المعلمات المميزة.

تكتيكات MITRE: الوصول الأولي

الخطورة: متوسط

قيمة (قيم) المعلمة مع أنواع بيانات شاذة في استدعاء واجهة برمجة التطبيقات

(API_UnseenParamType)

الوصف: تمت ملاحظة عنوان IP واحد يصل إلى إحدى نقاط نهاية واجهة برمجة التطبيقات الخاصة بك ويستخدم قيم معلمات من نوع بيانات احتمال منخفض (على سبيل المثال، سلسلة، عدد صحيح، وما إلى ذلك). استنادا إلى أنماط نسبة استخدام الشبكة التاريخية من آخر 30 يوما، يتعلم Defender لواجهات برمجة التطبيقات أنواع البيانات المتوقعة لكل معلمة API. تم تشغيل التنبيه لأن IP قد قام مؤخرا بالوصول إلى نقطة نهاية باستخدام نوع بيانات احتمال منخفض مسبقا كإدخل معلمة.

تكتيكات MITRE: التأثير

الخطورة: متوسط

معلمة غير مرئية سابقا مستخدمة في استدعاء واجهة برمجة التطبيقات

(API_UnseenParam)

الوصف: تمت ملاحظة وصول IP واحد إلى إحدى نقاط نهاية واجهة برمجة التطبيقات باستخدام معلمة غير مرئية مسبقا أو خارج الحدود في الطلب. استنادا إلى أنماط نسبة استخدام الشبكة التاريخية من آخر 30 يوما، يتعلم Defender لواجهات برمجة التطبيقات مجموعة من المعلمات المتوقعة المرتبطة بالمكالمات إلى نقطة نهاية. تم تشغيل التنبيه لأن IP قد قام مؤخرا بالوصول إلى نقطة نهاية باستخدام معلمة غير مرئية مسبقا.

تكتيكات MITRE: التأثير

الخطورة: متوسط

الوصول من عقدة إنهاء Tor إلى نقطة نهاية واجهة برمجة التطبيقات

(API_AccessFromTorExitNode)

الوصف: تم الوصول إلى عنوان IP من شبكة Tor إلى إحدى نقاط نهاية واجهة برمجة التطبيقات الخاصة بك. Tor هي شبكة تسمح للأشخاص بالوصول إلى الإنترنت مع الاحتفاظ ب IP الحقيقي الخاص بهم مخفيا. على الرغم من وجود استخدامات مشروعة، فإنه غالبا ما يستخدم من قبل المهاجمين لإخفاء هويتهم عندما يستهدفون أنظمة الأشخاص عبر الإنترنت.

تكتيكات MITRE: ما قبل الهجوم

الخطورة: متوسط

الوصول إلى نقطة نهاية واجهة برمجة التطبيقات من IP المشبوه

(API_AccessFromSuspiciousIP)

الوصف: تم تحديد عنوان IP الذي يصل إلى إحدى نقاط نهاية واجهة برمجة التطبيقات من قبل Microsoft Threat Intelligence على أنه لديه احتمال كبير بأن يكون تهديدا. أثناء مراقبة حركة مرور الإنترنت الضارة، جاء عنوان IP هذا على أنه متورط في مهاجمة أهداف أخرى عبر الإنترنت.

تكتيكات MITRE: ما قبل الهجوم

الخطورة: عالية

تم الكشف عن عامل مستخدم مريب

(API_AccessFromSuspiciousUserAgent)

الوصف: احتوى عامل المستخدم لطلب يصل إلى إحدى نقاط نهاية واجهة برمجة التطبيقات على قيم شاذة تدل على محاولة تنفيذ التعليمات البرمجية عن بعد. لا يعني هذا أنه تم اختراق أي من نقاط نهاية واجهة برمجة التطبيقات الخاصة بك، ولكنه يشير إلى أن محاولة الهجوم جارية.

تكتيكات MITRE: التنفيذ

الخطورة: متوسط

تنبيهات Defender for Containers المهملة

تتضمن القوائم التالية تنبيهات أمان Defender for Containers التي تم إهمالها.

تم الكشف عن معالجة جدار حماية المضيف

(K8S. NODE_FirewallDisabled)

الوصف: كشف تحليل العمليات التي تعمل داخل حاوية أو مباشرة على عقدة Kubernetes عن معالجة محتملة لجدار الحماية على المضيف. غالبًا ما يقوم المهاجمون بتعطيل هذا لتصفية البيانات.

تكتيكات MITRE: التهرب الدفاعي، النقل غير المصرح به

الخطورة: متوسط

الاستخدام المشبوه لـ DNS عبر HTTPS

(K8S. NODE_SuspiciousDNSOverHttps)

الوصف: اكتشف تحليل العمليات التي تعمل داخل حاوية أو مباشرة على عقدة Kubernetes استخدام استدعاء DNS عبر HTTPS بطريقة غير شائعة. يستخدم المهاجمون هذه التقنية لإخفاء الاستدعاءات إلى المواقع المشبوهة أو الضارة.

تكتيكات MITRE: التهرب الدفاعي، النقل غير المصرح به

الخطورة: متوسط

تم الكشف عن اتصال محتمل بموقع ضار.

(K8S. NODE_ThreatIntelCommandLineSuspectDomain)

الوصف: كشف تحليل العمليات التي تعمل داخل حاوية أو مباشرة على عقدة Kubernetes عن اتصال بموقع تم الإبلاغ عنه بأنه ضار أو غير عادي. هذا مؤشر على احتمال حدوث حل وسط.

تكتيكات MITRE: InitialAccess

الخطورة: متوسط

نشاط استخراج العملات الرقمية

(K8S. NODE_CurrencyMining)

الوصف: كشف تحليل معاملات DNS عن نشاط استخراج العملات الرقمية. في حين أن هذا النشاط قد يكون سلوكًا شرعيًا للمستخدم، يتم تنفيذه بشكل متكرر من قبل المهاجمين بعد اختراق الموارد. من المحتمل أن يتضمن نشاط المهاجم ذي الصلة النموذجي تنزيل وتنفيذ أدوات التعدين الشائعة.

تكتيكات MITRE: النقل غير المصرح به

الخطورة: منخفض

تنبيهات Defender for Servers Linux المهملة

VM_AbnormalDaemonTermination

اسم عرض التنبيه: إنهاء غير طبيعي

الخطورة: منخفض

VM_BinaryGeneratedFromCommandLine

اسم عرض التنبيه: تم الكشف عن ثنائي مشبوه

الخطورة: متوسط

VM_CommandlineSuspectDomain مريبة

اسم عرض التنبيه: مرجع اسم المجال

الخطورة: منخفض

VM_CommonBot

اسم عرض التنبيه: سلوك مشابه لروبوتات Linux الشائعة التي تم اكتشافها

الخطورة: متوسط

VM_CompCommonBots

اسم عرض التنبيه: تم الكشف عن أوامر مشابهة لروبوتات Linux الشائعة

الخطورة: متوسط

VM_CompSuspiciousScript

اسم عرض التنبيه: تم الكشف عن برنامج Shell النصي

الخطورة: متوسط

VM_CompTestRule

اسم عرض التنبيه: تنبيه اختبار تحليلي مركب

الخطورة: منخفض

VM_CronJobAccess

اسم عرض التنبيه: تم الكشف عن معالجة المهام المجدولة

الخطورة: معلوماتية

VM_CryptoCoinMinerArtifacts

اسم عرض التنبيه: تم الكشف عن العملية المقترنة بالتنقيب عن العملات الرقمية

الخطورة: متوسط

VM_CryptoCoinMinerDownload

اسم عرض التنبيه: تم الكشف عن تنزيل Cryptocoinminer المحتمل

الخطورة: متوسط

VM_CryptoCoinMinerExecution

اسم عرض التنبيه: بدأ منجم عملة التشفير المحتملة

الخطورة: متوسط

VM_DataEgressArtifacts

اسم عرض التنبيه: تم الكشف عن تسرب محتمل للبيانات

الخطورة: متوسط

VM_DigitalCurrencyMining

اسم عرض التنبيه: تم الكشف عن السلوك المتعلق بالتنقيب عن العملات الرقمية

الخطورة: عالية

VM_DownloadAndRunCombo

اسم عرض التنبيه: تنزيل مشبوه ثم تشغيل النشاط

الخطورة: متوسط

VM_EICAR

اسم عرض التنبيه: تنبيه اختبار Microsoft Defender for Cloud (وليس تهديدا)

الخطورة: عالية

VM_ExecuteHiddenFile

اسم عرض التنبيه: تنفيذ الملف المخفي

الخطورة: معلوماتية

VM_ExploitAttempt

اسم عرض التنبيه: محاولة استغلال سطر الأوامر المحتملة

الخطورة: متوسط

VM_ExposedDocker

اسم عرض التنبيه: برنامج Docker الخفي المكشوف على مأخذ توصيل TCP

الخطورة: متوسط

VM_FairwareMalware

اسم عرض التنبيه: سلوك مشابه للكشف عن برامج الفدية الضارة Fairware

الخطورة: متوسط

VM_FirewallDisabled

اسم عرض التنبيه: تم الكشف عن معالجة جدار حماية المضيف

الخطورة: متوسط

VM_HadoopYarnExploit

اسم عرض التنبيه: الاستغلال المحتمل ل Hadoop Yarn

الخطورة: متوسط

VM_HistoryFileCleared

اسم عرض التنبيه: تم مسح ملف محفوظات

الخطورة: متوسط

VM_KnownLinuxAttackTool

اسم عرض التنبيه: تم اكتشاف أداة هجوم محتملة

الخطورة: متوسط

VM_KnownLinuxCredentialAccessTool

اسم عرض التنبيه: تم الكشف عن أداة الوصول المحتملة إلى بيانات الاعتماد

الخطورة: متوسط

VM_KnownLinuxDDoSToolkit

اسم عرض التنبيه: تم الكشف عن المؤشرات المقترنة بمجموعة أدوات DDOS

الخطورة: متوسط

VM_KnownLinuxScreenshotTool

اسم عرض التنبيه: لقطة شاشة مأخوذة على المضيف

الخطورة: منخفض

VM_LinuxBackdoorArtifact

اسم عرض التنبيه: تم الكشف عن خلفية محتملة

الخطورة: متوسط

VM_LinuxReconnaissance

اسم عرض التنبيه: اكتشاف استكشاف المضيف المحلي

الخطورة: متوسط

VM_MismatchedScriptFeatures

اسم عرض التنبيه: تم الكشف عن عدم تطابق ملحق البرنامج النصي

الخطورة: متوسط

VM_MitreCalderaTools

اسم عرض التنبيه: تم الكشف عن عامل MITRE Caldera

الخطورة: متوسط

VM_NewSingleUserModeStartupScript

اسم عرض التنبيه: تم الكشف عن محاولة الثبات

الخطورة: متوسط

VM_NewSudoerAccount

اسم عرض التنبيه: تمت إضافة الحساب إلى مجموعة sudo

الخطورة: منخفض

VM_OverridingCommonFiles

اسم عرض التنبيه: احتمال تجاوز الملفات الشائعة

الخطورة: متوسط

VM_PrivilegedContainerArtifacts

اسم عرض التنبيه: الحاوية قيد التشغيل في الوضع المتميز

الخطورة: منخفض

VM_PrivilegedExecutionInContainer

اسم عرض التنبيه: الأمر داخل حاوية تعمل بامتيازات عالية

الخطورة: منخفض

VM_ReadingHistoryFile

اسم عرض التنبيه: وصول غير عادي إلى ملف محفوظات bash

الخطورة: معلوماتية

VM_ReverseShell

اسم عرض التنبيه: الكشف عن shell عكسي محتمل

الخطورة: متوسط

VM_SshKeyAccess

اسم عرض التنبيه: تمت رؤية العملية للوصول إلى ملف المفاتيح المعتمدة من SSH بطريقة غير عادية

الخطورة: منخفض

VM_SshKeyAddition

اسم عرض التنبيه: تمت إضافة مفتاح SSH جديد

الخطورة: منخفض

VM_SuspectCompilation

اسم عرض التنبيه: تم الكشف عن تجميع مشبوه

الخطورة: متوسط

VM_Suspect الاتصال

اسم عرض التنبيه: تم اكتشاف محاولة اتصال غير شائعة

الخطورة: متوسط

VM_SuspectDownload

اسم عرض التنبيه: تم الكشف عن تنزيل الملف من مصدر ضار معروف

الخطورة: متوسط

VM_SuspectDownloadArtifacts

اسم عرض التنبيه: تم الكشف عن تنزيل الملف المشبوه

الخطورة: منخفض

VM_SuspectExecutablePath

اسم عرض التنبيه: تم العثور على قابل للتنفيذ قيد التشغيل من موقع مريب

الخطورة: متوسط

VM_SuspectHtaccessFileAccess

اسم عرض التنبيه: تم الكشف عن الوصول إلى ملف htaccess

الخطورة: متوسط

VM_SuspectInitialShellCommand

اسم عرض التنبيه: الأمر الأول المشبوه في shell

الخطورة: منخفض

VM_SuspectMixedCaseText

اسم عرض التنبيه: تم الكشف عن مزيج شاذ من الأحرف الكبيرة والصغيرة في سطر الأوامر

الخطورة: متوسط

VM_SuspectNetwork الاتصال

اسم عرض التنبيه: اتصال شبكة مشبوه

الخطورة: معلوماتية

VM_SuspectNohup

اسم عرض التنبيه: تم الكشف عن الاستخدام المشبوه لأمر nohup

الخطورة: متوسط

VM_SuspectPasswordChange

اسم عرض التنبيه: تغيير محتمل لكلمة المرور باستخدام طريقة التشفير التي تم اكتشافها

الخطورة: متوسط

VM_SuspectPasswordFileAccess

اسم عرض التنبيه: الوصول إلى كلمة المرور المشبوهة

الخطورة: معلوماتية

VM_SuspectPhp

اسم عرض التنبيه: تم الكشف عن تنفيذ PHP مريب

الخطورة: متوسط

VM_SuspectPortForwarding

اسم عرض التنبيه: إعادة توجيه المنفذ المحتمل إلى عنوان IP الخارجي

الخطورة: متوسط

VM_SuspectProcessAccountPrivilegeCombo

اسم عرض التنبيه: أصبحت العملية التي تعمل في حساب الخدمة جذرا بشكل غير متوقع

الخطورة: متوسط

VM_SuspectProcessTermination

اسم عرض التنبيه: تم الكشف عن إنهاء العملية المتعلقة بالأمان

الخطورة: منخفض

VM_SuspectUserAddition

اسم عرض التنبيه: تم الكشف عن الاستخدام المشبوه للأمر useradd

الخطورة: متوسط

VM_SuspiciousCommandLineExecution

اسم عرض التنبيه: تنفيذ الأمر المشبوه

الخطورة: عالية

VM_SuspiciousDNSOverHttps

اسم عرض التنبيه: الاستخدام المشبوه ل DNS عبر HTTPS

الخطورة: متوسط

VM_SystemLogRemoval

اسم عرض التنبيه: اكتشاف نشاط محتمل للعبث بالسجل

الخطورة: متوسط

VM_ThreatIntelCommandLineSuspectDomain

اسم عرض التنبيه: تم الكشف عن اتصال محتمل بالموقع الضار

الخطورة: متوسط

VM_ThreatIntelSuspectLogon

اسم عرض التنبيه: تم الكشف عن تسجيل دخول من عنوان IP ضار

الخطورة: عالية

VM_TimerServiceDisabled

اسم عرض التنبيه: تم اكتشاف محاولة إيقاف خدمة apt-daily-upgrade.timer

الخطورة: معلوماتية

VM_TimestampTampering

اسم عرض التنبيه: تعديل الطابع الزمني للملفات المشبوهة

الخطورة: منخفض

VM_Webshell

اسم عرض التنبيه: اكتشاف shell ويب ضار محتمل

الخطورة: متوسط

تنبيهات Defender for Servers Windows المهملة

SCUBA_MULTIPLEACCOUNTCREATE

اسم عرض التنبيه: إنشاء حسابات مشبوهة على مضيفين متعددين

الخطورة: متوسط

SCUBA_PSINSIGHT_CONTEXT

اسم عرض التنبيه: تم الكشف عن الاستخدام المشبوه ل PowerShell

الخطورة: معلوماتية

SCUBA_RULE_AddGuestTo مسؤول istrators

اسم عرض التنبيه: إضافة حساب الضيف إلى مجموعة مسؤول istrators المحلية

الخطورة: متوسط

SCUBA_RULE_Apache_Tomcat_executing_suspicious_commands

اسم عرض التنبيه: Apache_Tomcat_executing_suspicious_commands

الخطورة: متوسط

SCUBA_RULE_KnownBruteForcingTools

اسم عرض التنبيه: تم تنفيذ عملية مشبوهة

الخطورة: عالية

SCUBA_RULE_KnownCollectionTools

اسم عرض التنبيه: تم تنفيذ عملية مشبوهة

الخطورة: عالية

SCUBA_RULE_KnownDefenseEvasionTools

اسم عرض التنبيه: تم تنفيذ عملية مشبوهة

الخطورة: عالية

SCUBA_RULE_KnownExecutionTools

اسم عرض التنبيه: تم تنفيذ عملية مشبوهة

الخطورة: عالية

SCUBA_RULE_KnownPassTheHashTools

اسم عرض التنبيه: تم تنفيذ عملية مشبوهة

الخطورة: عالية

SCUBA_RULE_KnownSpammingTools

اسم عرض التنبيه: تم تنفيذ عملية مشبوهة

الخطورة: متوسط

SCUBA_RULE_Lowering_Security_الإعدادات

اسم عرض التنبيه: الكشف عن تعطيل الخدمات الهامة

الخطورة: متوسط

SCUBA_RULE_OtherKnownHackerTools

اسم عرض التنبيه: تم تنفيذ عملية مشبوهة

الخطورة: عالية

SCUBA_RULE_RDP_session_hijacking_via_tscon

اسم عرض التنبيه: مؤشر مستوى التكامل المشتبه به على اختطاف RDP

الخطورة: متوسط

SCUBA_RULE_RDP_session_hijacking_via_tscon_service

اسم عرض التنبيه: تثبيت الخدمة المشتبه به

الخطورة: متوسط

SCUBA_RULE_Suppress_pesky_unauthorized_use_prohibited_notices

اسم عرض التنبيه: تم الكشف عن منع الإشعار القانوني المعروض للمستخدمين عند تسجيل الدخول

الخطورة: منخفض

SCUBA_RULE_WDigest_Enabling

اسم عرض التنبيه: تم الكشف عن تمكين مفتاح التسجيل WDigest UseLogonCredential

الخطورة: متوسط

VM.Windows_ApplockerBypass

اسم عرض التنبيه: تم اكتشاف محاولة محتملة لتجاوز AppLocker

الخطورة: عالية

VM.Windows_BariumKnownSuspiciousProcessExecution

اسم عرض التنبيه: تم الكشف عن إنشاء ملف مريب

الخطورة: عالية

VM.Windows_Base64EncodedExecutableInCommandLineParams

اسم عرض التنبيه: تم اكتشافه مرمز قابل للتنفيذ في بيانات سطر الأوامر

الخطورة: عالية

VM.Windows_CalcsCommandLineUse

اسم عرض التنبيه: تم الكشف عن الاستخدام المشبوه ل Cacls لخفض حالة الأمان للنظام

الخطورة: متوسط

VM.Windows_CommandLineStartingAllExe

اسم عرض التنبيه: تم الكشف عن سطر أوامر مشبوه يستخدم لبدء تشغيل جميع الملفات التنفيذية في دليل

الخطورة: متوسط

VM.Windows_DisablingAndDeletingIISLogFiles

اسم عرض التنبيه: الإجراءات المكتشفة التي تشير إلى تعطيل ملفات سجل IIS وحذفها

الخطورة: متوسط

VM.Windows_DownloadUsingCertutil

اسم عرض التنبيه: تم الكشف عن تنزيل مشبوه باستخدام Certutil

الخطورة: متوسط

VM.Windows_EchoOverPipeOnLocalhost

اسم عرض التنبيه: تم الكشف عن اتصالات الأنابيب المسماة المشبوهة

الخطورة: عالية

VM.Windows_EchoToConstructPowerShellScript

اسم عرض التنبيه: إنشاء برنامج PowerShell النصي الديناميكي

الخطورة: متوسط

VM.Windows_ExecutableDecodedUsingCertutil

اسم عرض التنبيه: تم الكشف عن فك ترميز قابل للتنفيذ باستخدام أداة certutil.exe مضمنة

الخطورة: متوسط

VM.Windows_FileDeletionIsSospisiousLocation

اسم عرض التنبيه: تم الكشف عن حذف ملف مشبوه

الخطورة: متوسط

VM.Windows_KerberosGoldenTicketAttack

اسم عرض التنبيه: تمت ملاحظة معلمات هجوم Kerberos Golden Ticket المشتبه بها

الخطورة: متوسط

VM.Windows_KeygenToolKnownProcessName

اسم عرض التنبيه: تم الكشف عن التنفيذ المحتمل لعملية keygen القابلة للتنفيذ المشبوهة المنفذة

الخطورة: متوسط

VM.Windows_KnownCredentialAccessTools

اسم عرض التنبيه: تم تنفيذ عملية مشبوهة

الخطورة: عالية

VM.Windows_KnownSuspiciousPowerShellScript

اسم عرض التنبيه: تم الكشف عن الاستخدام المشبوه ل PowerShell

الخطورة: عالية

VM.Windows_KnownSuspiciousSoftwareInstallation

اسم عرض التنبيه: تم الكشف عن برنامج عالي المخاطر

الخطورة: متوسط

VM.Windows_MsHtaAndPowerShellCombination

اسم عرض التنبيه: تم الكشف عن تركيبة مشبوهة من HTA وPowerShell

الخطورة: متوسط

VM.Windows_MultipleAccountsQuery

اسم عرض التنبيه: تم الاستعلام عن حسابات مجالات متعددة

الخطورة: متوسط

VM.Windows_NewAccountCreation

اسم عرض التنبيه: تم الكشف عن إنشاء الحساب

الخطورة: معلوماتية

VM.Windows_ObfuscatedCommandLine

اسم عرض التنبيه: تم الكشف عن سطر الأوامر المعتيم.

الخطورة: عالية

VM.Windows_PcaluaUseToLaunchExecutable

اسم عرض التنبيه: تم الكشف عن الاستخدام المشبوه Pcalua.exe لتشغيل التعليمات البرمجية القابلة للتنفيذ

الخطورة: متوسط

VM.Windows_PetyaRansomware

اسم عرض التنبيه: تم الكشف عن مؤشرات برامج الفدية الضارة Petya

الخطورة: عالية

VM.Windows_PowerShellPowerSploitScriptExecution

اسم عرض التنبيه: أوامر PowerShell cmdlets المشبوهة المنفذة

الخطورة: متوسط

VM.Windows_RansomwareIndication

اسم عرض التنبيه: تم الكشف عن مؤشرات برامج الفدية الضارة

الخطورة: عالية

VM.Windows_SqlDumperUsedSuspiciously

اسم عرض التنبيه: تم الكشف عن تفريغ بيانات الاعتماد المحتملة [ينظر إليها عدة مرات]

الخطورة: متوسط

VM.Windows_StopCriticalServices

اسم عرض التنبيه: الكشف عن تعطيل الخدمات الهامة

الخطورة: متوسط

VM.Windows_SubvertingAccessibilityBinary

اسم عرض التنبيه: كشف هجوم المفاتيح الملصقة عن اكتشاف إنشاء حساب مريب متوسط

VM.Windows_SuspiciousAccountCreation

اسم عرض التنبيه: تم الكشف عن إنشاء حساب مشبوه

الخطورة: متوسط

VM.Windows_SuspiciousFirewallRuleAdded

اسم عرض التنبيه: تم الكشف عن قاعدة جدار حماية جديدة مريبة

الخطورة: متوسط

VM.Windows_SuspiciousFTPSSwitchUsage

اسم عرض التنبيه: تم الكشف عن الاستخدام المشبوه لمفتاح FTP -s

الخطورة: متوسط

VM.Windows_SuspiciousSQLActivity

اسم عرض التنبيه: نشاط SQL مريب

الخطورة: متوسط

VM.Windows_SVCHostFromInvalidPath

اسم عرض التنبيه: تم تنفيذ عملية مشبوهة

الخطورة: عالية

VM.Windows_SystemEventLogCleared

اسم عرض التنبيه: تم مسح سجل أمن Windows

الخطورة: معلوماتية

VM.Windows_TelegramInstallation

اسم عرض التنبيه: تم الكشف عن الاستخدام المشبوه المحتمل لأداة Telegram

الخطورة: متوسط

VM.Windows_UndercoverProcess

اسم عرض التنبيه: تم الكشف عن عملية تمت تسميتها بشكل مريب

الخطورة: عالية

VM.Windows_UserAccountControlBypass

اسم عرض التنبيه: تم الكشف عن التغيير إلى مفتاح التسجيل الذي يمكن إساءة استخدامه لتجاوز UAC

الخطورة: متوسط

VM.Windows_VBScriptEncoding

اسم عرض التنبيه: تم الكشف عن التنفيذ المشبوه للأمر VBScript.Encode

الخطورة: متوسط

VM.Windows_WindowPositionRegisteryChange

اسم عرض التنبيه: تم الكشف عن قيمة سجل WindowPosition المشبوهة

الخطورة: منخفض

VM.Windows_ZincPortOpenningUsingFirewallRule

اسم عرض التنبيه: قاعدة جدار الحماية الضارة التي تم إنشاؤها بواسطة زرع خادم الزنك

الخطورة: عالية

VM_DigitalCurrencyMining

اسم عرض التنبيه: تم الكشف عن السلوك المتعلق بالتنقيب عن العملات الرقمية

الخطورة: عالية

VM_MaliciousSQLActivity

اسم عرض التنبيه: نشاط SQL ضار

الخطورة: عالية

VM_ProcessWithDoubleExtensionExecution

اسم عرض التنبيه: ملف ملحق مزدوج مريب تم تنفيذه

الخطورة: عالية

VM_RegistryPersistencyKey

اسم عرض التنبيه: تم الكشف عن طريقة استمرار تسجيل Windows

الخطورة: منخفض

VM_ShadowCopyDeletion

اسم عرض التنبيه: نشاط نسخ الظل الاحتياطية لوحدات التخزين المشبوهة قابل للتنفيذ تم العثور عليه قيد التشغيل من موقع مريب

الخطورة: عالية

VM_SuspectExecutablePath

اسم عرض التنبيه: تم العثور على قابل للتنفيذ يعمل من موقع مشبوه تم الكشف عن مزيج شاذ من الأحرف الكبيرة والصغيرة في سطر الأوامر

الخطورة: معلوماتية

متوسط

VM_SuspectPhp

اسم عرض التنبيه: تم الكشف عن تنفيذ PHP مريب

الخطورة: متوسط

VM_SuspiciousCommandLineExecution

اسم عرض التنبيه: تنفيذ الأمر المشبوه

الخطورة: عالية

VM_SuspiciousScreenSaverExecution

اسم عرض التنبيه: تم تنفيذ عملية التوقف عن الشاشات المشبوهة

الخطورة: متوسط

VM_SvcHostRunInRareServiceGroup

اسم عرض التنبيه: تم تنفيذ مجموعة خدمة SVCHOST النادرة

الخطورة: معلوماتية

VM_SystemProcessInAbnormalContext

اسم عرض التنبيه: تم تنفيذ عملية النظام المشبوهة

الخطورة: متوسط

VM_ThreatIntelCommandLineSuspectDomain

اسم عرض التنبيه: تم الكشف عن اتصال محتمل بالموقع الضار

الخطورة: متوسط

VM_ThreatIntelSuspectLogon

اسم عرض التنبيه: تم الكشف عن تسجيل دخول من عنوان IP ضار

الخطورة: عالية

VM_VbScriptHttpObjectAllocation

اسم عرض التنبيه: تم الكشف عن تخصيص كائن VBScript HTTP

الخطورة: عالية

VM_TaskkillBurst

اسم عرض التنبيه: اندفاع إنهاء العملية المشبوهة

الخطورة: منخفض

VM_RunByPsExec

اسم عرض التنبيه: تم الكشف عن تنفيذ PsExec

الخطورة: معلوماتية

تكتيكات MITRE ATT CK

يمكن أن يساعدك فهم القصد من الهجوم على التحقيق في الحدث والإبلاغ عنه بسهولة أكبر. للمساعدة في هذه الجهود، تتضمن تنبيهات Microsoft Defender for Cloud تكتيكات MITRE مع العديد من التنبيهات.

وغالبًا ما يشار إلى سلسلة الخطوات التي تصف تطور الهجوم الإلكتروني من الاستطلاع إلى تصفية البيانات باسم "سلسلة القتل".

تستند أهداف سلسلة القتل المدعومة من Defender for Cloud إلى الإصدار 9 من مصفوفة MITRE ATT&CK والموضحة في الجدول أدناه.

الأسلوب	إصدار ATT&CK	‏‏الوصف
PreAttack		قد يكون PreAttack إما محاولة للوصول إلى مورد معين بغض النظر عن نية ضارة، أو محاولة فاشلة للوصول إلى نظام الهدف لجمع المعلومات قبل الاستغلال. عادة ما يتم الكشف عن هذه الخطوة كمحاولة، من خارج الشبكة، لمسح النظام المستهدف وتحديد نقطة دخول.
الوصول الأولي	V7، V9	الوصول الأولي هو المرحلة التي يتمكن فيها المهاجم من الحصول على موطئ قدم على المورد الذي تعرض للهجوم. وهذه الخطوة ذات صلة بمضيفي الحوسبة والموارد مثل حسابات المستخدمين والشهادات، إلخ. غالبًا ما تتمكن الجهات الفاعلة في التهديد بالتحكم في المورد بعد هذه المرحلة.
استمرار	V7، V9	الثبات هو أي وصول أو إجراء أو تغيير تكوين في نظام يعطي الجهة الفاعلة في التهديد وجودًا مستمرًا على هذا النظام. غالبًا ما تحتاج الجهات الفاعلة في التهديد إلى الحفاظ على الوصول إلى الأنظمة من خلال عمليات الإيقاف مثل إعادة تشغيل النظام أو فقدان بيانات الاعتماد أو حالات فشل أخرى تتطلب أداة وصول عن بُعد لإعادة التشغيل أو توفير باب خلفي بديل لهم لاستعادة الوصول.
⁧زيادة الامتيازات⁧⁩	V7، V9	تصعيد الامتيازات هو نتيجة الإجراءات التي تسمح للخصم بالحصول على مستوى أعلى من الأذونات على نظام أو شبكة اتصال. تتطلب بعض الأدوات أو الإجراءات مستوى أعلى من الامتياز للعمل، ومن المرجح أن تكون ضرورية في العديد من النقاط خلال العملية. يمكن أيضا اعتبار حسابات المستخدمين التي لديها أذونات للوصول إلى أنظمة محددة أو أداء وظائف محددة ضرورية للخصوم لتحقيق هدفهم تصعيدا للامتيازات.
التهرب الدفاعي⁧	V7، V9	يتكون التهرب الدفاعي من تقنيات قد يستخدمها الخصم للتهرب من الكشف أو تجنب الدفاعات الأخرى. في بعض الأحيان تكون هذه الإجراءات هي نفس (أو أشكال مختلفة من) التقنيات في فئات أخرى لها فائدة إضافية من تخريب دفاع معين أو التخفيف من شدته.
⁧الوصول إلى بيانات تسجيل الدخول⁧	V7، V9	يمثل الوصول إلى بيانات الاعتماد التقنيات الناتجة عن الوصول إلى بيانات اعتماد النظام أو المجال أو الخدمة المستخدمة داخل بيئة المؤسسة أو التحكم فيها. سيحاول الخصوم على الأرجح الحصول على بيانات اعتماد شرعية من حسابات المستخدمين أو المسؤول (مسؤول النظام المحلي أو مستخدمي المجال الذين يملكون حق وصول المسؤول) لاستخدامها داخل الشبكة. مع وصول كاف داخل الشبكة، يمكن للخصم إنشاء حسابات لاستخدامها في وقت لاحق داخل البيئة.
الاكتشاف⁧⁩	V7، V9	يتكون الاكتشاف من التقنيات التي تسمح للخصم باكتساب المعرفة حول النظام والشبكة الداخلية. وعندما يتمكن الخصوم من الوصول إلى نظام جديد، يجب عليهم أن يوجهوا أنفسهم إلى ما يسيطرون عليه الآن وما هي الفوائد التي يحققها التشغيل من ذلك النظام لهدفهم الحالي أو أهدافهم العامة أثناء الاقتحام. يوفر نظام التشغيل العديد من الأدوات الأصلية التي تساعد في مرحلة جمع المعلومات بعد التسوية.
الحركة الجانبية	V7، V9	تتألف الحركة الجانبيـة من تقنيات تمكّن الخصم من الوصول إلى النظم عن بُعد والتحكم فيها على الشبكة، ويمكن أن تشمل، ولكنها لا تشمل بالضرورة، تنفيذ أدوات على النظم البعيدة. ويمكن لتقنيات الحركة الجانبيّة أن تسمح للخصم بجمع المعلومات من نظام ما دون الحاجة إلى مزيد من الأدوات، مثل أداة الوصول عن بُعد. يمكن للخصم استخدام الحركة الجانبية لأغراض عديدة، بما في ذلك التنفيذ عن بعد للأدوات، أو التركيز على المزيد من الأنظمة، أو الوصول إلى معلومات أو ملفات محددة، أو الوصول إلى المزيد من بيانات الاعتماد، أو لإحداث تأثير.
تنفيذ	V7، V9	يمثل تكتيك التنفيذ التقنيات التي تؤدي إلى تنفيذ التعليمات البرمجية التي يتحكم فيها الخصم على نظام محلي أو بعيد. وغالبًا ما يستخدم هذا التكتيك بالاقتران مع الحركة الجانبية لتوسيع نطاق الوصول إلى الأنظمة البعيدة على الشبكة.
جمع	V7، V9	تتألف المجموعة من تقنيات تستخدم في تحديد وجمع المعلومات، مثل الملفات الحساسة، من الشبكة المستهدفة قبل التسلل. تغطي هذه الفئة أيضا المواقع على نظام أو شبكة حيث قد يبحث المتطفل عن معلومات لتهريبها.
⁧الأوامر والتحكم⁧	V7، V9	يمثل تكتيك القيادة والتحكم كيفية تواصل الخصوم مع الأنظمة الخاضعة لسيطرتهم داخل شبكة مستهدفة.
النقل غير المصرَّح به	V7، V9	يشير التسلل إلى التقنيات والسمات التي تنتج أو تساعد في إزالة الخصم للملفات والمعلومات من الشبكة المستهدفة. تغطي هذه الفئة أيضا المواقع على نظام أو شبكة حيث قد يبحث المتطفل عن معلومات لتهريبها.
تأثير	V7، V9	تحاول أحداث التأثير في المقام الأول تقليل توفر أو سلامة نظام أو خدمة أو شبكة بشكل مباشر، بما في ذلك معالجة البيانات للتأثير على الأعمال أو العمليات التشغيلية. وغالبًا ما يشير ذلك إلى تقنيات مثل برامج الفدية، التشويه، التلاعب بالبيانات، وغيرها.

إشعار

للتنبيهات في المعاينة: تتضمن شروط Azure Preview التكميلية شروطًا قانونية إضافية تنطبق على ميزات Azure الموجودة في الإصدار التجريبي أو المعاينة أو التي لم يتم إصدارها بعد في الإتاحة العامة.

الخطوات التالية

• تنبيهات الأمان في Microsoft Defender for Cloud
• إدارة التنبيهات الأمنية والاستجابة لها في Microsoft Defender for Cloud
• التصدير المستمر لبيانات Defender for Cloud