보안 경고 - 참조 가이드

  • 아티클

이 문서에서는 클라우드용 Microsoft Defender 가져올 수 있는 보안 경고와 사용하도록 설정한 모든 Microsoft Defender 계획을 나열합니다. 사용자 환경에 표시되는 경고는 보호하는 리소스 및 서비스와 사용자 지정된 구성에 따라 다릅니다.

이 페이지의 맨 아래에는 MITRE ATT&CK 매트릭스의 버전 9에 맞춰 정렬된 클라우드용 Microsoft Defender 킬 체인을 설명하는 테이블이 있습니다.

이러한 경고에 대응하는 방법을 알아봅니다.

경고를 내보내는 방법을 알아봅니다.

참고 항목

다른 원본의 경고가 표시되려면 시간이 다를 수 있습니다. 예를 들어 네트워크 트래픽을 분석해야 하는 경고는 가상 머신에서 실행되는 의심스러운 프로세스와 관련된 경고보다 더 오래 걸릴 수 있습니다.

Windows 컴퓨터에 대한 경고

서버용 Microsoft Defender 플랜 2는 엔드포인트용 Microsoft Defender에서 제공하는 기능 외에도 고유한 검색 및 경고를 제공합니다. Windows 머신에 대해 제공되는 경고는 다음과 같습니다.

추가 세부 정보 및 참고 사항

악성 IP에서 로그온이 감지되었습니다. [여러 번 발생함]

설명: 계정 [계정] 및 프로세스 [프로세스]에 대한 원격 인증이 성공적으로 수행되었지만 로그온 IP 주소(x.x.x.x)는 이전에 악의적이거나 매우 비정상적인 것으로 보고되었습니다. 성공적인 공격이 발생했을 수 있습니다. .scr 확장이 있는 파일은 화면 보호기 파일이며 일반적으로 Windows 시스템 디렉터리에서 상주하고 실행됩니다.

MITRE 전술: -

심각도: 높음

적응형 애플리케이션 제어 정책 위반이 감사됨

VM_AdaptiveApplicationControlWindowsViolationAudited

설명: 아래 사용자는 이 컴퓨터에서 조직의 애플리케이션 제어 정책을 위반하는 애플리케이션을 실행했습니다. 이로 인해 컴퓨터가 맬웨어 또는 애플리케이션 취약성에 노출될 수 있습니다.

MITRE 전술: 실행

심각도: 정보 제공

로컬 관리자 그룹에 게스트 계정 추가

설명: 호스트 데이터를 분석한 결과 공격자 활동과 강력하게 연관된 %{Compromised Host}의 로컬 관리istrators 그룹에 기본 제공 게스트 계정이 추가된 것을 발견했습니다.

MITRE 전술: -

심각도: 보통

이벤트 로그가 지워졌습니다.

설명: 컴퓨터 로그는 사용자별 의심스러운 이벤트 로그 지우기 작업을 나타냅니다. 컴퓨터의 '%{user name}' : '%{CompromisedEntity}'. %{log channel} 로그가 지워졌습니다.

MITRE 전술: -

심각도: 정보 제공

맬웨어 방지 작업 실패

설명: Microsoft Antimalware에서 맬웨어 또는 기타 잠재적으로 원치 않는 소프트웨어에 대한 작업을 수행할 때 오류가 발생했습니다.

MITRE 전술: -

심각도: 보통

맬웨어 방지 작업 수행됨

설명: Azure용 Microsoft 맬웨어 방지 프로그램은 맬웨어 또는 기타 잠재적으로 원치 않는 소프트웨어로부터 이 컴퓨터를 보호하기 위한 조치를 취했습니다.

MITRE 전술: -

심각도: 보통

가상 머신에서 맬웨어 방지 광범위한 파일 제외

(VM_AmBroadFilesExclusion)

설명: 광범위한 제외 규칙이 있는 맬웨어 방지 확장에서 파일 제외는 구독의 Azure Resource Manager 작업을 분석하여 가상 머신에서 검색되었습니다. 이렇게 제외되면 실제로 맬웨어 방지 보호를 사용하지 않도록 설정합니다. 공격자는 임의의 코드를 실행하거나 맬웨어로 컴퓨터를 감염시키는 동안 탐지를 방지하기 위해 가상 머신의 맬웨어 방지 검사에서 파일을 제외할 수 있습니다.

MITRE 전술: -

심각도: 보통

가상 머신에서 맬웨어 방지 비활성화 및 코드 실행

(VM_AmDisablementAndCodeExecution)

설명: 가상 머신에서 코드 실행과 동시에 맬웨어 방지 기능을 사용하지 않도록 설정합니다. 이는 구독에서 Azure Resource Manager 작업을 분석하면서 검색되었습니다. 공격자는 허가되지 않은 도구를 실행하거나 컴퓨터를 맬웨어로 감염시키는 동안 탐지되는 것을 방지하기 위해 맬웨어 방지 스캐너를 비활성화합니다.

MITRE 전술: -

심각도: 높음

가상 머신에서 맬웨어 방지가 사용하지 않도록 설정됨

(VM_AmDisablement)

설명: 가상 머신에서 맬웨어 방지 기능을 사용할 수 없습니다. 이는 구독에서 Azure Resource Manager 작업을 분석하면서 검색되었습니다. 공격자는 탐지되지 않도록 가상 머신에서 맬웨어 방지를 비활성화할 수 있습니다.

MITRE 전술: 방어 회피

심각도: 보통

가상 머신에서 맬웨어 방지 파일 제외 및 코드 실행

(VM_AmFileExclusionAndCodeExecution)

설명: 가상 머신의 사용자 지정 스크립트 확장을 통해 코드가 실행된 것과 동시에 맬웨어 방지 스캐너에서 제외된 파일입니다. 이는 구독에서 Azure Resource Manager 작업을 분석하면서 검색되었습니다. 공격자는 허가되지 않은 도구를 실행하거나 컴퓨터를 맬웨어로 감염시키는 동안 탐지되는 것을 방지하기 위해 가상 머신의 맬웨어 방지 검사에서 파일을 제외할 수 있습니다.

MITRE 전술: 방어 회피, 실행

심각도: 높음

가상 머신에서 맬웨어 방지 파일 제외 및 코드 실행

(VM_AmTempFileExclusionAndCodeExecution)

설명: 구독에서 Azure Resource Manager 작업을 분석하여 가상 머신에서 사용자 지정 스크립트 확장을 통한 코드 실행과 동시에 맬웨어 방지 확장 프로그램에서 임시 파일 제외가 감지되었습니다. 공격자는 임의의 코드를 실행하거나 맬웨어로 컴퓨터를 감염시키는 동안 탐지를 방지하기 위해 가상 머신의 맬웨어 방지 검사에서 파일을 제외할 수 있습니다.

MITRE 전술: 방어 회피, 실행

심각도: 높음

가상 머신에서 맬웨어 방지 파일 제외

(VM_AmTempFileExclusion)

설명: 가상 머신의 맬웨어 방지 스캐너에서 제외된 파일입니다. 이는 구독에서 Azure Resource Manager 작업을 분석하면서 검색되었습니다. 공격자는 허가되지 않은 도구를 실행하거나 컴퓨터를 맬웨어로 감염시키는 동안 탐지되는 것을 방지하기 위해 가상 머신의 맬웨어 방지 검사에서 파일을 제외할 수 있습니다.

MITRE 전술: 방어 회피

심각도: 보통

가상 머신에서 맬웨어 방지 실시간 보호가 사용하지 않도록 설정됨

(VM_AmRealtimeProtectionDisabled)

설명: 구독의 Azure Resource Manager 작업을 분석하여 가상 머신에서 맬웨어 방지 확장의 실시간 보호 비활성화가 검색되었습니다. 공격자는 임의 코드를 실행하거나 컴퓨터를 맬웨어로 감염시키는 동안 탐지되지 않도록 가상 머신의 맬웨어 방지 검사에서 실시간 보호를 비활성화할 수 있습니다.

MITRE 전술: 방어 회피

심각도: 보통

가상 머신에서 맬웨어 방지 실시간 보호가 일시적으로 사용하지 않도록 설정됨

(VM_AmTempRealtimeProtectionDisablement)

설명: 구독의 Azure Resource Manager 작업을 분석하여 가상 머신에서 맬웨어 방지 확장의 실시간 보호 임시 비활성화가 검색되었습니다. 공격자는 임의 코드를 실행하거나 컴퓨터를 맬웨어로 감염시키는 동안 탐지되지 않도록 가상 머신의 맬웨어 방지 검사에서 실시간 보호를 비활성화할 수 있습니다.

MITRE 전술: 방어 회피

심각도: 보통

가상 머신에서 코드를 실행하는 동안 맬웨어 방지 실시간 보호가 일시적으로 비활성화되었습니다.

(VM_AmRealtimeProtectionDisablementAndCodeExec)

설명: 사용자 지정 스크립트 확장을 통한 코드 실행과 동시에 맬웨어 방지 확장의 실시간 보호 임시 비활성화는 구독의 Azure Resource Manager 작업을 분석하여 가상 머신에서 검색되었습니다. 공격자는 임의 코드를 실행하거나 컴퓨터를 맬웨어로 감염시키는 동안 탐지되지 않도록 가상 머신의 맬웨어 방지 검사에서 실시간 보호를 비활성화할 수 있습니다.

MITRE 전술: -

심각도: 높음

(VM_AmMalwareCampaignRelatedExclusion)

설명: 맬웨어 방지 확장이 맬웨어 캠페인과 관련된 것으로 의심되는 특정 파일을 검색하지 못하도록 가상 머신에서 제외 규칙이 검색되었습니다. 구독에서 Azure Resource Manager 작업을 분석하여 규칙이 검색되었습니다. 공격자는 임의의 코드를 실행하거나 맬웨어로 컴퓨터를 감염시키는 동안 탐지를 방지하기 위해 맬웨어 방지 검사에서 파일을 제외할 수 있습니다.

MITRE 전술: 방어 회피

심각도: 보통

가상 머신에서 맬웨어 방지 임시로 사용하지 않도록 설정됨

(VM_AmTemporarilyDisablement)

설명: 가상 머신에서 맬웨어 방지를 일시적으로 사용하지 않도록 설정합니다. 이는 구독에서 Azure Resource Manager 작업을 분석하면서 검색되었습니다. 공격자는 탐지되지 않도록 가상 머신에서 맬웨어 방지를 비활성화할 수 있습니다.

MITRE 전술: -

심각도: 보통

가상 머신에서 맬웨어 방지 비정상적인 파일 제외

(VM_UnusualAmFileExclusion)

설명: 구독의 Azure Resource Manager 작업을 분석하여 가상 머신에서 맬웨어 방지 확장 프로그램에서 비정상적인 파일 제외가 감지되었습니다. 공격자는 임의의 코드를 실행하거나 맬웨어로 컴퓨터를 감염시키는 동안 탐지를 방지하기 위해 가상 머신의 맬웨어 방지 검사에서 파일을 제외할 수 있습니다.

MITRE 전술: 방어 회피

심각도: 보통

위협 인텔리전스에서 식별된 의심스러운 도메인과의 통신

(AzureDNS_ThreatIntelSuspectDo기본)

설명: 리소스에서 DNS 트랜잭션을 분석하고 위협 인텔리전스 피드로 식별된 알려진 악성 do기본와 비교하여 의심스러운 do기본와의 통신이 검색되었습니다. 공격자가 악성 도메인과의 통신을 수행하는 경우가 많고, 리소스가 손상되었음을 의미할 수 있습니다.

MITRE 전술: 초기 액세스, 지속성, 실행, 명령 및 제어, 악용

심각도: 보통

IIS 로그 파일 비활성화 및 삭제를 나타내는 검색된 작업

설명: 호스트 데이터를 분석한 결과 IIS 로그 파일이 비활성화 및/또는 삭제되는 것을 보여 주는 작업이 검색되었습니다.

MITRE 전술: -

심각도: 보통

명령줄에서 대문자와 소문자의 비정상적인 혼합이 감지됨

설명: %{Compromised Host}에서 호스트 데이터를 분석한 결과 대문자와 소문자가 비정상적으로 혼합된 명령줄이 검색되었습니다. 이러한 종류의 패턴은 무해할 수 있지만 손상된 호스트에서 관리 작업을 수행할 때 대/소문자 구분 또는 해시 기반 규칙 일치를 숨기려는 공격자의 전형이기도 합니다.

MITRE 전술: -

심각도: 보통

UAC를 우회하기 위해 악용될 수 있는 레지스트리 키에 대한 변경 내용이 감지됨

설명: %{Compromised Host}에서 호스트 데이터를 분석한 결과 UAC(사용자 계정 컨트롤)를 우회하기 위해 악용될 수 있는 레지스트리 키가 변경된 것을 발견했습니다. 이러한 종류의 구성은 무해할 수 있으며, 손상된 호스트에서 권한 없는(표준 사용자) 액세스에서 권한 있는(예: 관리자) 액세스로 전환하려고 할 때 일반적인 공격자 활동이기도 합니다.

MITRE 전술: -

심각도: 보통

기본 제공 certutil.exe 도구를 사용하는 실행 파일 디코딩이 감지됨

설명: %{Compromised Host}에서 호스트 데이터를 분석한 결과, 기본 제공 관리자 유틸리티인 certutil.exe 인증서 및 인증서 데이터 조작과 관련된 기본stream 용도 대신 실행 파일을 디코딩하는 데 사용되고 있음을 발견했습니다. 공격자는 합법적인 관리자 도구의 기능을 악용하여 악의적인 작업을 수행하는 것으로 알려져 있습니다. 예를 들어 certutil.exe와 같은 도구를 사용하여 악성 실행 파일을 디코딩한 다음 나중에 실행합니다.

MITRE 전술: -

심각도: 높음

WDigest UseLogonCredential 레지스트리 키 사용이 검색됨

설명: 호스트 데이터를 분석한 결과 레지스트리 키 HKLM\SYSTEM\ CurrentControlSet\Control\SecurityProviders\WDigest\ "UseLogonCredential"의 변경 내용이 검색되었습니다. 특히 이 키는 로그온 자격 증명을 LSA 메모리의 일반 텍스트에 저장할 수 있도록 업데이트되었습니다. 사용하도록 설정하면 공격자는 Mimikatz와 같은 자격 증명 수집 도구를 사용하여 LSA 메모리에서 지우기 텍스트 암호를 덤프할 수 있습니다.

MITRE 전술: -

심각도: 보통

명령줄 데이터에서 인코딩된 실행 파일이 검색됨

설명: %{Compromised Host}에서 호스트 데이터를 분석한 결과 base-64로 인코딩된 실행 파일이 검색되었습니다. 이는 이전에 일련의 명령을 통해 실행 파일을 즉석에서 생성하려고 시도하는 공격자와 연결되었으며, 개별 명령이 경고를 트리거하지 않도록 하여 침입 탐지 시스템을 회피하려고 시도했습니다. 이는 합법적인 활동일 수도 있고 손상된 호스트를 암시할 수도 있습니다.

MITRE 전술: -

심각도: 높음

난독 제거된 명령줄이 검색됨

설명: 공격자는 점점 더 복잡한 난독 처리 기술을 사용하여 기본 데이터에 대해 실행되는 검색을 회피합니다. %{Compromised Host}에서 호스트 데이터를 분석한 후 명령줄에서 의심스러운 난독 처리 표시기가 검색되었습니다.

MITRE 전술: -

심각도: 정보 제공

keygen 실행 파일의 가능한 실행이 검색됨

설명: %{Compromised Host}에서 호스트 데이터를 분석한 결과 이름이 keygen 도구를 나타내는 프로세스의 실행이 감지되었습니다. 이러한 도구는 일반적으로 소프트웨어 라이선스 메커니즘을 무효화하는 데 사용되지만 다운로드는 종종 다른 악성 소프트웨어와 함께 번들로 제공됩니다. 활동 그룹 GOLD는 이러한 keygen을 사용하여 손상시키는 호스트에 대한 백도어 액세스 권한을 은밀하게 얻는 것으로 알려져 있습니다.

MITRE 전술: -

심각도: 보통

맬웨어 삭제기의 가능한 실행이 감지됨

설명: %{Compromised Host}에서 호스트 데이터를 분석한 결과 이전에 피해자 호스트에 맬웨어를 설치하는 활동 그룹 GOLD의 방법 중 하나와 연결된 파일 이름이 검색되었습니다.

MITRE 전술: -

심각도: 높음

가능한 로컬 정찰 활동이 검색됨

설명: %{Compromised Host}에서 호스트 데이터를 분석한 결과 이전에 정찰 활동을 수행하는 활동 그룹 GOLD의 방법 중 하나와 연결된 systeminfo 명령의 조합이 검색되었습니다. 'systeminfo.exe'은 합법적인 Windows 도구이지만 여기에서 발생한 방식으로 두 번 연속으로 실행하는 경우는 드뭅니다.

MITRE 전술: -

심각도: 낮음

잠재적으로 의심스러운 Telegram 도구 사용이 감지됨

설명: 호스트 데이터를 분석하면 모바일 및 데스크톱 시스템 모두에 존재하는 무료 클라우드 기반 인스턴트 메시징 서비스인 Telegram의 설치가 표시됩니다. 공격자는 악의적인 이진 파일을 다른 컴퓨터, 휴대폰 또는 태블릿으로 전송하기 위해 이 서비스를 남용하는 것으로 알려져 있습니다.

MITRE 전술: -

심각도: 보통

설명: %{Compromised Host}에서 호스트 데이터를 분석한 결과 로그온할 때 사용자에게 법적 알림이 표시되는지 여부를 제어하는 레지스트리 키의 변경 내용이 검색되었습니다. Microsoft 보안 분석에 따르면 이는 호스트를 손상시킨 후 공격자가 수행하는 일반적인 활동입니다.

MITRE 전술: -

심각도: 낮음

HTA 및 PowerShell의 의심스러운 조합이 검색됨

설명: 공격자가 악의적인 PowerShell 명령을 시작하기 위해 서명된 Microsoft 이진 파일인 mshta.exe(Microsoft HTML 애플리케이션 호스트)를 사용합니다. 공격자는 종종 인라인 VBScript가 있는 HTA 파일을 사용합니다. 피해자가 HTA 파일을 찾아 실행하도록 선택하면 포함된 PowerShell 명령 및 스크립트가 실행됩니다. %{Compromised Host}에서 호스트 데이터를 분석한 결과, PowerShell 명령을 실행하는 mshta.exe가 감지되었습니다.

MITRE 전술: -

심각도: 보통

의심스러운 명령줄 인수가 검색됨

설명: %{Compromised Host}에서 호스트 데이터를 분석한 결과 활동 그룹 HYDROGEN에서 사용하는 역방향 셸과 함께 사용된 의심스러운 명령줄 인수가 검색되었습니다.

MITRE 전술: -

심각도: 높음

디렉터리에서 모든 실행 파일을 시작하는 데 사용되는 의심스러운 명령줄이 검색됨

설명: 호스트 데이터를 분석한 결과 %{Compromised Host}에서 실행 중인 의심스러운 프로세스가 감지되었습니다. 명령줄은 디렉터리에 상주할 수 있는 모든 실행 파일(*.exe)을 시작하려고 시도했음을 나타냅니다. 이는 손상된 호스트의 표시일 수 있습니다.

MITRE 전술: -

심각도: 보통

명령줄에서 의심스러운 자격 증명이 검색됨

설명: %{Compromised Host}에서 호스트 데이터를 분석한 결과 활동 그룹 BORON에서 파일을 실행하는 데 의심스러운 암호가 사용되는 것을 발견했습니다. 이 활동 그룹은 이 암호를 사용하여 피해자 호스트에서 Pirpi 맬웨어를 실행하는 것으로 알려져 있습니다.

MITRE 전술: -

심각도: 높음

의심스러운 문서 자격 증명이 검색됨

설명: %{Compromised Host}에서 호스트 데이터를 분석한 결과 맬웨어가 파일을 실행하는 데 사용되는 의심스러운 일반적인 사전 계산 암호 해시가 검색되었습니다. 활동 그룹 HYDROGEN는 이 암호를 사용하여 피해자 호스트에서 맬웨어를 실행하는 것으로 알려져 있습니다.

MITRE 전술: -

심각도: 높음

VBScript.Encode 명령의 의심스러운 실행이 감지됨

설명: %{Compromised Host}에서 호스트 데이터를 분석한 후 VBScript.Encode 명령의 실행이 감지되었습니다. 이렇게 하면 스크립트를 읽을 수 없는 텍스트로 인코딩하므로 사용자가 코드를 검사하기가 더 어려워집니다. Microsoft 위협 연구에 따르면 공격자는 감지 시스템을 피하기 위해 공격의 일부로 인코딩된 VBscript 파일을 사용하는 경우가 많습니다. 이는 합법적인 활동일 수도 있고 손상된 호스트를 암시할 수도 있습니다.

MITRE 전술: -

심각도: 보통

rundll32.exe 통해 의심스러운 실행이 감지됨

설명: %{Compromised Host}에서 호스트 데이터를 분석한 결과, 손상된 호스트에 첫 번째 단계 임플란트를 설치할 때 이전에 활동 그룹 GOLD에서 사용한 프로세스 명명 체계와 일치하는 일반적이지 않은 이름의 프로세스를 실행하는 데 사용되는 rundll32.exe 감지되었습니다.

MITRE 전술: -

심각도: 높음

의심스러운 파일 클린up 명령이 검색됨

설명: %{Compromised Host}에서 호스트 데이터를 분석한 결과 이전에 손상 후 자체 클린 수행 작업을 수행하는 활동 그룹 GOLD의 방법 중 하나와 연결된 systeminfo 명령의 조합이 검색되었습니다. 'systeminfo.exe'은 합법적인 Windows 도구이지만 연속해서 두 번 실행한 다음 여기에서 발생한 방식으로 삭제 명령을 실행하는 경우는 드뭅니다.

MITRE 전술: -

심각도: 높음

의심스러운 파일 생성이 감지됨

설명: %{Compromised Host}에서 호스트 데이터를 분석한 결과, 활동 그룹 BARIUM이 피해자 호스트에 대해 수행한 손상 후 작업을 이전에 표시한 프로세스의 생성 또는 실행이 감지되었습니다. 이 활동 그룹은 피싱 문서의 첨부 파일이 열린 후 손상된 호스트에 더 많은 맬웨어를 다운로드하기 위해 이 기술을 사용하는 것으로 알려져 있습니다.

MITRE 전술: -

심각도: 높음

의심스러운 명명된 파이프 통신이 검색됨

설명: %{Compromised Host}에서 호스트 데이터를 분석한 결과 Windows 콘솔 명령에서 로컬 명명된 파이프에 데이터가 기록되는 것을 감지했습니다. 명명된 파이프는 공격자가 악의적인 임플란트를 작업하고 통신하는 데 사용하는 채널로 알려져 있습니다. 이는 합법적인 활동일 수도 있고 손상된 호스트를 암시할 수도 있습니다.

MITRE 전술: -

심각도: 높음

의심스러운 네트워크 활동이 검색됨

설명: %{Compromised Host}에서 네트워크 트래픽을 분석한 결과 의심스러운 네트워크 활동이 감지되었습니다. 이러한 트래픽은 무해할 수 있지만 일반적으로 공격자가 도구 다운로드, 명령 및 제어 및 데이터 반출을 위해 악성 서버와 통신하는 데 사용됩니다. 일반적인 관련 공격자 활동에는 손상된 호스트에 원격 관리 도구를 복사하고 사용자 데이터를 반출하는 것이 포함됩니다.

MITRE 전술: -

심각도: 낮음

의심스러운 새 방화벽 규칙이 검색됨

설명: 호스트 데이터를 분석한 결과 의심스러운 위치에서 실행 파일의 트래픽을 허용하기 위해 netsh.exe 통해 새 방화벽 규칙이 추가되었습니다.

MITRE 전술: -

심각도: 보통

시스템의 보안 상태를 낮추기 위해 Cacls의 의심스러운 사용이 감지됨

설명: 공격자는 무차별 암호 대입, 스피어 피싱 등과 같은 무수한 방법을 사용하여 초기 타협을 달성하고 네트워크에서 발판을 마련합니다. 초기 손상이 달성되면 시스템의 보안 설정을 낮추는 단계를 수행하는 경우가 많습니다. 변경 액세스 제어 목록에 대한 Caclsâ€"short는 폴더 및 파일에 대한 보안 권한을 수정하는 데 자주 사용되는 Microsoft Windows 네이티브 명령줄 유틸리티입니다. 공격자가 시스템의 보안 설정을 낮추기 위해 이진 파일을 사용하는 데 많은 시간이 소요됩니다. 이 작업은 모든 사용자에게 ftp.exe, net.exe, wscript.exe 등과 같은 일부 시스템 이진 파일에 대한 모든 권한을 부여하여 수행됩니다. %{Compromised Host}에서 호스트 데이터를 분석한 결과, 시스템의 보안을 낮추기 위해 Cacls의 의심스러운 사용이 감지되었습니다.

MITRE 전술: -

심각도: 보통

FTP -s 스위치의 의심스러운 사용이 감지됨

설명: %{Compromised Host}에서 프로세스 생성 데이터를 분석한 후 FTP "-s:filename" 스위치의 사용을 감지했습니다. 이 스위치는 클라이언트가 실행할 FTP 스크립트 파일을 지정하는 데 사용됩니다. 맬웨어 또는 악성 프로세스는 이 FTP 스위치(-s:filename)를 사용하여 원격 FTP 서버에 연결하고 더 악의적인 이진 파일을 다운로드하도록 구성된 스크립트 파일을 가리키는 것으로 알려져 있습니다.

MITRE 전술: -

심각도: 보통

실행 코드를 시작하는 데 Pcalua.exe 의심스러운 사용이 감지됨

설명: %{Compromised Host}에서 호스트 데이터를 분석한 후 실행 코드를 시작하는 데 pcalua.exe 사용이 감지되었습니다. Pcalua.exe 프로그램을 설치하거나 실행하는 동안 호환성 문제를 감지하는 Microsoft Windows "프로그램 호환성 도우미"의 구성 요소입니다. 공격자는 합법적인 Windows 시스템 도구의 기능을 남용하여 악의적인 작업을 수행하는 것으로 알려져 있습니다. 예를 들어 -a 스위치와 함께 pcalua.exe 사용하여 로컬 또는 원격 공유에서 악의적인 실행 파일을 시작합니다.

MITRE 전술: -

심각도: 보통

중요한 서비스의 사용 안 됨이 검색됨

설명: %{Compromised Host}에서 호스트 데이터를 분석한 결과는 SharedAccess 또는 Windows 보안 앱과 같은 중요한 서비스를 중지하는 데 사용되는 "net.exe 중지" 명령의 실행을 감지했습니다. 이러한 서비스 중 하나가 중지되면 악의적인 동작이 표시될 수 있습니다.

MITRE 전술: -

심각도: 보통

설명: %{Compromised Host}에서 호스트 데이터를 분석한 결과 일반적으로 디지털 통화 마이닝과 연결된 프로세스 또는 명령의 실행이 감지되었습니다.

MITRE 전술: -

심각도: 높음

동적 PS 스크립트 생성

설명: %{Compromised Host}에서 호스트 데이터를 분석한 결과 PowerShell 스크립트가 동적으로 생성되는 것을 감지했습니다. 공격자는 때때로 ID 시스템을 피하기 위해 점진적으로 스크립트를 생성하는 이 방식을 사용합니다. 이는 합법적인 활동이거나 컴퓨터 중 하나가 손상되었음을 나타낼 수 있습니다.

MITRE 전술: -

심각도: 보통

의심스러운 위치에서 실행 중인 실행 파일

설명: 호스트 데이터를 분석한 결과 알려진 의심스러운 파일과 공통된 위치에서 실행되는 %{Compromised Host}에서 실행 파일이 검색되었습니다. 이 실행 파일은 합법적인 활동일 수도 있고 손상된 호스트를 암시할 수도 있습니다.

MITRE 전술: -

심각도: 높음

파일리스 공격 동작이 감지됨

(VM_FilelessAttackBehavior.Windows)

설명: 지정된 프로세스의 메모리에는 파일리스 공격에 일반적으로 사용되는 동작이 포함됩니다. 구체적인 동작은 다음과 같습니다.

  1. Shellcode는 일반적으로 소프트웨어 취약성 악용의 페이로드로 사용되는 코드의 작은 조각입니다.
  2. 활성 네트워크 연결. 자세한 내용은 아래의 NetworkConnections를 참조하세요.
  3. 보안에 중요한 운영 체제 인터페이스에 대한 함수 호출입니다. 참조된 OS 기능에 대해서는 아래 기능을 참조하세요.
  4. 동적으로 할당된 코드 세그먼트에서 시작된 스레드를 포함합니다. 이는 프로세스 삽입 공격의 일반적인 패턴입니다.

MITRE 전술: 방어 회피

심각도: 낮음

파일리스 공격 기법이 검색됨

(VM_FilelessAttackTechnique.Windows)

설명: 아래에 지정된 프로세스의 메모리에는 파일리스 공격 기술의 증거가 포함되어 있습니다. 파일리스 공격은 보안 소프트웨어에서 탐지를 회피하는 동안 공격자가 코드를 실행하는 데 사용됩니다. 구체적인 동작은 다음과 같습니다.

  1. Shellcode는 일반적으로 소프트웨어 취약성 악용의 페이로드로 사용되는 코드의 작은 조각입니다.
  2. 코드 삽입 공격과 같이 프로세스에 삽입된 실행 파일 이미지입니다.
  3. 활성 네트워크 연결. 자세한 내용은 아래의 NetworkConnections를 참조하세요.
  4. 보안에 중요한 운영 체제 인터페이스에 대한 함수 호출입니다. 참조된 OS 기능에 대해서는 아래 기능을 참조하세요.
  5. 프로세스 속이 빈, 적대 코드에 대 한 컨테이너 역할을 시스템에 합법적인 프로세스를 로드 하는 맬웨어에 의해 사용 되는 기술.
  6. 동적으로 할당된 코드 세그먼트에서 시작된 스레드를 포함합니다. 이는 프로세스 삽입 공격의 일반적인 패턴입니다.

MITRE 전술: 방어 회피, 실행

심각도: 높음

파일리스 공격 도구 키트가 검색됨

(VM_FilelessAttackToolkit.Windows)

설명: 지정된 프로세스의 메모리에는 파일리스 공격 도구 키트[toolkit 이름]이 포함됩니다. 파일리스 공격 도구 키트는 디스크에서 맬웨어의 추적을 최소화하거나 제거하는 기술을 사용하며 디스크 기반 맬웨어 검색 솔루션에서 검색 가능성을 크게 줄입니다. 구체적인 동작은 다음과 같습니다.

  1. 잘 알려진 도구 키트 및 암호화 마이닝 소프트웨어.
  2. Shellcode는 일반적으로 소프트웨어 취약성 악용의 페이로드로 사용되는 코드의 작은 조각입니다.
  3. 프로세스 메모리에 악성 실행 파일을 삽입했습니다.

MITRE 전술: 방어 회피, 실행

심각도: 보통

위험 수준이 높은 소프트웨어가 검색됨

설명: %{Compromised Host}에서 호스트 데이터를 분석한 후 과거에 맬웨어 설치와 연결된 소프트웨어의 사용량이 감지되었습니다. 악성 소프트웨어 배포에 사용되는 일반적인 기술은 이 경고에서 볼 수 있는 것과 같이 무해한 다른 도구로 패키지화하는 것입니다. 이러한 도구를 사용하면 백그라운드에서 맬웨어를 자동으로 설치할 수 있습니다.

MITRE 전술: -

심각도: 보통

로컬 관리자 그룹 구성원이 열거됨

설명: 컴퓨터 로그는 %{열거형 그룹 Do기본 이름}%{열거형 그룹 이름}에 대한 열거가 성공했음을 나타냅니다. 특히 %{Enumerating User Domain Name}%{Enumerating User Name}은(는) %{Enumerated Group Domain Name}%{Enumerated Group Name} 그룹의 구성원을 원격으로 열거했습니다. 이 활동은 합법적인 활동이거나 조직의 컴퓨터가 손상되어 %{vmname}을(를) 정찰하는 데 사용되었다는 표시일 수 있습니다.

MITRE 전술: -

심각도: 정보 제공

ZINC 서버 임플란트에서 만든 악의적인 방화벽 규칙[여러 번 확인됨]

설명: 알려진 행위자 ZINC와 일치하는 기술을 사용하여 방화벽 규칙을 만들었습니다. 이 규칙은 명령 및 제어 통신을 허용하기 위해 %{Compromised Host}에서 포트를 여는 데 사용되었을 수 있습니다. 이 동작은 오늘 [컴퓨터 이름] 컴퓨터에서 [x]번 발생했습니다.

MITRE 전술: -

심각도: 높음

악의적인 SQL 활동

설명: 컴퓨터 로그에 '%{process name}'이(가) 계정에 의해 실행되었음을 나타냅니다. %{user name}. 이 활동은 악의적인 것으로 간주됩니다.

MITRE 전술: -

심각도: 높음

쿼리된 여러 Do기본 계정

설명: 호스트 데이터를 분석한 결과 %{Compromised Host}에서 짧은 기간 내에 비정상적인 수의 고유 할 일기본 계정이 쿼리되고 있는 것으로 확인되었습니다. 이러한 종류의 활동은 합법적일 수 있지만 손상의 표시일 수도 있습니다.

MITRE 전술: -

심각도: 보통

가능한 자격 증명 덤프가 검색됨[여러 번 확인됨]

설명: 호스트 데이터를 분석한 결과 메모리에서 자격 증명을 추출할 수 있는 방식으로 사용되는 네이티브 windows 도구(예: sqldumper.exe)의 사용이 감지되었습니다. 공격자는 종종 이러한 기술을 사용하여 자격 증명을 추출한 다음, 횡적 이동 및 권한 상승에 추가로 사용합니다. 이 동작은 오늘 [컴퓨터 이름] 컴퓨터에서 [x]번 발생했습니다.

MITRE 전술: -

심각도: 보통

AppLocker를 바이패스하려는 잠재적 시도가 감지됨

설명: %{Compromised Host}에서 호스트 데이터를 분석한 결과 AppLocker 제한을 우회하려는 잠재적 시도가 감지되었습니다. AppLocker는 Windows 시스템에서 실행할 수 있는 실행 파일을 제한하는 정책을 구현하도록 구성할 수 있습니다. 이 경고에서 식별된 것과 유사한 명령줄 패턴은 이전에 신뢰할 수 있는 실행 파일(AppLocker 정책에서 허용됨)을 사용하여 신뢰할 수 없는 코드를 실행하여 AppLocker 정책을 우회하려는 공격자 시도와 연결되었습니다. 이는 합법적인 활동일 수도 있고 손상된 호스트를 암시할 수도 있습니다.

MITRE 전술: -

심각도: 높음

실행된 희귀 SVCHOST 서비스 그룹

(VM_SvcHostRunInRareServiceGroup)

설명: 시스템 프로세스 SVCHOST가 드문 서비스 그룹을 실행하는 것으로 확인되었습니다. 맬웨어는 종종 SVCHOST를 사용하여 악의적인 활동을 가장합니다.

MITRE 전술: 방어 회피, 실행

심각도: 정보 제공

고정 키 공격이 감지됨

설명: 호스트 데이터 분석은 공격자가 호스트 %{Compromised Host}에 백도어 액세스를 제공하기 위해 접근성 이진 파일(예: 고정 키, 화상 키보드, 내레이터)을 전복할 수 있음을 나타냅니다.

MITRE 전술: -

심각도: 보통

무차별 암호 대입 공격 성공

(VM_LoginBruteForceSuccess)

설명: 동일한 원본에서 여러 로그인 시도가 감지되었습니다. 일부는 호스트에 성공적으로 인증되었습니다. 이는 공격자가 유효한 계정 자격 증명을 찾기 위해 수많은 인증 시도를 수행하는 버스트 공격과 유사합니다.

MITRE 전술: 악용

심각도: 중간/높음

RDP 하이재킹을 암시하는 의심스러운 무결성 수준

설명: 호스트 데이터 분석에서 SYSTEM 권한으로 실행되는 tscon.exe 감지했습니다. 이는 컨텍스트를 이 호스트에 로그온한 다른 사용자로 전환하기 위해 이 이진 파일을 남용하는 공격자를 나타낼 수 있습니다. 더 많은 사용자 계정을 손상시키고 네트워크를 통해 횡적으로 이동하는 알려진 공격자 기술입니다.

MITRE 전술: -

심각도: 보통

의심 서비스 설치

설명: 호스트 데이터를 분석하여 서비스로 tscon.exe 설치를 감지했습니다. 이 이진 파일이 서비스로 시작되면 공격자가 RDP 연결을 하이재킹하여 이 호스트에서 로그온한 다른 사용자로 간단하게 전환할 수 있습니다. 더 많은 사용자 계정을 손상시키고 네트워크를 통해 횡적으로 이동하는 것으로 알려진 공격자 기술입니다.

MITRE 전술: -

심각도: 보통

의심되는 Kerberos 골든 티켓 공격 매개 변수 관찰됨

설명: 호스트 데이터 분석에서 Kerberos 골든 티켓 공격과 일치하는 명령줄 매개 변수를 검색했습니다.

MITRE 전술: -

심각도: 보통

의심스러운 계정 생성이 감지됨

설명: %{Compromised Host}에서 호스트 데이터를 분석한 결과 로컬 계정 %{의심스러운 계정 이름}의 생성 또는 사용이 감지되었습니다. 이 계정 이름은 표준 Windows 계정 또는 그룹 이름 '%{유사 계정 이름}'과 매우 유사합니다. 이것은 공격자가 만든 Rogue 계정일 수 있으며 관리자가 알아차릴 수 없도록 이름이 지정되어 있습니다.

MITRE 전술: -

심각도: 보통

의심스러운 활동이 감지됨

(VM_SuspiciousActivity)

설명: 호스트 데이터를 분석한 결과 지금까지 악의적인 활동과 연결된 %{machine name}에서 실행 중인 하나 이상의 프로세스 시퀀스가 검색되었습니다. 개별 명령이 무해해 보일 수 있지만 이러한 명령의 집계에 따라 경고가 점수가 매겨집니다. 이는 합법적인 활동이거나 손상된 호스트의 표시일 수 있습니다.

MITRE 전술: 실행

심각도: 보통

의심스러운 인증 활동

(VM_LoginBruteForceValidUserFailed)

설명: 성공하지는 못했지만 일부 사용된 계정은 호스트에서 인식했습니다. 이는 공격자가 호스트에 액세스할 유효한 자격 증명을 찾기 위해 미리 정의된 계정 이름 및 암호 사전을 사용하여 수많은 인증 시도를 수행하는 사전 공격과 유사합니다. 이는 일부 호스트 계정 이름이 잘 알려진 계정 이름 사전에 존재할 수도 있음을 나타냅니다.

MITRE 전술: 검색

심각도: 보통

의심스러운 코드 세그먼트가 감지됨

설명: 반사 삽입 및 프로세스 빈 공간과 같은 비표준 메서드를 사용하여 코드 세그먼트가 할당되었음을 나타냅니다. 경고는 보고된 코드 세그먼트의 기능 및 동작에 대한 컨텍스트를 제공하기 위해 처리된 코드 세그먼트의 더 많은 특성을 제공합니다.

MITRE 전술: -

심각도: 보통

의심스러운 이중 확장 파일이 실행됨

설명: 호스트 데이터 분석은 의심스러운 이중 확장이 있는 프로세스의 실행을 나타냅니다. 이 확장은 파일을 열어도 안전하다고 생각하도록 사용자를 속일 수 있으며 시스템에 맬웨어가 있음을 나타낼 수 있습니다.

MITRE 전술: -

심각도: 높음

Certutil을 사용한 의심스러운 다운로드가 감지됨[여러 번 확인됨]

설명: %{Compromised Host}에서 호스트 데이터를 분석한 결과 인증서 및 인증서 데이터 조작과 관련된 기본stream 목적 대신 이진 파일을 다운로드하기 위해 기본 제공 관리자 유틸리티인 certutil.exe 사용이 감지되었습니다. 공격자는 합법적인 관리자 도구의 기능을 악용하여 악의적인 작업을 수행하는 것으로 알려져 있습니다. 예를 들어 certutil.exe를 사용하여 악성 실행 파일을 다운로드 및 디코딩한 후 나중에 실행합니다. 이 동작은 오늘 [컴퓨터 이름] 컴퓨터에서 [x]번 발생했습니다.

MITRE 전술: -

심각도: 보통

Certutil을 사용한 의심스러운 다운로드가 감지됨

설명: %{Compromised Host}에서 호스트 데이터를 분석한 결과 인증서 및 인증서 데이터 조작과 관련된 기본stream 목적 대신 이진 파일을 다운로드하기 위해 기본 제공 관리자 유틸리티인 certutil.exe 사용이 감지되었습니다. 공격자는 합법적인 관리자 도구의 기능을 악용하여 악의적인 작업을 수행하는 것으로 알려져 있습니다. 예를 들어 certutil.exe를 사용하여 악성 실행 파일을 다운로드 및 디코딩한 후 나중에 실행합니다.

MITRE 전술: -

심각도: 보통

의심스러운 PowerShell 활동이 감지됨

설명: 호스트 데이터를 분석한 결과 알려진 의심스러운 스크립트와 공통된 기능이 있는 %{Compromised Host}에서 실행되는 PowerShell 스크립트가 검색되었습니다. 이 스크립트는 합법적인 활동이거나 손상된 호스트의 표시일 수 있습니다.

MITRE 전술: -

심각도: 높음

의심스러운 PowerShell cmdlet이 실행됨

설명: 호스트 데이터 분석은 알려진 악성 PowerShell PowerSploit cmdlet의 실행을 나타냅니다.

MITRE 전술: -

심각도: 보통

의심스러운 프로세스 실행 [여러 번 확인됨]

설명: 컴퓨터 로그는 의심스러운 프로세스 '%{의심스러운 프로세스}'가 컴퓨터에서 실행 중임을 나타내며, 공격자가 자격 증명에 액세스하려고 시도하는 경우가 많습니다. 이 동작은 오늘 [컴퓨터 이름] 컴퓨터에서 [x]번 발생했습니다.

MITRE 전술: -

심각도: 높음

의심스러운 프로세스가 실행됨

설명: 컴퓨터 로그는 의심스러운 프로세스 '%{의심스러운 프로세스}'가 컴퓨터에서 실행 중임을 나타내며, 공격자가 자격 증명에 액세스하려고 시도하는 경우가 많습니다.

MITRE 전술: -

심각도: 높음

의심스러운 프로세스 이름이 검색됨[여러 번 확인됨]

설명: %{Compromised Host}에서 호스트 데이터를 분석한 결과 이름이 의심스러운 프로세스를 감지했습니다(예: 알려진 공격자 도구에 해당하거나 일반 시야에서 숨기려는 공격자 도구를 암시하는 방식으로 명명됨). 이 프로세스는 합법적인 활동일 수도 있고 컴퓨터 중 하나가 손상되었음을 암시할 수도 있습니다. 이 동작은 오늘 [컴퓨터 이름] 컴퓨터에서 [x]번 발생했습니다.

MITRE 전술: -

심각도: 보통

의심스러운 프로세스 이름이 검색됨

설명: %{Compromised Host}에서 호스트 데이터를 분석한 결과 이름이 의심스러운 프로세스를 감지했습니다(예: 알려진 공격자 도구에 해당하거나 일반 시야에서 숨기려는 공격자 도구를 암시하는 방식으로 명명됨). 이 프로세스는 합법적인 활동일 수도 있고 컴퓨터 중 하나가 손상되었음을 암시할 수도 있습니다.

MITRE 전술: -

심각도: 보통

의심스러운 SQL 활동

설명: 컴퓨터 로그에 '%{process name}'이(가) 계정에 의해 실행되었음을 나타냅니다. %{user name}. 이 활동은 이 계정에서 일반적이지 않습니다.

MITRE 전술: -

심각도: 보통

의심스러운 SVCHOST 프로세스가 실행됨

설명: 시스템 프로세스 SVCHOST가 비정상적인 컨텍스트에서 실행되는 것으로 관찰되었습니다. 맬웨어는 종종 SVCHOST를 사용하여 악의적인 활동을 가장합니다.

MITRE 전술: -

심각도: 높음

의심스러운 시스템 프로세스가 실행됨

(VM_SystemProcessInAbnormalContext)

설명: 시스템 프로세스 %{process name}이(가) 비정상적인 컨텍스트에서 실행되는 것으로 확인되었습니다. 맬웨어는 이 프로세스 이름을 사용하여 악의적인 활동을 위장하는 경우가 많습니다.

MITRE 전술: 방어 회피, 실행

심각도: 높음

의심스러운 볼륨 섀도 복사 작업

설명: 호스트 데이터를 분석한 결과 리소스에서 섀도 복사본 삭제 작업이 감지되었습니다. VSC(볼륨 섀도 복사본)는 데이터 스냅샷을 저장하는 중요한 아티팩트입니다. 일부 맬웨어 및 특정 랜섬웨어는 VSC를 대상으로 지정하여 백업 전략을 파괴합니다.

MITRE 전술: -

심각도: 높음

의심스러운 WindowPosition 레지스트리 값이 검색됨

설명: %{Compromised Host}에서 호스트 데이터를 분석한 결과 데스크톱의 보이지 않는 섹션에서 애플리케이션 창을 숨길 수 있는 WindowPosition 레지스트리 구성 변경 시도가 감지되었습니다. 이는 합법적인 활동이거나 손상된 머신의 표시일 수 있습니다. 이 유형의 활동은 이전에 Win32/OneSystemCare 및 Win32/SystemHealer 및 Win32/Creprote와 같은 맬웨어와 같은 알려진 광고웨어(또는 원치 않는 소프트웨어)와 연결되었습니다. WindowPosition 값이 201329664 설정되면(16진수: X-축=0c00 및 Y-축=0c00에 해당하는 16진수: 0c00 0x0c00) 표시되는 시작 메뉴/작업 표시줄 아래 보기에서 숨겨진 영역에 있는 사용자 화면의 보이지 않는 섹션에 콘솔 앱의 창이 배치됩니다. 알려진 용의자 16진수 값에는 c000c000이 포함되지만 제한되지는 않습니다.

MITRE 전술: -

심각도: 낮음

의심스러운 명명된 프로세스가 검색됨

설명: %{Compromised Host}에서 호스트 데이터를 분석한 결과 이름이 매우 유사하지만 매우 일반적으로 실행되는 프로세스(%{프로세스 이름과 유사)와 다른 프로세스가 검색되었습니다. 이 프로세스는 무해할 수 있지만 악의적인 도구의 이름을 합법적인 프로세스 이름과 비슷하게 지정하여 공격자가 눈에 잘 띄지 않게 숨기는 것으로 알려져 있습니다.

MITRE 전술: -

심각도: 보통

가상 머신에서 비정상적인 구성이 재설정됨

(VM_VMAccessUnusualConfigReset)

설명: 구독의 Azure Resource Manager 작업을 분석하여 가상 머신에서 비정상적인 구성 재설정이 검색되었습니다. 이 작업은 합법적일 수 있지만 공격자는 VM 액세스 확장을 활용하여 가상 머신에서 구성을 다시 설정하여 손상시킬 수 있습니다.

MITRE 전술: 자격 증명 액세스

심각도: 보통

비정상적인 프로세스 실행이 감지됨

설명: %{Compromised Host}에서 호스트 데이터를 분석한 결과 비정상적인 %{User Name}에 의한 프로세스 실행이 감지되었습니다. %{User Name}과 같은 계정은 제한된 작업 집합을 수행하는 경향이 있으며, 이 실행은 문자가 부족하여 의심스러울 수 있습니다.

MITRE 전술: -

심각도: 높음

가상 머신에서 비정상적인 사용자 암호 재설정

(VM_VMAccessUnusualPasswordReset)

설명: 구독에서 Azure Resource Manager 작업을 분석하여 가상 머신에서 비정상적인 사용자 암호 재설정이 검색되었습니다. 이 작업은 합법적일 수 있지만 공격자는 VM 액세스 확장을 활용하여 가상 머신에서 로컬 사용자의 자격 증명을 다시 설정하여 손상시킬 수 있습니다.

MITRE 전술: 자격 증명 액세스

심각도: 보통

가상 머신에서 비정상적인 사용자 SSH 키 재설정됨

(VM_VMAccessUnusualSSHReset)

설명: 구독에서 Azure Resource Manager 작업을 분석하여 가상 머신에서 비정상적인 사용자 SSH 키 재설정이 검색되었습니다. 이 작업은 합법적일 수 있지만 공격자는 VM 액세스 확장을 활용하여 가상 머신에서 사용자 계정의 SSH 키를 다시 설정하여 손상시킬 수 있습니다.

MITRE 전술: 자격 증명 액세스

심각도: 보통

VBScript HTTP 개체 할당이 검색됨

설명: 명령 프롬프트를 사용하여 VBScript 파일을 만드는 것이 감지되었습니다. 다음 스크립트에는 HTTP 개체 할당 명령이 포함되어 있습니다. 이 작업은 악성 파일을 다운로드하는 데 사용할 수 있습니다.

가상 머신에서 GPU 확장의 의심스러운 설치(미리 보기)

(VM_GPUDriverExtensionUnusualExecution)

설명: 구독의 Azure Resource Manager 작업을 분석하여 가상 머신에서 GPU 확장의 의심스러운 설치가 검색되었습니다. 공격자는 GPU 드라이버 확장을 사용하여 Azure Resource Manager를 통해 가상 머신에 GPU 드라이버를 설치하고 크립토재킹을 수행할 수 있습니다.

MITRE 전술: 영향

심각도: 낮음

Linux 머신에 대한 경고

서버용 Microsoft Defender 플랜 2는 엔드포인트용 Microsoft Defender에서 제공하는 기능 외에도 고유한 검색 및 경고를 제공합니다. Linux 머신에 대해 제공되는 경고는 다음과 같습니다.

추가 세부 정보 및 참고 사항

기록 파일이 지워짐

설명: 호스트 데이터를 분석하면 명령 기록 로그 파일이 지워졌음이 표시됩니다. 공격자는 추적을 커버하기 위해 이 작업을 수행할 수 있습니다. 사용자가 '%{user name}'을(를) 수행했습니다.

MITRE 전술: -

심각도: 보통

적응형 애플리케이션 제어 정책 위반이 감사됨

(VM_AdaptiveApplicationControlLinuxViolationAudited)

설명: 아래 사용자는 이 컴퓨터에서 조직의 애플리케이션 제어 정책을 위반하는 애플리케이션을 실행했습니다. 이로 인해 컴퓨터가 맬웨어 또는 애플리케이션 취약성에 노출될 수 있습니다.

MITRE 전술: 실행

심각도: 정보 제공

가상 머신에서 맬웨어 방지 광범위한 파일 제외

(VM_AmBroadFilesExclusion)

설명: 광범위한 제외 규칙이 있는 맬웨어 방지 확장에서 파일 제외는 구독의 Azure Resource Manager 작업을 분석하여 가상 머신에서 검색되었습니다. 이렇게 제외되면 실제로 맬웨어 방지 보호를 사용하지 않도록 설정합니다. 공격자는 임의의 코드를 실행하거나 맬웨어로 컴퓨터를 감염시키는 동안 탐지를 방지하기 위해 가상 머신의 맬웨어 방지 검사에서 파일을 제외할 수 있습니다.

MITRE 전술: -

심각도: 보통

가상 머신에서 맬웨어 방지 비활성화 및 코드 실행

(VM_AmDisablementAndCodeExecution)

설명: 가상 머신에서 코드 실행과 동시에 맬웨어 방지 기능을 사용하지 않도록 설정합니다. 이는 구독에서 Azure Resource Manager 작업을 분석하면서 검색되었습니다. 공격자는 허가되지 않은 도구를 실행하거나 컴퓨터를 맬웨어로 감염시키는 동안 탐지되는 것을 방지하기 위해 맬웨어 방지 스캐너를 비활성화합니다.

MITRE 전술: -

심각도: 높음

가상 머신에서 맬웨어 방지가 사용하지 않도록 설정됨

(VM_AmDisablement)

설명: 가상 머신에서 맬웨어 방지 기능을 사용할 수 없습니다. 이는 구독에서 Azure Resource Manager 작업을 분석하면서 검색되었습니다. 공격자는 탐지되지 않도록 가상 머신에서 맬웨어 방지를 비활성화할 수 있습니다.

MITRE 전술: 방어 회피

심각도: 보통

가상 머신에서 맬웨어 방지 파일 제외 및 코드 실행

(VM_AmFileExclusionAndCodeExecution)

설명: 가상 머신의 사용자 지정 스크립트 확장을 통해 코드가 실행된 것과 동시에 맬웨어 방지 스캐너에서 제외된 파일입니다. 이는 구독에서 Azure Resource Manager 작업을 분석하면서 검색되었습니다. 공격자는 허가되지 않은 도구를 실행하거나 컴퓨터를 맬웨어로 감염시키는 동안 탐지되는 것을 방지하기 위해 가상 머신의 맬웨어 방지 검사에서 파일을 제외할 수 있습니다.

MITRE 전술: 방어 회피, 실행

심각도: 높음

가상 머신에서 맬웨어 방지 파일 제외 및 코드 실행

(VM_AmTempFileExclusionAndCodeExecution)

설명: 구독에서 Azure Resource Manager 작업을 분석하여 가상 머신에서 사용자 지정 스크립트 확장을 통한 코드 실행과 동시에 맬웨어 방지 확장 프로그램에서 임시 파일 제외가 감지되었습니다. 공격자는 임의의 코드를 실행하거나 맬웨어로 컴퓨터를 감염시키는 동안 탐지를 방지하기 위해 가상 머신의 맬웨어 방지 검사에서 파일을 제외할 수 있습니다.

MITRE 전술: 방어 회피, 실행

심각도: 높음

가상 머신에서 맬웨어 방지 파일 제외

(VM_AmTempFileExclusion)

설명: 가상 머신의 맬웨어 방지 스캐너에서 제외된 파일입니다. 이는 구독에서 Azure Resource Manager 작업을 분석하면서 검색되었습니다. 공격자는 허가되지 않은 도구를 실행하거나 컴퓨터를 맬웨어로 감염시키는 동안 탐지되는 것을 방지하기 위해 가상 머신의 맬웨어 방지 검사에서 파일을 제외할 수 있습니다.

MITRE 전술: 방어 회피

심각도: 보통

가상 머신에서 맬웨어 방지 실시간 보호가 사용하지 않도록 설정됨

(VM_AmRealtimeProtectionDisabled)

설명: 구독의 Azure Resource Manager 작업을 분석하여 가상 머신에서 맬웨어 방지 확장의 실시간 보호 비활성화가 검색되었습니다. 공격자는 임의 코드를 실행하거나 컴퓨터를 맬웨어로 감염시키는 동안 탐지되지 않도록 가상 머신의 맬웨어 방지 검사에서 실시간 보호를 비활성화할 수 있습니다.

MITRE 전술: 방어 회피

심각도: 보통

가상 머신에서 맬웨어 방지 실시간 보호가 일시적으로 사용하지 않도록 설정됨

(VM_AmTempRealtimeProtectionDisablement)

설명: 구독의 Azure Resource Manager 작업을 분석하여 가상 머신에서 맬웨어 방지 확장의 실시간 보호 임시 비활성화가 검색되었습니다. 공격자는 임의 코드를 실행하거나 컴퓨터를 맬웨어로 감염시키는 동안 탐지되지 않도록 가상 머신의 맬웨어 방지 검사에서 실시간 보호를 비활성화할 수 있습니다.

MITRE 전술: 방어 회피

심각도: 보통

가상 머신에서 코드를 실행하는 동안 맬웨어 방지 실시간 보호가 일시적으로 비활성화되었습니다.

(VM_AmRealtimeProtectionDisablementAndCodeExec)

설명: 사용자 지정 스크립트 확장을 통한 코드 실행과 동시에 맬웨어 방지 확장의 실시간 보호 임시 비활성화는 구독의 Azure Resource Manager 작업을 분석하여 가상 머신에서 검색되었습니다. 공격자는 임의 코드를 실행하거나 컴퓨터를 맬웨어로 감염시키는 동안 탐지되지 않도록 가상 머신의 맬웨어 방지 검사에서 실시간 보호를 비활성화할 수 있습니다.

MITRE 전술: -

심각도: 높음

(VM_AmMalwareCampaignRelatedExclusion)

설명: 맬웨어 방지 확장이 맬웨어 캠페인과 관련된 것으로 의심되는 특정 파일을 검색하지 못하도록 가상 머신에서 제외 규칙이 검색되었습니다. 구독에서 Azure Resource Manager 작업을 분석하여 규칙이 검색되었습니다. 공격자는 임의의 코드를 실행하거나 맬웨어로 컴퓨터를 감염시키는 동안 탐지를 방지하기 위해 맬웨어 방지 검사에서 파일을 제외할 수 있습니다.

MITRE 전술: 방어 회피

심각도: 보통

가상 머신에서 맬웨어 방지 임시로 사용하지 않도록 설정됨

(VM_AmTemporarilyDisablement)

설명: 가상 머신에서 맬웨어 방지를 일시적으로 사용하지 않도록 설정합니다. 이는 구독에서 Azure Resource Manager 작업을 분석하면서 검색되었습니다. 공격자는 탐지되지 않도록 가상 머신에서 맬웨어 방지를 비활성화할 수 있습니다.

MITRE 전술: -

심각도: 보통

가상 머신에서 맬웨어 방지 비정상적인 파일 제외

(VM_UnusualAmFileExclusion)

설명: 구독의 Azure Resource Manager 작업을 분석하여 가상 머신에서 맬웨어 방지 확장 프로그램에서 비정상적인 파일 제외가 감지되었습니다. 공격자는 임의의 코드를 실행하거나 맬웨어로 컴퓨터를 감염시키는 동안 탐지를 방지하기 위해 가상 머신의 맬웨어 방지 검사에서 파일을 제외할 수 있습니다.

MITRE 전술: 방어 회피

심각도: 보통

랜섬웨어와 유사한 동작이 감지됨[여러 번 확인됨]

설명: %{Compromised Host}에서 호스트 데이터를 분석한 결과, 사용자가 시스템 또는 개인 파일에 액세스하지 못하게 할 수 있는 알려진 랜섬웨어와 유사한 파일의 실행을 감지하고 액세스 권한을 회복하기 위해 몸값 지불을 요구합니다. 이 동작은 오늘 [컴퓨터 이름] 컴퓨터에서 [x]번 발생했습니다.

MITRE 전술: -

심각도: 높음

위협 인텔리전스에서 식별된 의심스러운 도메인과의 통신

(AzureDNS_ThreatIntelSuspectDo기본)

설명: 리소스에서 DNS 트랜잭션을 분석하고 위협 인텔리전스 피드로 식별된 알려진 악성 do기본와 비교하여 의심스러운 do기본와의 통신이 검색되었습니다. 공격자가 악성 도메인과의 통신을 수행하는 경우가 많고, 리소스가 손상되었음을 의미할 수 있습니다.

MITRE 전술: 초기 액세스, 지속성, 실행, 명령 및 제어, 악용

심각도: 보통

마이너 이미지가 있는 컨테이너가 감지됨

(VM_MinerInContainerImage)

설명: 컴퓨터 로그는 디지털 통화 마이닝과 연결된 이미지를 실행하는 Docker 컨테이너의 실행을 나타냅니다.

MITRE 전술: 실행

심각도: 높음

명령줄에서 대문자와 소문자의 비정상적인 혼합이 감지됨

설명: %{Compromised Host}에서 호스트 데이터를 분석한 결과 대문자와 소문자가 비정상적으로 혼합된 명령줄이 검색되었습니다. 이러한 종류의 패턴은 무해할 수 있지만 손상된 호스트에서 관리 작업을 수행할 때 대/소문자 구분 또는 해시 기반 규칙 일치를 숨기려는 공격자의 전형이기도 합니다.

MITRE 전술: -

심각도: 보통

알려진 악성 원본에서 검색된 파일 다운로드

설명: 호스트 데이터를 분석한 결과 %{Compromised Host}의 알려진 맬웨어 원본에서 파일 다운로드가 감지되었습니다.

MITRE 전술: -

심각도: 보통

의심스러운 네트워크 활동이 검색됨

설명: %{Compromised Host}에서 네트워크 트래픽을 분석한 결과 의심스러운 네트워크 활동이 감지되었습니다. 이러한 트래픽은 무해할 수 있지만 일반적으로 공격자가 도구 다운로드, 명령 및 제어 및 데이터 반출을 위해 악성 서버와 통신하는 데 사용됩니다. 일반적인 관련 공격자 활동에는 손상된 호스트에 원격 관리 도구를 복사하고 사용자 데이터를 반출하는 것이 포함됩니다.

MITRE 전술: -

심각도: 낮음

설명: %{Compromised Host}에서 호스트 데이터를 분석한 결과 일반적으로 디지털 통화 마이닝과 연결된 프로세스 또는 명령의 실행이 감지되었습니다.

MITRE 전술: -

심각도: 높음

감사된 로깅 사용 안 됨[여러 번 본 경우]

설명: Linux 감사 시스템은 시스템에 대한 보안 관련 정보를 추적하는 방법을 제공합니다. 시스템에서 발생하는 이벤트에 대한 정보를 최대한 많이 기록합니다. 감사된 로깅을 사용하지 않도록 설정하면 시스템에서 사용되는 보안 정책 위반 검색을 방해할 수 있습니다. 이 동작은 오늘 [컴퓨터 이름] 컴퓨터에서 [x]번 발생했습니다.

MITRE 전술: -

심각도: 낮음

Xorg 취약성 악용 [여러 번 발생함]

설명: %{Compromised Host}에서 호스트 데이터를 분석한 후 의심스러운 인수로 Xorg 사용자를 검색했습니다. 공격자는 권한 상승 시도에서 이 기술을 사용할 수 있습니다. 이 동작은 오늘 [컴퓨터 이름] 컴퓨터에서 [x]번 발생했습니다.

MITRE 전술: -

심각도: 보통

SSH 무차별 암호 대입 공격 실패

(VM_SshBruteForceFailed)

설명: 다음 공격자에서 실패한 무차별 암호 대입 공격이 감지되었습니다. %{Attackers}. 공격자가 다음 사용자 이름으로 호스트에 액세스하려고 했습니다. %{호스트 시도에 실패한 로그인에 사용된 계정}.

MITRE 전술: 검색

심각도: 보통

파일리스 공격 동작이 검색됨

(VM_FilelessAttackBehavior.Linux)

설명: 아래에 지정된 프로세스의 메모리에는 파일리스 공격에 일반적으로 사용되는 동작이 포함됩니다. 구체적인 동작은 다음과 같습니다. {list of observed behaviors}

MITRE 전술: 실행

심각도: 낮음

파일리스 공격 기술이 검색됨

(VM_FilelessAttackTechnique.Linux)

설명: 아래에 지정된 프로세스의 메모리에는 파일리스 공격 기술의 증거가 포함되어 있습니다. 파일리스 공격은 보안 소프트웨어에서 탐지를 회피하는 동안 공격자가 코드를 실행하는 데 사용됩니다. 구체적인 동작은 다음과 같습니다. {list of observed behaviors}

MITRE 전술: 실행

심각도: 높음

파일리스 공격 도구 키트가 검색됨

(VM_FilelessAttackToolkit.Linux)

설명: 아래에 지정된 프로세스의 메모리에는 파일리스 공격 도구 키트 {ToolKitName}이 포함되어 있습니다. 파일리스 공격 도구 키트는 일반적으로 파일 시스템에 존재하지 않으므로 기존 바이러스 백신 소프트웨어에서 검색하기가 어렵습니다. 구체적인 동작은 다음과 같습니다. {list of observed behaviors}

MITRE 전술: 방어 회피, 실행

심각도: 높음

숨겨진 파일 실행이 검색됨

설명: 호스트 데이터를 분석하면 숨겨진 파일이 %{user name}에 의해 실행되었음을 나타냅니다. 이 활동은 합법적인 활동이거나 손상된 호스트의 표시일 수 있습니다.

MITRE 전술: -

심각도: 정보 제공

새 SSH 키가 추가됨[여러 번 볼 수 있습니다]

(VM_SshKeyAddition)

설명: 권한 있는 키 파일에 새 SSH 키가 추가되었습니다. 이 동작은 오늘 [컴퓨터 이름] 컴퓨터에서 [x]번 발생했습니다.

MITRE 전술: 지속성

심각도: 낮음

새 SSH 키가 추가됨

설명: 권한 있는 키 파일에 새 SSH 키가 추가되었습니다.

MITRE 전술: -

심각도: 낮음

가능한 백도어 감지 [여러 번 본]

설명: 호스트 데이터를 분석한 결과 의심스러운 파일이 다운로드된 후 구독의 %{Compromised Host}에서 실행되는 것을 발견했습니다. 이 활동은 이전에 백도어 설치와 연결되었습니다. 이 동작은 오늘 [컴퓨터 이름] 컴퓨터에서 [x]번 발생했습니다.

MITRE 전술: -

심각도: 보통

메일 서버를 악용할 수 있음이 감지됨

(VM_MailserverExploitation)

설명: %{Compromised Host}에서 호스트 데이터를 분석한 후 메일 서버 계정에서 비정상적인 실행이 감지됨

MITRE 전술: 악용

심각도: 보통

악성 웹 셸이 검색되었을 수 있음

설명: %{Compromised Host}에서 호스트 데이터를 분석한 결과 가능한 웹 셸이 검색되었습니다. 공격자는 지속성 또는 추가 악용을 위해 손상된 컴퓨터에 웹 셸을 업로드하는 경우가 많습니다.

MITRE 전술: -

심각도: 보통

암호화 방법을 사용하여 가능한 암호 변경이 감지됨[여러 번 확인됨]

설명: %{Compromised Host}에서 호스트 데이터를 분석한 후 암호화 방법을 사용하여 암호 변경을 감지했습니다. 공격자는 이 변경을 수행하여 계속 액세스하고 손상 후 지속성을 얻을 수 있습니다. 이 동작은 오늘 [컴퓨터 이름] 컴퓨터에서 [x]번 발생했습니다.

MITRE 전술: -

심각도: 보통

디지털 통화 마이닝과 관련된 프로세스가 감지됨[여러 번 확인됨]

설명: %{Compromised Host}에서 호스트 데이터를 분석한 결과 일반적으로 디지털 통화 마이닝과 연결된 프로세스의 실행이 감지되었습니다. 이 동작은 현재 [컴퓨터 이름] 컴퓨터에서 100번 이상 표시되었습니다.

MITRE 전술: -

심각도: 보통

디지털 통화 마이닝 관련 프로세스가 감지됨

설명: 호스트 데이터 분석에서 일반적으로 디지털 통화 마이닝과 연결된 프로세스의 실행을 감지했습니다.

MITRE 전술: 악용, 실행

심각도: 보통

Python 인코딩된 다운로더가 검색됨[여러 번 확인됨]

설명: %{Compromised Host}에서 호스트 데이터를 분석한 결과 원격 위치에서 코드를 다운로드하고 실행하는 인코딩된 Python의 실행이 감지되었습니다. 악의적인 활동의 표시일 수 있습니다. 이 동작은 오늘 [컴퓨터 이름] 컴퓨터에서 [x]번 발생했습니다.

MITRE 전술: -

심각도: 낮음

호스트에서 캡처된 스크린샷[여러 번 발생함]

설명: %{Compromised Host}에서 호스트 데이터를 분석한 결과 화면 캡처 도구의 사용자가 검색되었습니다. 공격자는 이러한 도구를 사용하여 프라이빗 데이터에 액세스할 수 있습니다. 이 동작은 오늘 [컴퓨터 이름] 컴퓨터에서 [x]번 발생했습니다.

MITRE 전술: -

심각도: 낮음

Shellcode가 검색됨[여러 번 확인됨]

설명: %{Compromised Host}에서 호스트 데이터를 분석한 후 명령줄에서 셸코드가 생성되는 것을 감지했습니다. 이 프로세스는 합법적인 활동일 수도 있고 컴퓨터 중 하나가 손상되었음을 암시할 수도 있습니다. 이 동작은 오늘 [컴퓨터 이름] 컴퓨터에서 [x]번 발생했습니다.

MITRE 전술: -

심각도: 보통

성공적인 SSH 무차별 암호 대입 공격

(VM_SshBruteForceSuccess)

설명: 호스트 데이터를 분석한 결과 무차별 암호 대입 공격이 성공적으로 감지되었습니다. IP %{Attacker source IP}에 대해 여러 번의 로그인 시도가 있었습니다. 호스트에 성공적으로 로그인하는 데 사용된 %{Accounts 사용자와 함께 해당 IP에서 성공적으로 로그인했습니다.}. 즉, 악의적인 행위자가 호스트를 손상시키고 제어할 수 있습니다.

MITRE 전술: 악용

심각도: 높음

의심스러운 계정 생성이 감지됨

설명: %{Compromised Host}에서 호스트 데이터를 분석한 결과 로컬 계정 %{의심스러운 계정 이름}의 생성 또는 사용이 감지되었습니다. 이 계정 이름은 표준 Windows 계정 또는 그룹 이름 '%{유사 계정 이름}'과 매우 유사합니다. 이것은 공격자가 만든 Rogue 계정일 수 있으며 관리자가 알아차릴 수 없도록 이름이 지정되어 있습니다.

MITRE 전술: -

심각도: 보통

의심스러운 커널 모듈이 검색됨[여러 번 확인됨]

설명: %{Compromised Host}에서 호스트 데이터를 분석한 결과 커널 모듈로 로드되는 공유 개체 파일이 검색되었습니다. 이는 합법적인 활동이거나 컴퓨터 중 하나가 손상되었음을 나타낼 수 있습니다. 이 동작은 오늘 [컴퓨터 이름] 컴퓨터에서 [x]번 발생했습니다.

MITRE 전술: -

심각도: 보통

의심스러운 암호 액세스 [여러 번 본]

설명: 호스트 데이터 분석에서 %{Compromised Host}에서 암호화된 사용자 암호에 대한 의심스러운 액세스가 감지되었습니다. 이 동작은 오늘 [컴퓨터 이름] 컴퓨터에서 [x]번 발생했습니다.

MITRE 전술: -

심각도: 정보 제공

의심스러운 암호 액세스

설명: 호스트 데이터 분석에서 %{Compromised Host}에서 암호화된 사용자 암호에 대한 의심스러운 액세스가 감지되었습니다.

MITRE 전술: -

심각도: 정보 제공

Kubernetes 대시보드에 대한 의심스러운 요청

(VM_KubernetesDashboard)

설명: 컴퓨터 로그는 Kubernetes 대시보드에 의심스러운 요청이 수행되었음을 나타냅니다. 요청은 노드에서 실행되는 컨테이너 중 하나에서 Kubernetes 노드에서 전송되었을 수 있습니다. 이 동작은 의도적일 수 있지만 노드가 손상된 컨테이너를 실행하고 있음을 나타낼 수도 있습니다.

MITRE 전술: LateralMovement

심각도: 보통

가상 머신에서 비정상적인 구성이 재설정됨

(VM_VMAccessUnusualConfigReset)

설명: 구독의 Azure Resource Manager 작업을 분석하여 가상 머신에서 비정상적인 구성 재설정이 검색되었습니다. 이 작업은 합법적일 수 있지만 공격자는 VM 액세스 확장을 활용하여 가상 머신에서 구성을 다시 설정하여 손상시킬 수 있습니다.

MITRE 전술: 자격 증명 액세스

심각도: 보통

가상 머신에서 비정상적인 사용자 암호 재설정

(VM_VMAccessUnusualPasswordReset)

설명: 구독에서 Azure Resource Manager 작업을 분석하여 가상 머신에서 비정상적인 사용자 암호 재설정이 검색되었습니다. 이 작업은 합법적일 수 있지만 공격자는 VM 액세스 확장을 활용하여 가상 머신에서 로컬 사용자의 자격 증명을 다시 설정하여 손상시킬 수 있습니다.

MITRE 전술: 자격 증명 액세스

심각도: 보통

가상 머신에서 비정상적인 사용자 SSH 키 재설정됨

(VM_VMAccessUnusualSSHReset)

설명: 구독에서 Azure Resource Manager 작업을 분석하여 가상 머신에서 비정상적인 사용자 SSH 키 재설정이 검색되었습니다. 이 작업은 합법적일 수 있지만 공격자는 VM 액세스 확장을 활용하여 가상 머신에서 사용자 계정의 SSH 키를 다시 설정하여 손상시킬 수 있습니다.

MITRE 전술: 자격 증명 액세스

심각도: 보통

가상 머신에서 GPU 확장의 의심스러운 설치(미리 보기)

(VM_GPUDriverExtensionUnusualExecution)

설명: 구독의 Azure Resource Manager 작업을 분석하여 가상 머신에서 GPU 확장의 의심스러운 설치가 검색되었습니다. 공격자는 GPU 드라이버 확장을 사용하여 Azure Resource Manager를 통해 가상 머신에 GPU 드라이버를 설치하고 크립토재킹을 수행할 수 있습니다.

MITRE 전술: 영향

심각도: 낮음

DNS에 대한 경고

Important

2023년 8월 1일부터 DNS용 Defender에 대한 기존 구독을 사용하는 고객은 서비스를 계속 사용할 수 있지만 새 구독자는 서버용 Defender P2의 일부로 의심스러운 DNS 활동에 대한 경고를 받게 됩니다.

추가 세부 정보 및 참고 사항

비정상적인 네트워크 프로토콜 사용

(AzureDNS_ProtocolAnomaly)

설명: %{CompromisedEntity}에서 DNS 트랜잭션을 분석한 후 비정상적인 프로토콜 사용량이 검색되었습니다. 이러한 트래픽은 무해할 수 있지만 네트워크 트래픽 필터링을 우회하기 위해 이 일반적인 프로토콜을 남용했음을 나타낼 수 있습니다. 일반적인 관련 공격자 활동에는 손상된 호스트에 원격 관리 도구를 복사하고 사용자 데이터를 반출하는 것이 포함됩니다.

MITRE 전술: 반출

심각도: -

익명 네트워크 활동

(AzureDNS_DarkWeb)

설명: %{CompromisedEntity}에서 DNS 트랜잭션을 분석한 결과 익명 네트워크 활동이 감지되었습니다. 이러한 활동은 합법적인 사용자 동작일 수 있지만 공격자가 네트워크 통신의 추적 및 지문을 회피하기 위해 자주 사용됩니다. 일반적인 관련 공격자 활동에는 악성 소프트웨어 또는 원격 관리 도구의 다운로드 및 실행이 포함될 수 있습니다.

MITRE 전술: 반출

심각도: 낮음

웹 프록시를 사용하는 익명 네트워크 활동

(AzureDNS_DarkWebProxy)

설명: %{CompromisedEntity}에서 DNS 트랜잭션을 분석한 결과 익명 네트워크 활동이 감지되었습니다. 이러한 활동은 합법적인 사용자 동작일 수 있지만 공격자가 네트워크 통신의 추적 및 지문을 회피하기 위해 자주 사용됩니다. 일반적인 관련 공격자 활동에는 악성 소프트웨어 또는 원격 관리 도구의 다운로드 및 실행이 포함될 수 있습니다.

MITRE 전술: 반출

심각도: 낮음

의심스러운 싱크홀과 통신을 시도했습니다기본

(AzureDNS_SinkholedDo기본)

설명: %{CompromisedEntity}의 DNS 트랜잭션 분석에서 싱크홀된 do기본 대한 요청이 검색되었습니다. 이러한 활동은 합법적인 사용자 동작일 수 있지만 악성 소프트웨어의 다운로드 또는 실행을 나타내는 경우가 많습니다. 일반적인 관련 공격자 활동에는 추가 악성 소프트웨어 또는 원격 관리 도구의 다운로드 및 실행이 포함될 수 있습니다.

MITRE 전술: 반출

심각도: 보통

피싱 가능성이 있는 도메인과 통신

(AzureDNS_PhishingDo기본)

설명: %{CompromisedEntity}에서 DNS 트랜잭션을 분석한 결과 가능한 피싱 수행에 대한 요청이 검색되었습니다기본. 이러한 활동은 무해할 수 있지만 공격자가 원격 서비스에 자격 증명을 수집하기 위해 자주 수행됩니다. 일반적인 관련 공격자 활동에는 합법적인 서비스에 대한 자격 증명 악용이 포함될 수 있습니다.

MITRE 전술: 반출

심각도: 정보 제공

알고리즘적으로 생성된 의심스러운 통신을 수행합니다기본

(AzureDNS_Do기본GenerationAlgorithm)

설명: %{CompromisedEntity}에서 DNS 트랜잭션을 분석한 결과 do기본 생성 알고리즘의 사용 가능성을 감지했습니다. 이러한 활동은 심각하지 않을 수 있지만 네트워크 모니터링 및 필터링을 피하기 위해 공격자가 자주 수행합니다. 일반적인 관련 공격자 활동에는 악성 소프트웨어 또는 원격 관리 도구의 다운로드 및 실행이 포함될 수 있습니다.

MITRE 전술: 반출

심각도: 정보 제공

위협 인텔리전스에서 식별된 의심스러운 도메인과의 통신

(AzureDNS_ThreatIntelSuspectDo기본)

설명: 리소스에서 DNS 트랜잭션을 분석하고 위협 인텔리전스 피드로 식별된 알려진 악성 do기본와 비교하여 의심스러운 do기본와의 통신이 검색되었습니다. 공격자가 악성 도메인과의 통신을 수행하는 경우가 많고, 리소스가 손상되었음을 의미할 수 있습니다.

MITRE 전술: 초기 액세스

심각도: 보통

의심스러운 임의 도메인 이름과 통신

(AzureDNS_RandomizedDo기본)

설명: %{CompromisedEntity}에서 DNS 트랜잭션을 분석한 결과 임의로 생성된 do기본 이름의 사용이 감지되었습니다. 이러한 활동은 심각하지 않을 수 있지만 네트워크 모니터링 및 필터링을 피하기 위해 공격자가 자주 수행합니다. 일반적인 관련 공격자 활동에는 악성 소프트웨어 또는 원격 관리 도구의 다운로드 및 실행이 포함될 수 있습니다.

MITRE 전술: 반출

심각도: 정보 제공

디지털 통화 마이닝 활동

(AzureDNS_CurrencyMining)

설명: %{CompromisedEntity}에서 DNS 트랜잭션을 분석한 결과 디지털 통화 마이닝 작업이 감지되었습니다. 이러한 활동은 합법적인 사용자 동작일 수 있지만, 리소스가 손상된 후에 공격자가 수행하는 경우가 많습니다. 일반적으로 관련된 공격자 활동에는 일반적인 마이닝 도구의 다운로드 및 실행이 포함될 수 있습니다.

MITRE 전술: 반출

심각도: 낮음

네트워크 침입 감지 서명 활성화

(AzureDNS_SuspiciousDo기본)

설명: %{CompromisedEntity}에서 DNS 트랜잭션을 분석한 결과 알려진 악성 네트워크 서명이 검색되었습니다. 이러한 활동은 합법적인 사용자 동작일 수 있지만 악성 소프트웨어의 다운로드 또는 실행을 나타내는 경우가 많습니다. 일반적인 관련 공격자 활동에는 추가 악성 소프트웨어 또는 원격 관리 도구의 다운로드 및 실행이 포함될 수 있습니다.

MITRE 전술: 반출

심각도: 보통

DNS 터널을 통해 가능한 데이터 다운로드

(AzureDNS_DataInfiltration)

설명: %{CompromisedEntity}에서 DNS 트랜잭션을 분석한 결과 가능한 DNS 터널이 검색되었습니다. 이러한 활동은 합법적인 사용자 동작일 수 있지만 공격자가 네트워크 모니터링 및 필터링을 회피하기 위해 자주 수행됩니다. 일반적인 관련 공격자 활동에는 악성 소프트웨어 또는 원격 관리 도구의 다운로드 및 실행이 포함될 수 있습니다.

MITRE 전술: 반출

심각도: 낮음

DNS 터널을 통해 가능한 데이터 반출

(AzureDNS_DataExfiltration)

설명: %{CompromisedEntity}에서 DNS 트랜잭션을 분석한 결과 가능한 DNS 터널이 검색되었습니다. 이러한 활동은 합법적인 사용자 동작일 수 있지만 공격자가 네트워크 모니터링 및 필터링을 회피하기 위해 자주 수행됩니다. 일반적인 관련 공격자 활동에는 악성 소프트웨어 또는 원격 관리 도구의 다운로드 및 실행이 포함될 수 있습니다.

MITRE 전술: 반출

심각도: 낮음

DNS 터널을 통한 데이터 전송 가능

(AzureDNS_DataObfuscation)

설명: %{CompromisedEntity}에서 DNS 트랜잭션을 분석한 결과 가능한 DNS 터널이 검색되었습니다. 이러한 활동은 합법적인 사용자 동작일 수 있지만 공격자가 네트워크 모니터링 및 필터링을 회피하기 위해 자주 수행됩니다. 일반적인 관련 공격자 활동에는 악성 소프트웨어 또는 원격 관리 도구의 다운로드 및 실행이 포함될 수 있습니다.

MITRE 전술: 반출

심각도: 낮음

Azure VM 확장에 대한 경고

이러한 경고는 Azure 가상 머신 확장의 의심스러운 활동을 검색하는 데 초점을 맞추고 가상 머신에서 악의적인 활동을 손상시키고 수행하려는 공격자의 시도에 대한 인사이트를 제공합니다.

Azure 가상 머신 확장은 가상 머신에서 배포 후 실행되고 구성, 자동화, 모니터링, 보안 등의 기능을 제공하는 소규모 애플리케이션입니다. 확장은 강력한 도구이지만 위협 행위자가 다음과 같은 다양한 악의적인 의도에 사용할 수 있습니다.

  • 데이터 수집 및 모니터링

  • 높은 권한으로 코드 실행 및 구성 배포

  • 자격 증명 재설정 및 관리자 만들기

  • 디스크 암호화

Azure VM 확장의 남용에 대한 최신 보호 클라우드용 Defender 대해 자세히 알아봅니다.

구독에 GPU 확장을 설치하는 데 의심스러운 오류 발생(미리 보기)

(VM_GPUExtensionSuspiciousFailure)

설명: 지원되지 않는 VM에 GPU 확장을 설치하려는 의심스러운 의도입니다. 이 확장은 그래픽 프로세서가 장착된 가상 머신에 설치해야 하며, 이 경우 가상 머신에는 이러한 기능이 장착되어 있지 않습니다. 이러한 실패는 악의적인 공격자가 암호화 마이닝 목적으로 해당 확장을 여러 번 설치할 때 나타날 수 있습니다.

MITRE 전술: 영향

심각도: 보통

가상 머신에서 의심스러운 GPU 확장 설치가 탐지됨(미리 보기)

(VM_GPUDriverExtensionUnusualExecution)

설명: 구독에서 Azure Resource Manager 작업을 분석하여 가상 머신에서 GPU 확장의 의심스러운 설치가 검색되었습니다. 공격자는 GPU 드라이버 확장을 사용하여 Azure Resource Manager를 통해 가상 머신에 GPU 드라이버를 설치하고 크립토재킹을 수행할 수 있습니다. 이 활동은 보안 주체의 동작이 일반적인 패턴에서 벗어나므로 의심스러운 것으로 간주됩니다.

MITRE 전술: 영향

심각도: 낮음

가상 머신에서 의심스러운 스크립트가 포함된 실행 명령이 탐지됨(미리 보기)

(VM_RunCommandSuspiciousScript)

설명: 구독에서 Azure Resource Manager 작업을 분석하여 가상 머신에서 의심스러운 스크립트가 있는 실행 명령이 검색되었습니다. 공격자는 실행 명령을 사용하여 Azure Resource Manager를 통해 가상 머신에서 높은 권한으로 악성 코드를 실행할 수 있습니다. 해당 스크립트는 특정 부분이 잠재적으로 악성인 것으로 식별되어 의심스러운 것으로 간주됩니다.

MITRE 전술: 실행

심각도: 높음

가상 머신에서 의심스러운 무단 실행 명령 사용이 탐지됨(미리 보기)

(VM_RunCommandSuspiciousFailure)

설명: 실행 명령의 의심스러운 무단 사용이 실패했으며 구독에서 Azure Resource Manager 작업을 분석하여 가상 머신에서 검색되었습니다. 공격자는 실행 명령을 사용하여 Azure Resource Manager를 통해 가상 머신에서 높은 권한으로 악성 코드를 실행하려고 시도할 수 있습니다. 해당 작업은 이전에 흔히 볼 수 없었으므로 의심스러운 것으로 간주됩니다.

MITRE 전술: 실행

심각도: 보통

가상 머신에서 의심스러운 실행 명령 사용이 탐지됨(미리 보기)

(VM_RunCommandSuspiciousUsage)

설명: 구독에서 Azure Resource Manager 작업을 분석하여 가상 머신에서 실행 명령의 의심스러운 사용이 감지되었습니다. 공격자는 실행 명령을 사용하여 Azure Resource Manager를 통해 가상 머신에서 높은 권한으로 악성 코드를 실행할 수 있습니다. 해당 작업은 이전에 흔히 볼 수 없었으므로 의심스러운 것으로 간주됩니다.

MITRE 전술: 실행

심각도: 낮음

가상 머신에서 여러 모니터링 또는 데이터 수집 확장의 의심스러운 사용이 탐지됨(미리 보기)

(VM_SuspiciousMultiExtensionUsage)

설명: 구독에서 Azure Resource Manager 작업을 분석하여 가상 머신에서 여러 모니터링 또는 데이터 수집 확장의 의심스러운 사용이 감지되었습니다. 공격자는 구독에서 데이터 수집, 네트워크 트래픽 모니터링 등에 대해 이러한 확장을 악용할 수 있습니다. 해당 사용은 이전에 흔히 볼 수 없었으므로 의심스러운 것으로 간주됩니다.

MITRE 전술: 정찰

심각도: 보통

가상 머신에서 의심스러운 디스크 암호화 확장 설치가 탐지됨(미리 보기)

(VM_DiskEncryptionSuspiciousUsage)

설명: 구독의 Azure Resource Manager 작업을 분석하여 가상 머신에서 디스크 암호화 확장의 의심스러운 설치가 검색되었습니다. 공격자는 랜섬웨어 활동을 수행하기 위해 디스크 암호화 확장을 악용하여 Azure Resource Manager를 통해 가상 머신에 전체 디스크 암호화를 배포할 수 있습니다. 해당 작업은 이전에 일반적으로 볼 수 없었고 확장 설치 수가 많으므로 의심스러운 것으로 간주됩니다.

MITRE 전술: 영향

심각도: 보통

가상 머신에서 VMAccess 확장의 의심스러운 사용이 감지됨(미리 보기)

(VM_VMAccessSuspiciousUsage)

설명: 가상 머신에서 VMAccess 확장의 의심스러운 사용이 감지되었습니다. 공격자는 액세스 권한을 다시 설정하거나 관리 사용자를 관리하여 높은 권한으로 가상 머신에 액세스하고 손상하기 위해 VMAccess 확장을 악용할 수 있습니다. 이 작업은 보안 주체의 행동이 일반적인 패턴에서 벗어나고 확장 설치 수가 많으므로 의심스러운 것으로 간주됩니다.

MITRE 전술: 지속성

심각도: 보통

가상 머신에서 의심스러운 스크립트가 포함된 DSC(Desired State Configuration) 확장이 탐지됨(미리 보기)

(VM_DSCExtensionSuspiciousScript)

설명: 구독의 Azure Resource Manager 작업을 분석하여 가상 머신에서 의심스러운 스크립트를 사용하는 DSC(필요한 상태 구성) 확장이 검색되었습니다. 공격자는 DSC(Desired State Configuration) 확장을 사용하여 가상 머신에서 높은 권한으로 지속성 메커니즘, 악성 스크립트 등과 같은 악의적인 구성을 배포할 수 있습니다. 해당 스크립트는 특정 부분이 잠재적으로 악성인 것으로 식별되어 의심스러운 것으로 간주됩니다.

MITRE 전술: 실행

심각도: 높음

가상 머신에서 DSC(Desired State Configuration) 확장의 의심스러운 사용이 탐지됨(미리 보기)

(VM_DSCExtensionSuspiciousUsage)

설명: 구독의 Azure Resource Manager 작업을 분석하여 가상 머신에서 DSC(필요한 상태 구성) 확장의 의심스러운 사용이 감지되었습니다. 공격자는 DSC(Desired State Configuration) 확장을 사용하여 가상 머신에서 높은 권한으로 지속성 메커니즘, 악성 스크립트 등과 같은 악의적인 구성을 배포할 수 있습니다. 이 작업은 보안 주체의 행동이 일반적인 패턴에서 벗어나고 확장 설치 수가 많으므로 의심스러운 것으로 간주됩니다.

MITRE 전술: 실행

심각도: 낮음

가상 머신에서 의심스러운 스크립트가 포함된 사용자 지정 스크립트 확장이 탐지됨(미리 보기)

(VM_CustomScriptExtensionSuspiciousCmd)

설명: 구독에서 Azure Resource Manager 작업을 분석하여 가상 머신에서 의심스러운 스크립트가 있는 사용자 지정 스크립트 확장이 검색되었습니다. 공격자는 사용자 지정 스크립트 확장을 사용하여 Azure Resource Manager를 통해 가상 머신에서 높은 권한으로 악성 코드를 실행할 수 있습니다. 해당 스크립트는 특정 부분이 잠재적으로 악성인 것으로 식별되어 의심스러운 것으로 간주됩니다.

MITRE 전술: 실행

심각도: 높음

가상 머신에서 사용자 지정 스크립트 확장의 의심스러운 실행 실패

(VM_CustomScriptExtensionSuspiciousFailure)

설명: 구독의 Azure Resource Manager 작업을 분석하여 가상 머신에서 사용자 지정 스크립트 확장의 의심스러운 오류가 감지되었습니다. 이러한 오류는 이 확장에서 실행하는 악의적인 스크립트와 연결될 수 있습니다.

MITRE 전술: 실행

심각도: 보통

가상 머신에서 사용자 지정 스크립트 확장의 비정상적인 삭제

(VM_CustomScriptExtensionUnusualDeletion)

설명: 구독의 Azure Resource Manager 작업을 분석하여 가상 머신에서 사용자 지정 스크립트 확장의 비정상적인 삭제가 검색되었습니다. 공격자는 사용자 지정 스크립트 확장을 사용하여 Azure Resource Manager를 통해 가상 머신에서 악성 코드를 실행할 수 있습니다.

MITRE 전술: 실행

심각도: 보통

가상 머신에서 사용자 지정 스크립트 확장의 비정상적인 실행

(VM_CustomScriptExtensionUnusualExecution)

설명: 구독의 Azure Resource Manager 작업을 분석하여 가상 머신에서 사용자 지정 스크립트 확장의 비정상적인 실행이 감지되었습니다. 공격자는 사용자 지정 스크립트 확장을 사용하여 Azure Resource Manager를 통해 가상 머신에서 악성 코드를 실행할 수 있습니다.

MITRE 전술: 실행

심각도: 보통

가상 머신에서 의심스러운 진입점이 있는 사용자 지정 스크립트 확장

(VM_CustomScriptExtensionSuspiciousEntryPoint)

설명: 구독의 Azure Resource Manager 작업을 분석하여 가상 머신에서 의심스러운 진입점이 있는 사용자 지정 스크립트 확장이 검색되었습니다. 진입점은 의심스러운 GitHub 리포지토리를 나타냅니다. 공격자는 사용자 지정 스크립트 확장을 사용하여 Azure Resource Manager를 통해 가상 머신에서 악성 코드를 실행할 수 있습니다.

MITRE 전술: 실행

심각도: 보통

가상 머신에서 의심스러운 페이로드가 있는 사용자 지정 스크립트 확장

(VM_CustomScriptExtensionSuspiciousPayload)

설명: 의심스러운 GitHub 리포지토리의 페이로드가 있는 사용자 지정 스크립트 확장은 구독의 Azure Resource Manager 작업을 분석하여 가상 머신에서 검색되었습니다. 공격자는 사용자 지정 스크립트 확장을 사용하여 Azure Resource Manager를 통해 가상 머신에서 악성 코드를 실행할 수 있습니다.

MITRE 전술: 실행

심각도: 보통

Azure 앱 서비스에 대한 경고

추가 세부 정보 및 참고 사항

Windows App Service에서 Linux 명령을 실행하려는 시도

(AppServices_LinuxCommandOnWindows)

설명: App Service 프로세스 분석을 통해 Windows App Service에서 Linux 명령을 실행하려는 시도가 감지되었습니다. 이 작업은 웹 애플리케이션에서 실행되었습니다. 이 동작은 일반적인 웹 애플리케이션에서 취약성을 악용하는 캠페인 중에 종종 표시됩니다. (적용 대상: Windows의 App Service)

MITRE 전술: -

심각도: 보통

Azure App Service FTP 인터페이스에 연결된 IP가 위협 인텔리전스에 있음

(AppServices_IncomingTiClientIpFtp)

설명: Azure 앱 서비스 FTP 로그는 위협 인텔리전스 피드에서 발견된 원본 주소의 연결을 나타냅니다. 이 연결 도중 나열된 페이지에 사용자가 액세스했습니다. (적용 대상: Windows의 App Service 및 Linux의 App Service)

MITRE 전술: 초기 액세스

심각도: 보통

높은 권한 명령을 실행하려고 시도했습니다.

(AppServices_HighPrivilegeCommand)

설명: App Service 프로세스 분석을 통해 높은 권한이 필요한 명령을 실행하려는 시도가 감지되었습니다. 이 명령은 웹 애플리케이션 컨텍스트에서 실행되었습니다. 이 동작은 합법적일 수 있지만 웹 애플리케이션에서는 악의적인 활동에서도 이 동작이 관찰됩니다. (적용 대상: Windows의 App Service)

MITRE 전술: -

심각도: 보통

위협 인텔리전스에서 식별된 의심스러운 도메인과의 통신

(AzureDNS_ThreatIntelSuspectDo기본)

설명: 리소스에서 DNS 트랜잭션을 분석하고 위협 인텔리전스 피드로 식별된 알려진 악성 do기본와 비교하여 의심스러운 do기본와의 통신이 검색되었습니다. 공격자가 악성 도메인과의 통신을 수행하는 경우가 많고, 리소스가 손상되었음을 의미할 수 있습니다.

MITRE 전술: 초기 액세스, 지속성, 실행, 명령 및 제어, 악용

심각도: 보통

비정상적인 IP 주소에서 웹 페이지로 커넥트이 검색됨

(AppServices_AnomalousPageAccess)

설명: Azure 앱 서비스 활동 로그는 나열된 원본 IP 주소에서 중요한 웹 페이지에 대한 비정상적인 연결을 나타냅니다. 이는 누군가가 웹앱 관리 페이지에 무차별 암호 대입 공격을 시도하고 있음을 나타낼 수 있습니다. 합법적인 사용자가 새 IP 주소를 사용한 결과일 수도 있습니다. 원본 IP 주소를 신뢰할 수 있는 경우 이 리소스에 대해 이 경고를 안전하게 표시하지 않을 수 있습니다. 보안 경고를 표시하지 않는 방법을 알아보려면 클라우드용 Microsoft Defender의 경고 표시 안 함을 참조하세요. (적용 대상: Windows의 App Service 및 Linux의 App Service)

MITRE 전술: 초기 액세스

심각도: 낮음

App Service 리소스에 대한 현수 DNS 레코드 검색됨

(AppServices_DanglingDo기본)

설명: 최근에 삭제된 App Service 리소스("현수 DNS" 항목이라고도 함)를 가리키는 DNS 레코드가 검색되었습니다. 이로 인해 하위 도메인 인수에 취약합니다. 하위 도메인 인수를 통해 악의적인 행위자는 조직의 도메인에 대한 트래픽을 악의적인 활동을 수행하는 사이트로 리디렉션할 수 있습니다. (적용 대상: Windows의 App Service 및 Linux의 App Service)

MITRE 전술: -

심각도: 높음

명령줄 데이터에서 인코딩된 실행 파일이 검색됨

(AppServices_Base64EncodedExecutableInCommandLineParams)

설명: {Compromised host}에서 호스트 데이터를 분석한 결과 base-64로 인코딩된 실행 파일이 검색되었습니다. 이는 이전에 일련의 명령을 통해 실행 파일을 즉석에서 생성하려고 시도하는 공격자와 연결되었으며, 개별 명령이 경고를 트리거하지 않도록 하여 침입 탐지 시스템을 회피하려고 시도했습니다. 이는 합법적인 활동일 수도 있고 손상된 호스트를 암시할 수도 있습니다. (적용 대상: Windows의 App Service)

MITRE 전술: 방어 회피, 실행

심각도: 높음

알려진 악성 원본에서 검색된 파일 다운로드

(AppServices_SuspectDownload)

설명: 호스트 데이터를 분석한 결과 호스트의 알려진 맬웨어 원본에서 파일 다운로드가 감지되었습니다. (적용 대상: Linux의 App Service)

MITRE 전술: 권한 상승, 실행, 반출, 명령 및 제어

심각도: 보통

의심스러운 파일 다운로드가 검색됨

(AppServices_SuspectDownloadArtifacts)

설명: 호스트 데이터를 분석하여 원격 파일의 의심스러운 다운로드를 검색했습니다. (적용 대상: Linux의 App Service)

MITRE 전술: 지속성

심각도: 보통

(AppServices_DigitalCurrencyMining)

설명: Inn-Flow-WebJobs에서 호스트 데이터를 분석한 결과 일반적으로 디지털 통화 마이닝과 연결된 프로세스 또는 명령의 실행이 감지되었습니다. (적용 대상: Windows의 App Service 및 Linux의 App Service)

MITRE 전술: 실행

심각도: 높음

certutil을 사용하여 디코딩된 실행 파일

(AppServices_ExecutableDecodedUsingCertutil)

설명: [손상된 엔터티]에서 호스트 데이터를 분석한 결과, 기본 제공 관리자 유틸리티인 certutil.exe 인증서 및 인증서 데이터 조작과 관련된 기본스트림 목적 대신 실행 파일을 디코딩하는 데 사용되고 있음을 발견했습니다. 공격자는 합법적인 관리자 도구의 기능을 악용하여 악의적인 작업을 수행하는 것으로 알려져 있습니다. 예를 들어 certutil.exe와 같은 도구를 사용하여 악성 실행 파일을 디코딩한 다음 나중에 실행합니다. (적용 대상: Windows의 App Service)

MITRE 전술: 방어 회피, 실행

심각도: 높음

파일리스 공격 동작이 검색됨

(AppServices_FilelessAttackBehaviorDetection)

설명: 아래에 지정된 프로세스의 메모리에는 파일리스 공격에 일반적으로 사용되는 동작이 포함됩니다. 특정 동작은 다음과 같습니다. {관찰된 동작 목록}(적용 대상: Windows의 App Service 및 Linux의 App Service)

MITRE 전술: 실행

심각도: 보통

파일리스 공격 기술이 검색됨

(AppServices_FilelessAttackTechniqueDetection)

설명: 아래에 지정된 프로세스의 메모리에는 파일리스 공격 기술의 증거가 포함되어 있습니다. 파일리스 공격은 보안 소프트웨어에서 탐지를 회피하는 동안 공격자가 코드를 실행하는 데 사용됩니다. 특정 동작은 다음과 같습니다. {관찰된 동작 목록}(적용 대상: Windows의 App Service 및 Linux의 App Service)

MITRE 전술: 실행

심각도: 높음

파일리스 공격 도구 키트가 검색됨

(AppServices_FilelessAttackToolkitDetection)

설명: 아래에 지정된 프로세스의 메모리에는 파일리스 공격 도구 키트 {ToolKitName}이 포함되어 있습니다. 파일리스 공격 도구 키트는 일반적으로 파일 시스템에 존재하지 않으므로 기존 바이러스 백신 소프트웨어에서 검색하기가 어렵습니다. 특정 동작은 다음과 같습니다. {관찰된 동작 목록}(적용 대상: Windows의 App Service 및 Linux의 App Service)

MITRE 전술: 방어 회피, 실행

심각도: 높음

App Service에 대한 클라우드용 Microsoft Defender 테스트 경고(위협 아님)

(AppServices_EICAR)

설명: 클라우드용 Microsoft Defender 생성된 테스트 경고입니다. 추가 조치가 필요하지 않습니다. (적용 대상: Windows의 App Service 및 Linux의 App Service)

MITRE 전술: -

심각도: 높음

NMap 검색이 검색됨

(AppServices_Nmap)

설명: Azure 앱 서비스 활동 로그는 App Service 리소스에서 가능한 웹 지문 활동을 나타냅니다. 검색된 의심스러운 활동이 NMAP와 연결됩니다. 공격자는 종종 이 도구를 사용하여 웹 애플리케이션을 검색하여 취약성을 찾습니다. (적용 대상: Windows의 App Service 및 Linux의 App Service)

MITRE 전술: 사전 공격

심각도: 정보 제공

Azure Webapps에서 호스트되는 피싱 콘텐츠

(AppServices_PhishingContent)

설명: Azure 앱Services 웹 사이트에서 발견된 피싱 공격에 사용되는 URL입니다. 이 URL은 Microsoft 365 고객에게 전송된 피싱 공격의 일부였습니다. 해당 콘텐츠는 일반적으로 방문자가 회사 자격 증명이나 재무 정보를 합법적으로 보이는 웹 사이트에 입력하도록 유도합니다. (적용 대상: Windows의 App Service 및 Linux의 App Service)

MITRE 전술: 컬렉션

심각도: 높음

업로드 폴더의 PHP 파일

(AppServices_PhpInUploadFolder)

설명: Azure 앱 서비스 활동 로그는 업로드 폴더에 있는 의심스러운 PHP 페이지에 대한 액세스를 나타냅니다. 이 유형의 폴더는 일반적으로 PHP 파일을 포함하지 않습니다. 이러한 유형의 파일이 존재하면 임의 파일 업로드 취약성을 활용하는 악용을 나타낼 수 있습니다. (적용 대상: Windows의 App Service 및 Linux의 App Service)

MITRE 전술: 실행

심각도: 보통

가능한 Cryptocoinminer 다운로드가 검색됨

(AppServices_CryptoCoinMinerDownload)

설명: 호스트 데이터를 분석한 결과 일반적으로 디지털 통화 마이닝과 연결된 파일의 다운로드가 감지되었습니다. (적용 대상: Linux의 App Service)

MITRE 전술: 방어 회피, 명령 및 제어, 악용

심각도: 보통

가능한 데이터 반출이 감지됨

(AppServices_DataEgressArtifacts)

설명: 호스트/디바이스 데이터를 분석한 결과 가능한 데이터 송신 조건이 검색되었습니다. 공격자는 손상된 컴퓨터에서 데이터를 송신하는 경우가 많습니다. (적용 대상: Linux의 App Service)

MITRE 전술: 컬렉션, 반출

심각도: 보통

App Service 리소스에 대한 잠재적 현수 DNS 레코드가 검색됨

(AppServices_PotentialDanglingDomain)

설명: 최근에 삭제된 App Service 리소스("현수 DNS" 항목이라고도 함)를 가리키는 DNS 레코드가 검색되었습니다. 이렇게 하면 하위 기본 인수에 취약해질 수 있습니다. 하위 도메인 인수를 통해 악의적인 행위자는 조직의 도메인에 대한 트래픽을 악의적인 활동을 수행하는 사이트로 리디렉션할 수 있습니다. 이 경우 Do기본 확인 ID가 있는 텍스트 레코드가 발견되었습니다. 이러한 텍스트 레코드는 하위 도메인 인수를 방지하지만, 여전히 현수 도메인을 제거하는 것을 권장합니다. 하위 문서를 가리키는 DNS 레코드를 그대로 두면기본 조직의 누군가가 나중에 TXT 파일 또는 레코드를 삭제하면 위험에 처하게 됩니다. (적용 대상: Windows의 App Service 및 Linux의 App Service)

MITRE 전술: -

심각도: 낮음

잠재적인 역방향 셸이 검색됨

(AppServices_ReverseShell)

설명: 호스트 데이터를 분석한 결과 잠재적인 역방향 셸이 검색되었습니다. 이러한 셸은 손상된 컴퓨터를 공격자가 소유한 컴퓨터로 다시 호출하는 데 사용됩니다. (적용 대상: Linux의 App Service)

MITRE 전술: 반출, 착취

심각도: 보통

원시 데이터 다운로드가 검색됨

(AppServices_DownloadCodeFromWebsite)

설명: App Service 프로세스 분석에서 Pastebin과 같은 원시 데이터 웹 사이트에서 코드를 다운로드하려는 시도가 감지되었습니다. 이 작업은 PHP 프로세스에 의해 실행되었습니다. 이 동작은 웹 셸 또는 기타 악성 구성 요소를 App Service에 다운로드하려는 시도와 관련이 있습니다. (적용 대상: Windows의 App Service)

MITRE 전술: 실행

심각도: 보통

검색된 디스크에 curl 출력 저장

(AppServices_CurlToDisk)

설명: App Service 프로세스 분석 결과 출력이 디스크에 저장된 curl 명령의 실행이 감지되었습니다. 이 동작은 합법적일 수 있지만 웹 응용 프로그램에서는 웹 셸로 웹 사이트를 감염하려는 시도와 같은 악의적인 활동에서도 이 동작이 관찰됩니다. (적용 대상: Windows의 App Service)

MITRE 전술: -

심각도: 낮음

스팸 폴더 참조기가 검색됨

(AppServices_SpamReferrer)

설명: Azure 앱 서비스 활동 로그는 스팸 활동과 연결된 웹 사이트에서 시작된 것으로 식별된 웹 활동을 나타냅니다. 이는 웹 사이트가 손상되어 스팸 활동에 사용되는 경우에 발생할 수 있습니다. (적용 대상: Windows의 App Service 및 Linux의 App Service)

MITRE 전술: -

심각도: 낮음

취약할 수 있는 웹 페이지에 대한 의심스러운 액세스가 감지됨

(AppServices_ScanSensitivePage)

설명: Azure 앱 서비스 활동 로그는 중요한 것으로 보이는 웹 페이지에 액세스했음을 나타냅니다. 이 의심스러운 활동은 액세스 패턴이 웹 스캐너의 액세스 패턴과 유사한 소스 IP 주소에서 시작되었습니다. 이 활동은 종종 공격자가 네트워크를 스캔하여 중요하거나 취약한 웹 페이지에 액세스하려고 시도하는 것과 관련이 있습니다. (적용 대상: Windows의 App Service 및 Linux의 App Service)

MITRE 전술: -

심각도: 낮음

의심스러운 do기본 이름 참조

(AppServices_CommandlineSuspectDo기본)

설명: 의심스러운 do기본 이름에 대한 참조가 검색된 호스트 데이터의 분석입니다. 이러한 활동은 합법적인 사용자 동작일 수 있지만 악성 소프트웨어의 다운로드 또는 실행을 나타내는 경우가 많습니다. 일반적인 관련 공격자 활동에는 추가 악성 소프트웨어 또는 원격 관리 도구의 다운로드 및 실행이 포함될 수 있습니다. (적용 대상: Linux의 App Service)

MITRE 전술: 반출

심각도: 낮음

Certutil을 사용한 의심스러운 다운로드가 감지됨

(AppServices_DownloadUsingCertutil)

설명: {NAME}에서 호스트 데이터를 분석한 결과 인증서 및 인증서 데이터 조작과 관련된 기본stream 목적 대신 이진 파일을 다운로드하기 위해 기본 제공 관리자 유틸리티인 certutil.exe 사용이 감지되었습니다. 공격자는 합법적인 관리자 도구의 기능을 악용하여 악의적인 작업을 수행하는 것으로 알려져 있습니다. 예를 들어 certutil.exe를 사용하여 악성 실행 파일을 다운로드 및 디코딩한 후 나중에 실행합니다. (적용 대상: Windows의 App Service)

MITRE 전술: 실행

심각도: 보통

의심스러운 PHP 실행이 감지됨

(AppServices_SuspectPhp)

설명: 컴퓨터 로그는 의심스러운 PHP 프로세스가 실행 중임을 나타냅니다. 작업에는 PHP 프로세스를 사용하여 명령줄에서 운영 체제 명령 또는 PHP 코드를 실행하려는 시도가 포함되었습니다. 이 동작은 합법적일 수 있지만 웹 애플리케이션에서 이 동작은 웹 셸로 웹 사이트를 감염시키려는 시도와 같은 악의적인 활동을 나타낼 수 있습니다. (적용 대상: Windows의 App Service 및 Linux의 App Service)

MITRE 전술: 실행

심각도: 보통

의심스러운 PowerShell cmdlet이 실행됨

(AppServices_PowerShellPowerSploitScriptExecution)

설명: 호스트 데이터 분석은 알려진 악성 PowerShell PowerSploit cmdlet의 실행을 나타냅니다. (적용 대상: Windows의 App Service)

MITRE 전술: 실행

심각도: 보통

의심스러운 프로세스가 실행됨

(AppServices_KnownCredential AccessTools)

설명: 컴퓨터 로그는 의심스러운 프로세스인 '%{process path}'가 컴퓨터에서 실행 중임을 나타내며, 공격자가 자격 증명에 액세스하려고 시도하는 경우가 많습니다. (적용 대상: Windows의 App Service)

MITRE 전술: 자격 증명 액세스

심각도: 높음

의심스러운 프로세스 이름이 검색됨

(AppServices_ProcessWithKnownSuspiciousExtension)

설명: {NAME}에서 호스트 데이터를 분석한 결과 이름이 의심스러운 프로세스(예: 알려진 공격자 도구에 해당하거나 일반 시야에서 숨기려는 공격자 도구를 암시하는 방식으로 명명된 프로세스)가 검색되었습니다. 이 프로세스는 합법적인 활동일 수도 있고 컴퓨터 중 하나가 손상되었음을 암시할 수도 있습니다. (적용 대상: Windows의 App Service)

MITRE 전술: 지속성, 방어 회피

심각도: 보통

의심스러운 SVCHOST 프로세스가 실행됨

(AppServices_SVCHostFromInvalidPath)

설명: 시스템 프로세스 SVCHOST가 비정상적인 컨텍스트에서 실행되는 것으로 관찰되었습니다. 맬웨어는 종종 SVCHOST를 사용하여 악의적인 활동을 마스킹합니다. (적용 대상: Windows의 App Service)

MITRE 전술: 방어 회피, 실행

심각도: 높음

의심스러운 사용자 에이전트가 검색됨

(AppServices_UserAgentInjection)

설명: Azure 앱 서비스 활동 로그는 의심스러운 사용자 에이전트가 있는 요청을 나타냅니다. 이 동작은 App Service 애플리케이션에서 취약성을 악용하려는 시도를 나타낼 수 있습니다. (적용 대상: Windows의 App Service 및 Linux의 App Service)

MITRE 전술: 초기 액세스

심각도: 정보 제공

의심스러운 WordPress 테마 호출이 검색됨

(AppServices_WpThemeInjection)

설명: Azure 앱 Service 활동 로그는 App Service 리소스에서 가능한 코드 삽입 작업을 나타냅니다. 검색된 의심스러운 활동은 코드의 서버 쪽 실행을 지원하기 위해 WordPress 테마를 조작한 다음 조작된 테마 파일을 호출하는 직접 웹 요청과 유사합니다. 이러한 유형의 활동은 과거에 WordPress를 통한 공격 캠페인의 일부로 보였습니다. App Service 리소스가 WordPress 사이트를 호스팅하지 않는 경우 이 특정 코드 삽입 악용에 취약하지 않으며 리소스에 대해 이 경고를 안전하게 표시하지 않을 수 있습니다. 보안 경고를 표시하지 않는 방법을 알아보려면 클라우드용 Microsoft Defender의 경고 표시 안 함을 참조하세요. (적용 대상: Windows의 App Service 및 Linux의 App Service)

MITRE 전술: 실행

심각도: 높음

취약성 검사기가 검색됨

(AppServices_DrupalScanner)

설명: Azure 앱 서비스 활동 로그는 App Service 리소스에서 가능한 취약성 스캐너가 사용되었음을 나타냅니다. 의심스러운 활동이 CMS(콘텐츠 관리 시스템)를 대상으로 하는 도구와 유사한 것으로 검색되었습니다. App Service 리소스가 Drupal 사이트를 호스팅하지 않는 경우 이 특정 코드 삽입 악용에 취약하지 않으며 리소스에 대해 이 경고를 안전하게 표시하지 않을 수 있습니다. 보안 경고를 표시하지 않는 방법을 알아보려면 클라우드용 Microsoft Defender의 경고 표시 안 함을 참조하세요. (적용 대상: Windows의 App Service)

MITRE 전술: 사전 공격

심각도: 낮음

취약성 검사기가 검색됨

(AppServices_JoomlaScanner)

설명: Azure 앱 서비스 활동 로그는 App Service 리소스에서 가능한 취약성 스캐너가 사용되었음을 나타냅니다. 의심스러운 활동이 Joomla 애플리케이션을 대상으로 하는 도구와 유사한 것으로 검색되었습니다. App Service 리소스가 Joomla 사이트를 호스팅하지 않는 경우 이 특정 코드 삽입 악용에 취약하지 않으며 리소스에 대해 이 경고를 안전하게 표시하지 않을 수 있습니다. 보안 경고를 표시하지 않는 방법을 알아보려면 클라우드용 Microsoft Defender의 경고 표시 안 함을 참조하세요. (적용 대상: Windows의 App Service 및 Linux의 App Service)

MITRE 전술: 사전 공격

심각도: 낮음

취약성 검사기가 검색됨

(AppServices_WpScanner)

설명: Azure 앱 서비스 활동 로그는 App Service 리소스에서 가능한 취약성 스캐너가 사용되었음을 나타냅니다. 검색된 의심스러운 활동은 WordPress 애플리케이션을 대상으로 하는 도구와 유사합니다. App Service 리소스가 WordPress 사이트를 호스팅하지 않는 경우 이 특정 코드 삽입 악용에 취약하지 않으며 리소스에 대해 이 경고를 안전하게 표시하지 않을 수 있습니다. 보안 경고를 표시하지 않는 방법을 알아보려면 클라우드용 Microsoft Defender의 경고 표시 안 함을 참조하세요. (적용 대상: Windows의 App Service 및 Linux의 App Service)

MITRE 전술: 사전 공격

심각도: 낮음

웹 지문이 검색됨

(AppServices_WebFingerprinting)

설명: Azure 앱 서비스 활동 로그는 App Service 리소스에서 가능한 웹 지문 활동을 나타냅니다. 감지된 의심스러운 활동은 블라인드 코끼리라는 도구와 관련이 있습니다. 도구는 웹 서버를 지문 인식하고 설치된 애플리케이션 및 버전을 감지하려고 합니다. 공격자는 종종 이 도구를 사용하여 웹 애플리케이션을 검색하여 취약성을 찾습니다. (적용 대상: Windows의 App Service 및 Linux의 App Service)

MITRE 전술: 사전 공격

심각도: 보통

웹 사이트는 위협 인텔리전스 피드에서 악성으로 태그가 지정됩니다.

(AppServices_SmartScreen)

설명: 아래 설명된 대로 웹 사이트는 Windows SmartScreen에서 악성 사이트로 표시됩니다. 가양성이라고 생각되면 제공된 보고서 피드백 링크를 통해 Windows SmartScreen에 문의하세요. (적용 대상: Windows의 App Service 및 Linux의 App Service)

MITRE 전술: 컬렉션

심각도: 보통

컨테이너에 대한 경고 - Kubernetes 클러스터

컨테이너용 Microsoft Defender는 컨트롤 플레인(API 서버) 및 컨테이너화된 워크로드 자체를 모두 모니터링하여 클러스터 수준 및 기본 클러스터 노드에서 보안 경고를 제공합니다. 컨트롤 플레인 보안 경고는 경고 유형의 K8S_의 접두사로 인식할 수 있습니다. 클러스터의 런타임 워크로드에 대한 보안 경고는 경고 유형의 K8S.NODE_ 접두사로 인식할 수 있습니다. 달리 표시되지 않는 한, 모든 경고는 Linux에서만 지원됩니다.

추가 세부 정보 및 참고 사항

Kubernetes에서 트러스트 인증 구성이 검색된 노출된 Postgres 서비스(미리 보기)

(K8S_ExposedPostgresTrustAuth)

설명: Kubernetes 클러스터 구성 분석에서 부하 분산 장치에서 Postgres 서비스의 노출을 감지했습니다. 서비스는 자격 증명이 필요하지 않은 트러스트 인증 방법으로 구성됩니다.

MITRE 전술: InitialAccess

심각도: 보통

Kubernetes에서 위험한 구성이 포함된 노출된 Postgres 서비스 검색됨(미리 보기)

(K8S_ExposedPostgresBroadIPRange)

설명: Kubernetes 클러스터 구성 분석에서 위험한 구성이 있는 부하 분산 장치에서 Postgres 서비스의 노출을 감지했습니다. 서비스를 광범위한 IP 주소에 노출하면 보안 위험이 발생합니다.

MITRE 전술: InitialAccess

심각도: 보통

검색된 컨테이너에서 새 Linux 네임스페이스 만들기 시도

(K8S.NODE_NamespaceCreation) 1

설명: Kubernetes 클러스터의 컨테이너 내에서 실행되는 프로세스를 분석한 결과 새 Linux 네임스페이스를 만들려는 시도가 감지되었습니다. 이 동작은 합법적일 수 있지만 공격자가 컨테이너에서 노드로 이스케이프하려고 시도한다는 것을 나타낼 수 있습니다. 일부 CVE-2022-0185 익스플로잇은 이 기술을 사용합니다.

MITRE 전술: PrivilegeEscalation

심각도: 정보 제공

기록 파일이 지워짐

(K8S.NODE_HistoryFileCleared) 1

설명: 컨테이너 내에서 또는 Kubernetes 노드에서 직접 실행되는 프로세스를 분석한 결과 명령 기록 로그 파일이 지워진 것을 발견했습니다. 공격자는 자신의 트랙을 커버하기 위해이 작업을 수행 할 수 있습니다. 지정된 사용자 계정으로 작업을 수행했습니다.

MITRE 전술: DefenseEvasion

심각도: 보통

Kubernetes와 연결된 관리 ID의 비정상적인 활동(미리 보기)

(K8S_AbnormalMiActivity)

설명: Azure Resource Manager 작업을 분석한 결과 AKS 추가 기능에서 사용하는 관리 ID의 비정상적인 동작이 감지되었습니다. 검색된 활동이 연결된 추가 기능의 동작과 일치하지 않습니다. 이 활동은 합법적일 수 있지만 이러한 동작은 아마도 Kubernetes 클러스터의 손상된 컨테이너에서 공격자가 ID를 획득했음을 나타낼 수 있습니다.

MITRE 전술: 횡적 이동

심각도: 보통

비정상적인 Kubernetes 서비스 계정 작업이 검색됨

(K8S_ServiceAccountRareOperation)

설명: Kubernetes 감사 로그 분석에서 Kubernetes 클러스터의 서비스 계정에서 비정상적인 동작을 감지했습니다. 서비스 계정은 이 서비스 계정에 일반적이지 않은 작업에 사용되었습니다. 이 활동은 합법적일 수 있지만 이러한 동작은 서비스 계정이 악의적인 목적으로 사용되고 있음을 나타낼 수 있습니다.

MITRE 전술: 횡적 이동, 자격 증명 액세스

심각도: 보통

일반적이지 않은 연결 시도가 감지됨

(K8S.NODE_SuspectConnection) 1

설명: 컨테이너 내에서 실행되거나 Kubernetes 노드에서 직접 실행되는 프로세스를 분석한 결과 양말 프로토콜을 활용하는 일반적이지 않은 연결 시도가 감지되었습니다. 이는 정상적인 작업에서는 매우 드물지만 네트워크 계층 검색을 우회하려는 공격자에게 알려진 기술입니다.

MITRE 전술: 실행, 반출, 악용

심각도: 보통

apt-daily-upgrade.timer 서비스 중지 시도가 감지됨

(K8S.NODE_TimerServiceDisabled) 1

설명: 컨테이너 내에서 또는 Kubernetes 노드에서 직접 실행되는 프로세스를 분석한 결과 apt-daily-upgrade.timer 서비스를 중지하려는 시도가 감지되었습니다. 공격자는 이 서비스를 중지하고, 악성 파일을 다운로드하고, 공격에 대한 실행 권한을 부여하는 것으로 관찰되었습니다. 이 활동은 서비스가 정상적인 관리 작업을 통해 업데이트되는 경우에도 발생할 수 있습니다.

MITRE 전술: DefenseEvasion

심각도: 정보 제공

일반적인 Linux 봇과 유사한 동작이 감지됨(미리 보기)

(K8S.NODE_CommonBot)

설명: 컨테이너 내에서 실행되거나 Kubernetes 노드에서 직접 실행되는 프로세스를 분석한 결과 일반적으로 일반적인 Linux 봇넷과 연결된 프로세스의 실행이 감지되었습니다.

MITRE 전술: 실행, 수집, 명령 및 제어

심각도: 보통

높은 권한으로 실행되는 컨테이너 내의 명령

(K8S.NODE_PrivilegedExecutionInContainer) 1

설명: 컴퓨터 로그는 권한 있는 명령이 Docker 컨테이너에서 실행되었음을 나타냅니다. 권한 있는 명령에는 호스트 컴퓨터에 대한 확장된 권한이 있습니다.

MITRE 전술: PrivilegeEscalation

심각도: 정보 제공

권한 있는 모드에서 실행되는 컨테이너

(K8S.NODE_PrivilegedContainerArtifacts) 1

설명: 컨테이너 내에서 실행되거나 Kubernetes 노드에서 직접 실행되는 프로세스를 분석한 결과 권한 있는 컨테이너를 실행하는 Docker 명령의 실행이 감지되었습니다. 권한 있는 컨테이너에는 호스팅 Pod 또는 호스트 리소스에 대한 모든 권한이 있습니다. 손상된 경우 공격자는 권한 있는 컨테이너를 사용하여 호스팅 Pod 또는 호스트에 액세스할 수 있습니다.

MITRE 전술: PrivilegeEscalation, Execution

심각도: 정보 제공

중요한 볼륨 탑재가 감지된 컨테이너

(K8S_SensitiveMount)

설명: Kubernetes 감사 로그 분석에서 중요한 볼륨 탑재가 있는 새 컨테이너를 검색했습니다. 검색된 볼륨은 노드에서 컨테이너로 중요한 파일 또는 폴더를 탑재하는 hostPath 형식입니다. 컨테이너가 손상되면 공격자는 이 탑재를 사용하여 노드에 액세스할 수 있습니다.

MITRE 전술: 권한 상승

심각도: 정보 제공

Kubernetes에서 CoreDNS 수정이 검색됨

(K8S_CoreDnsModification) 23

설명: Kubernetes 감사 로그 분석에서 CoreDNS 구성의 수정을 감지했습니다. 해당 configmap을 재정의하여 CoreDNS의 구성을 수정할 수 있습니다. 이 활동은 합법적일 수 있지만 공격자가 configmap을 수정할 수 있는 권한이 있는 경우 클러스터의 DNS 서버 동작을 변경하고 포이즌할 수 있습니다.

MITRE 전술: 횡적 이동

심각도: 낮음

허용 웹후크 구성 생성이 감지됨

(K8S_AdmissionController) 3

설명: Kubernetes 감사 로그 분석에서 새 허용 웹후크 구성을 검색했습니다. Kubernetes에는 두 개의 기본 제공 일반 허용 컨트롤러인 MutatingAdmissionWebhook 및 ValidatingAdmissionWebhook가 있습니다. 이러한 허용 컨트롤러의 동작은 사용자가 클러스터에 배포하는 허용 웹후크를 통해 결정됩니다. 이러한 허용 컨트롤러의 사용은 합법적일 수 있지만 공격자는 요청을 수정하거나(MutatingAdmissionWebhook의 경우) 요청을 검사하고 중요한 정보(ValidatingAdmissionWebhook의 경우)를 얻기 위해 이러한 웹후크를 사용할 수 있습니다.

MITRE 전술: 자격 증명 액세스, 지속성

심각도: 정보 제공

알려진 악성 원본에서 검색된 파일 다운로드

(K8S.NODE_SuspectDownload) 1

설명: 컨테이너 내에서 실행되거나 Kubernetes 노드에서 직접 실행되는 프로세스를 분석한 결과 맬웨어를 배포하는 데 자주 사용되는 원본에서 파일 다운로드가 검색되었습니다.

MITRE 전술: PrivilegeEscalation, Execution, Exfiltration, Command and Control

심각도: 보통

의심스러운 파일 다운로드가 검색됨

(K8S.NODE_SuspectDownloadArtifacts) 1

설명: 컨테이너 내에서 또는 Kubernetes 노드에서 직접 실행되는 프로세스를 분석한 결과 원격 파일의 의심스러운 다운로드가 감지되었습니다.

MITRE 전술: 지속성

심각도: 정보 제공

nohup 명령의 의심스러운 사용이 감지됨

(K8S.NODE_SuspectNohup) 1

설명: 컨테이너 내에서 실행되거나 Kubernetes 노드에서 직접 실행되는 프로세스의 분석에서 nohup 명령의 의심스러운 사용을 감지했습니다. 공격자가 임시 디렉터리에서 숨겨진 파일을 실행하여 실행 파일을 백그라운드에서 실행할 수 있도록 nohup 명령을 사용하는 것이 관찰되었습니다. 임시 디렉터리에 있는 숨겨진 파일에서 이 명령이 실행되는 것은 드문 일입니다.

MITRE 전술: 지속성, DefenseEvasion

심각도: 보통

useradd 명령의 의심스러운 사용이 감지됨

(K8S.NODE_SuspectUserAddition) 1

설명: 컨테이너 내에서 실행되거나 Kubernetes 노드에서 직접 실행되는 프로세스의 분석에서 useradd 명령의 의심스러운 사용을 감지했습니다.

MITRE 전술: 지속성

심각도: 보통

디지털 통화 마이닝 컨테이너가 검색됨

(K8S_MaliciousContainerImage) 3

설명: Kubernetes 감사 로그 분석에서 디지털 통화 마이닝 도구와 연결된 이미지가 있는 컨테이너를 검색했습니다.

MITRE 전술: 실행

심각도: 높음

(K8S.NODE_DigitalCurrencyMining) 1

설명: 컨테이너 내에서 실행되거나 Kubernetes 노드에서 직접 실행되는 프로세스를 분석한 결과 일반적으로 디지털 통화 마이닝과 연결된 프로세스 또는 명령의 실행이 감지되었습니다.

MITRE 전술: 실행

심각도: 높음

Kubernetes 노드에서 검색된 Docker 빌드 작업

(K8S.NODE_ImageBuildOnNode) 1

설명: 컨테이너 내에서 실행되거나 Kubernetes 노드에서 직접 실행되는 프로세스의 분석에서 Kubernetes 노드에서 컨테이너 이미지의 빌드 작업을 검색했습니다. 이 동작은 합법적일 수 있지만, 공격자가 악의적인 이미지를 로컬로 빌드하여 감지를 피할 수 있습니다.

MITRE 전술: DefenseEvasion

심각도: 정보 제공

노출된 Kubeflow 대시보드가 검색됨

(K8S_ExposedKubeflow)

설명: Kubernetes 감사 로그 분석에서 Kubeflow를 실행하는 클러스터의 부하 분산 장치에서 Istio 수신 노출을 감지했습니다. 이 작업은 Kubeflow 대시보드를 인터넷에 노출할 수 있습니다. 대시보드가 인터넷에 노출되면 공격자는 대시보드에 액세스하여 클러스터에서 악성 컨테이너 또는 코드를 실행할 수 있습니다. 다음 문서에서 자세한 내용을 찾습니다. https://aka.ms/exposedkubeflow-blog

MITRE 전술: 초기 액세스

심각도: 보통

노출된 Kubernetes 대시보드가 검색됨

(K8S_ExposedDashboard)

설명: Kubernetes 감사 로그 분석에서 LoadBalancer 서비스에서 Kubernetes 대시보드 노출을 감지했습니다. 노출된 대시보드는 클러스터 관리에 인증되지 않은 액세스를 허용하고 보안 위협을 제기합니다.

MITRE 전술: 초기 액세스

심각도: 높음

Kubernetes 서비스가 노출된 것이 탐지됨

(K8S_ExposedService)

설명: Kubernetes 감사 로그 분석에서 부하 분산 장치에서 서비스의 노출을 감지했습니다. 이 서비스는 노드에서 프로세스를 실행하거나 새 컨테이너를 만드는 등 클러스터에서 높은 영향을 주는 작업을 허용하는 중요한 애플리케이션과 관련이 있습니다. 경우에 따라 이 서비스에 인증이 필요하지 않습니다. 서비스에 인증이 필요하지 않은 경우 인터넷에 노출하면 보안 위험이 발생합니다.

MITRE 전술: 초기 액세스

심각도: 보통

AKS에서 노출된 Redis 서비스가 검색됨

(K8S_ExposedRedis)

설명: Kubernetes 감사 로그 분석에서 부하 분산 장치에서 Redis 서비스의 노출을 감지했습니다. 서비스에 인증이 필요하지 않은 경우 인터넷에 노출하면 보안 위험이 발생합니다.

MITRE 전술: 초기 액세스

심각도: 낮음

DDOS 도구 키트와 관련된 지표가 감지됨

(K8S.NODE_KnownLinuxDDoSToolkit) 1

설명: 컨테이너 내에서 실행되거나 Kubernetes 노드에서 직접 실행되는 프로세스를 분석한 결과 DDoS 공격을 시작하고 포트 및 서비스를 열고 감염된 시스템을 완전히 제어할 수 있는 맬웨어와 연결된 도구 키트의 일부인 파일 이름을 검색했습니다. 이는 합법적인 활동일 수도 있습니다.

MITRE 전술: 지속성, 횡적 이동, 실행, 악용

심각도: 보통

프록시 IP 주소에서 K8S API 요청이 감지됨

(K8S_TI_Proxy) 3

설명: Kubernetes 감사 로그 분석에서 TOR과 같은 프록시 서비스와 연결된 IP 주소에서 클러스터에 대한 API 요청을 감지했습니다. 이 동작은 합법적일 수 있지만, 공격자가 원본 IP를 숨기려고 하는 악의적인 활동에서 나타나는 경우가 많습니다.

MITRE 전술: 실행

심각도: 낮음

Kubernetes 이벤트가 삭제됨

(K8S_DeleteEvents) 23

설명: 클라우드용 Defender 일부 Kubernetes 이벤트가 삭제되었음을 감지했습니다. Kubernetes 이벤트는 클러스터의 변경 내용에 대한 정보를 포함하는 Kubernetes의 개체입니다. 공격자는 클러스터에서 작업을 숨기기 위해 해당 이벤트를 삭제할 수 있습니다.

MITRE 전술: 방어 회피

심각도: 낮음

Kubernetes 침투 테스트 도구가 검색됨

(K8S_PenTestToolsKubeHunter)

설명: Kubernetes 감사 로그 분석에서 AKS 클러스터에서 Kubernetes 침투 테스트 도구의 사용을 감지했습니다. 이 동작은 합법적일 수 있지만, 공격자가 이러한 공용 도구를 악의적인 목적으로 사용할 수 있습니다.

MITRE 전술: 실행

심각도: 낮음

클라우드용 Microsoft Defender 경고(위협이 아님)를 테스트합니다.

(K8S.NODE_EICAR) 1

설명: 클라우드용 Microsoft Defender 생성된 테스트 경고입니다. 추가 조치가 필요하지 않습니다.

MITRE 전술: 실행

심각도: 높음

kube-system 네임스페이스의 새 컨테이너가 검색됨

(K8S_KubeSystemContainer) 3

설명: Kubernetes 감사 로그 분석에서 kube-system 네임스페이스에서 일반적으로 이 네임스페이스에서 실행되는 컨테이너에 속하지 않는 새 컨테이너를 검색했습니다. kube-system 네임스페이스에는 사용자 리소스가 포함되지 않아야 합니다. 공격자가 이 네임스페이스를 사용하여 악성 구성 요소를 숨길 수 있습니다.

MITRE 전술: 지속성

심각도: 정보 제공

새 높은 권한 역할이 검색됨

(K8S_HighPrivilegesRole) 3

설명: Kubernetes 감사 로그 분석에서 높은 권한이 있는 새 역할을 검색했습니다. 높은 권한이 있는 역할에 바인딩하면 클러스터에서 높은 권한이 사용자/그룹에 부여됩니다. 불필요한 권한으로 인해 클러스터에서 권한 상승이 발생할 수 있습니다.

MITRE 전술: 지속성

심각도: 정보 제공

가능한 공격 도구가 검색됨

(K8S.NODE_KnownLinuxAttackTool) 1

설명: 컨테이너 내에서 실행되거나 Kubernetes 노드에서 직접 실행되는 프로세스의 분석에서 의심스러운 도구 호출을 검색했습니다. 이 도구는 다른 사용자를 공격하는 악의적인 사용자와 관련된 경우가 많습니다.

MITRE 전술: 실행, 수집, 명령 및 제어, 검색

심각도: 보통

백도어 검색 가능

(K8S.NODE_LinuxBackdoorArtifact) 1

설명: 컨테이너 내에서 실행되거나 Kubernetes 노드에서 직접 실행되는 프로세스의 분석에서 의심스러운 파일이 다운로드되고 실행되는 것을 발견했습니다. 이 활동은 이전에 백도어 설치와 연결되었습니다.

MITRE 전술: 지속성, DefenseEvasion, 실행, 악용

심각도: 보통

가능한 명령줄 악용 시도

(K8S.NODE_ExploitAttempt) 1

설명: 컨테이너 내에서 실행되거나 Kubernetes 노드에서 직접 실행되는 프로세스를 분석한 결과 알려진 취약성에 대한 악용 시도가 감지되었습니다.

MITRE 전술: 악용

심각도: 보통

가능한 자격 증명 액세스 도구가 검색됨

(K8S.NODE_KnownLinuxCredentialAccessTool) 1

설명: 컨테이너 내에서 실행되거나 Kubernetes 노드에서 직접 실행되는 프로세스를 분석한 결과, 지정된 프로세스 및 명령줄 기록 항목으로 식별된 대로 컨테이너에서 실행 중인 알려진 자격 증명 액세스 도구가 감지되었습니다. 이 도구는 자격 증명에 액세스를 시도하는 공격자와 관련된 경우가 많습니다.

MITRE 전술: CredentialAccess

심각도: 보통

가능한 Cryptocoinminer 다운로드가 검색됨

(K8S.NODE_CryptoCoinMinerDownload) 1

설명: 컨테이너 내에서 실행되거나 Kubernetes 노드에서 직접 실행되는 프로세스를 분석한 결과 일반적으로 디지털 통화 마이닝과 연결된 파일의 다운로드가 검색되었습니다.

MITRE 전술: DefenseEvasion, 명령 및 제어, 악용

심각도: 보통

로그 변조 활동이 감지되었을 수 있음

(K8S.NODE_SystemLogRemoval) 1

설명: 컨테이너 내에서 실행되거나 Kubernetes 노드에서 직접 실행되는 프로세스를 분석한 결과 작업 과정에서 사용자의 활동을 추적하는 파일이 제거될 수 있음을 발견했습니다. 공격자는 종종 이러한 로그 파일을 삭제하여 탐지를 회피하고 악의적인 활동의 흔적을 남기지 않으려고 합니다.

MITRE 전술: DefenseEvasion

심각도: 보통

암호화 방법을 사용한 가능한 암호 변경이 감지됨

(K8S.NODE_SuspectPasswordChange) 1

설명: 컨테이너 내에서 실행되거나 Kubernetes 노드에서 직접 실행되는 프로세스의 분석에서 암호화 방법을 사용하여 암호 변경을 감지했습니다. 공격자는 이 변경을 수행하여 손상 후 액세스를 계속하고 지속성을 확보할 수 있습니다.

MITRE 전술: CredentialAccess

심각도: 보통

외부 IP 주소로 잠재적 포트 전달

(K8S.NODE_SuspectPortForwarding) 1

설명: 컨테이너 내에서 실행되거나 Kubernetes 노드에서 직접 실행되는 프로세스를 분석한 결과 외부 IP 주소로 포트 전달이 시작되는 것을 감지했습니다.

MITRE 전술: 반출, 명령 및 제어

심각도: 보통

잠재적인 역방향 셸이 검색됨

(K8S.NODE_ReverseShell) 1

설명: 컨테이너 내에서 또는 Kubernetes 노드에서 직접 실행되는 프로세스의 분석에서 잠재적인 역방향 셸을 검색했습니다. 이러한 셸은 손상된 컴퓨터를 공격자가 소유한 컴퓨터로 다시 호출하는 데 사용됩니다.

MITRE 전술: 반출, 착취

심각도: 보통

권한 있는 컨테이너가 검색됨

(K8S_PrivilegedContainer)

설명: Kubernetes 감사 로그 분석에서 새 권한 있는 컨테이너를 검색했습니다. 권한 있는 컨테이너는 노드의 리소스에 액세스할 수 있으며 컨테이너 간의 격리를 중단합니다. 컴퓨터가 손상되면 공격자는 권한 있는 컨테이너를 사용하여 노드에 대한 액세스 권한을 얻을 수 있습니다.

MITRE 전술: 권한 상승

심각도: 정보 제공

디지털 통화 마이닝 관련 프로세스가 감지됨

(K8S.NODE_CryptoCoinMinerArtifacts) 1

설명: 컨테이너 내에서 실행되는 프로세스를 분석한 결과 일반적으로 디지털 통화 마이닝과 연결된 프로세스의 실행이 감지되었습니다.

MITRE 전술: 실행, 악용

심각도: 보통

비정상적인 방법으로 SSH 권한 있는 키 파일에 액세스하는 프로세스

(K8S.NODE_SshKeyAccess) 1

설명: 알려진 맬웨어 캠페인과 유사한 방법으로 SSH authorized_keys 파일에 액세스했습니다. 이 액세스는 작업자가 머신에 대한 영구 액세스를 시도 중임을 의미합니다.

MITRE 전술: 알 수 없음

심각도: 정보 제공

클러스터 관리자 역할에 대한 역할 바인딩이 검색됨

(K8S_Cluster관리Binding)

설명: Kubernetes 감사 로그 분석에서 관리자 권한을 부여하는 클러스터 관리자 역할에 대한 새 바인딩을 검색했습니다. 불필요한 관리자 권한으로 인해 클러스터에서 권한 상승이 발생할 수 있습니다.

MITRE 전술: 지속성

심각도: 정보 제공

(K8S.NODE_SuspectProcessTermination) 1

설명: 컨테이너 내에서 실행되거나 Kubernetes 노드에서 직접 실행되는 프로세스를 분석한 결과 컨테이너의 보안 모니터링과 관련된 프로세스를 종료하려는 시도가 감지되었습니다. 공격자는 종종 손상 후 미리 정의된 스크립트를 사용하여 이러한 프로세스를 종료하려고 합니다.

MITRE 전술: 지속성

심각도: 낮음

SSH 서버가 컨테이너 내에서 실행되고 있습니다.

(K8S.NODE_ContainerSSH) 1

설명: 컨테이너 내에서 실행되는 프로세스를 분석한 결과 컨테이너 내에서 실행되는 SSH 서버가 감지되었습니다.

MITRE 전술: 실행

심각도: 정보 제공

의심스러운 파일 타임스탬프 수정

(K8S.NODE_TimestampTampering) 1

설명: 컨테이너 내에서 실행되거나 Kubernetes 노드에서 직접 실행되는 프로세스의 분석에서 의심스러운 타임스탬프 수정이 감지되었습니다. 공격자는 새로 삭제된 파일의 감지를 피하기 위해 기존의 합법적인 파일에서 새 도구로 타임스탬프를 복사하는 경우가 많습니다.

MITRE 전술: 지속성, DefenseEvasion

심각도: 낮음

Kubernetes API에 대한 의심스러운 요청

(K8S.NODE_KubernetesAPI) 1

설명: 컨테이너 내에서 실행되는 프로세스의 분석은 Kubernetes API에 대한 의심스러운 요청이 수행되었음을 나타냅니다. 요청이 클러스터의 컨테이너에서 전송되었습니다. 이 동작은 의도적일 수 있지만 손상된 컨테이너가 클러스터에서 실행 중임을 나타낼 수 있습니다.

MITRE 전술: LateralMovement

심각도: 보통

Kubernetes 대시보드에 대한 의심스러운 요청

(K8S.NODE_KubernetesDashboard) 1

설명: 컨테이너 내에서 실행되는 프로세스의 분석은 Kubernetes 대시보드에 의심스러운 요청이 수행되었음을 나타냅니다. 요청이 클러스터의 컨테이너에서 전송되었습니다. 이 동작은 의도적일 수 있지만 손상된 컨테이너가 클러스터에서 실행 중임을 나타낼 수 있습니다.

MITRE 전술: LateralMovement

심각도: 보통

잠재적인 암호화 코인 마이너가 시작됨

(K8S.NODE_CryptoCoinMinerExecution) 1

설명: 컨테이너 내에서 실행되거나 Kubernetes 노드에서 직접 실행되는 프로세스를 분석한 결과 일반적으로 디지털 통화 마이닝과 연결된 방식으로 프로세스가 시작되는 것을 감지했습니다.

MITRE 전술: 실행

심각도: 보통

의심스러운 암호 액세스

(K8S.NODE_SuspectPasswordFileAccess) 1

설명: 컨테이너 내에서 또는 Kubernetes 노드에서 직접 실행되는 프로세스를 분석한 결과 암호화된 사용자 암호에 액세스하려는 의심스러운 시도가 감지되었습니다.

MITRE 전술: 지속성

심각도: 정보 제공

악성 웹 셸이 감지되었을 수 있습니다.

(K8S.NODE_Webshell) 1

설명: 컨테이너 내에서 실행되는 프로세스를 분석하여 가능한 웹 셸을 검색했습니다. 공격자는 지속성을 얻거나 추가 악용을 위해 손상된 컴퓨팅 리소스에 웹 셸을 업로드하는 경우가 많습니다.

MITRE 전술: 지속성, 악용

심각도: 보통

여러 정찰 명령의 버스트는 손상 후 초기 활동을 나타낼 수 있음

(K8S.NODE_ReconnaissanceArtifactsBurst) 1

설명: 호스트/디바이스 데이터를 분석하여 초기 손상 후 공격자가 수행한 시스템 또는 호스트 세부 정보 수집과 관련된 여러 정찰 명령의 실행을 감지했습니다.

MITRE 전술: 검색, 수집

심각도: 낮음

의심스러운 다운로드 후 작업 실행

(K8S.NODE_DownloadAndRunCombo) 1

설명: 컨테이너 내에서 또는 Kubernetes 노드에서 직접 실행되는 프로세스를 분석한 결과, 다운로드 중인 파일이 동일한 명령으로 실행되는 것을 발견했습니다. 항상 악의적인 것은 아니지만 공격자가 악성 파일을 피해자 컴퓨터에 가져오는 데 사용하는 매우 일반적인 기술입니다.

MITRE 전술: 실행, CommandAndControl, 악용

심각도: 보통

kubelet kubeconfig 파일에 대한 액세스가 감지됨

(K8S.NODE_KubeConfigAccess) 1

설명: Kubernetes 클러스터 노드에서 실행 중인 프로세스를 분석한 결과 호스트의 kubeconfig 파일에 대한 액세스가 감지되었습니다. Kubelet 프로세스에서 일반적으로 사용되는 kubeconfig 파일에는 Kubernetes 클러스터 API 서버에 대한 자격 증명이 포함되어 있습니다. 이 파일에 대한 액세스는 종종 해당 자격 증명에 액세스하려는 공격자 또는 파일에 액세스할 수 있는지 확인하는 보안 검사 도구와 연결됩니다.

MITRE 전술: CredentialAccess

심각도: 보통

클라우드 메타데이터 서비스에 대한 액세스가 감지됨

(K8S.NODE_ImdsCall) 1

설명: 컨테이너 내에서 실행되는 프로세스 분석에서 ID 토큰을 획득하기 위한 클라우드 메타데이터 서비스에 대한 액세스가 감지되었습니다. 컨테이너는 일반적으로 이러한 작업을 수행하지 않습니다. 이 동작은 합법적일 수 있지만 공격자는 실행 중인 컨테이너에 대한 초기 액세스 권한을 얻은 후 이 기술을 사용하여 클라우드 리소스에 액세스할 수 있습니다.

MITRE 전술: CredentialAccess

심각도: 보통

MITRE Caldera 에이전트가 검색됨

(K8S.NODE_MitreCalderaTools) 1

설명: 컨테이너 내에서 또는 Kubernetes 노드에서 직접 실행되는 프로세스의 분석에서 의심스러운 프로세스를 검색했습니다. 이는 종종 MITRE 54ndc47 에이전트와 연결되며 악의적으로 다른 컴퓨터를 공격하는 데 사용될 수 있습니다.

MITRE 전술: 지속성, PrivilegeEscalation, DefenseEvasion, CredentialAccess, 검색, LateralMovement, Execution, Collection, 반출, 명령 및 제어, 검색, 악용

심각도: 보통

1: AKS가 아닌 클러스터에 대한 미리 보기: 이 경고는 일반적으로 AKS 클러스터에서 사용할 수 있지만 Azure Arc, EKS 및 GKE와 같은 다른 환경에 대해서는 미리 보기로 제공됩니다.

2: GKE 클러스터에 대한 제한 사항: GKE는 모든 경고 유형을 지원하지 않는 Kubernetes 감사 정책을 사용합니다. 따라서 Kubernetes 감사 이벤트를 기반으로 하는 이 보안 경고는 GKE 클러스터에 대해 지원되지 않습니다.

3: 이 경고는 Windows 노드/컨테이너에서 지원됩니다.

SQL Database 및 Azure Synapse Analytics에 대한 경고

추가 세부 정보 및 참고 사항

SQL 삽입에 대한 가능한 취약성

(SQL. DB_VulnerabilityToSqlInjection SQL. SQL을 VM_VulnerabilityToSqlInjection SQL.MI_VulnerabilityToSqlInjection. DW_VulnerabilityToSqlInjection Synapse.SQLPool_VulnerabilityToSqlInjection)

설명: 애플리케이션이 데이터베이스에 잘못된 SQL 문을 생성했습니다. 이는 SQL 삽입 공격에 대한 가능한 취약성을 나타낼 수 있습니다. 잘못된 문에 대한 두 가지 가능한 이유가 있습니다. 애플리케이션 코드의 결함으로 잘못된 SQL 문이 생성되었을 수 있습니다. 또는 애플리케이션 코드 또는 저장 프로시저가 오류 SQL 문을 생성할 때 사용자 입력을 삭제하지 않았으므로 SQL 삽입에 악용될 수 있습니다.

MITRE 전술: 사전 공격

심각도: 보통

잠재적으로 유해한 애플리케이션에 의한 로그온 시도

(SQL. sql을 DB_HarmfulApplication. VM_HarmfulApplication SQL.MI_HarmfulApplication SQL. DW_HarmfulApplication Synapse.SQLPool_HarmfulApplication)

설명: 잠재적으로 유해한 애플리케이션이 리소스에 액세스하려고 했습니다.

MITRE 전술: 사전 공격

심각도: 높음

비정상적인 Azure 데이터 센터에서 로그온

(SQL. SQL을 DB_DataCenterAnomaly. SQL을 VM_DataCenterAnomaly. DW_DataCenterAnomaly SQL.MI_DataCenterAnomaly Synapse.SQLPool_DataCenterAnomaly)

설명: 누군가가 비정상적인 Azure Data Center에서 서버에 로그인한 SQL Server에 대한 액세스 패턴이 변경되었습니다. 어떤 경우에 경고는 합법적인 작업(새 응용 프로그램 또는 Azure 서비스)을 감지합니다. 다른 경우 경고는 악의적인 작업(Azure에서 위반된 리소스에서 작동하는 공격자)을 검색합니다.

MITRE 전술: 검색

심각도: 낮음

비정상적인 위치에서 로그온

(SQL. SQL을 DB_GeoAnomaly. sql을 VM_GeoAnomaly. DW_GeoAnomaly SQL.MI_GeoAnomaly Synapse.SQLPool_GeoAnomaly)

설명: 누군가가 비정상적인 지리적 위치에서 서버에 로그인한 SQL Server에 대한 액세스 패턴이 변경되었습니다. 일부 경우에서 경고는 합법적인 작업(새 애플리케이션 또는 개발자 유지 관리)을 검색합니다. 다른 경우에 경고는 악의적인 작업(퇴사 직원 또는 외부 공격자)을 감지합니다.

MITRE 전술: 악용

심각도: 보통

60일 동안 표시되지 않는 주 사용자의 로그인

(SQL. sql을 DB_PrincipalAnomaly. sql을 VM_PrincipalAnomaly. DW_PrincipalAnomaly SQL.MI_PrincipalAnomaly Synapse.SQLPool_PrincipalAnomaly)

설명: 지난 60일 동안 표시되지 않은 주 사용자가 데이터베이스에 로그인했습니다. 이 데이터베이스가 새 데이터베이스이거나 데이터베이스에 액세스하는 사용자의 최근 변경으로 인해 예상되는 동작인 경우 클라우드용 Defender는 액세스 패턴에 대한 중요한 변경 내용을 식별하고 향후 가양성 방지를 시도합니다.

MITRE 전술: 악용

심각도: 보통

60일 동안 볼 수 없는 기본 로그인

(SQL. DB_Do기본Anomaly SQL. VM_Do기본Anomaly SQL. DW_Do기본안말리 SQL.MI_Do기본안말리 Synapse.SQLPool_Do기본안말리)

설명: 사용자가 할 일에서 리소스에 로그인했습니다기본 지난 60일 동안 다른 사용자가 연결되지 않았습니다. 이 리소스가 새 리소스이거나 리소스에 액세스하는 사용자의 최근 변경으로 인해 예상되는 동작인 경우 클라우드용 Defender는 액세스 패턴에 대한 중요한 변경 내용을 식별하고 향후 가양성 방지를 시도합니다.

MITRE 전술: 악용

심각도: 보통

의심스러운 IP에서 로그인

(SQL. SQL을 DB_SuspiciousIpAnomaly. SQL을 VM_SuspiciousIpAnomaly. DW_SuspiciousIpAnomaly SQL.MI_SuspiciousIpAnomaly Synapse.SQLPool_SuspiciousIpAnomaly)

설명: Microsoft Threat Intelligence가 의심스러운 활동과 연결한 IP 주소에서 리소스에 성공적으로 액세스했습니다.

MITRE 전술: 사전 공격

심각도: 보통

잠재적인 SQL 삽입

(SQL. SQL을 DB_PotentialSqlInjection. SQL을 VM_PotentialSqlInjection SQL.MI_PotentialSqlInjection. DW_PotentialSqlInjection Synapse.SQLPool_PotentialSqlInjection)

설명: SQL 삽입에 취약한 식별된 애플리케이션에 대해 활성 악용이 발생했습니다. 즉, 공격자가 취약한 애플리케이션 코드 또는 저장 프로시저를 사용하여 악의적인 SQL 문을 삽입하려고 합니다.

MITRE 전술: 사전 공격

심각도: 높음

유효한 사용자를 사용한 무차별 암호 대입 공격 의심

(SQL. SQL을 DB_BruteForce. sql을 VM_BruteForce. DW_BruteForce SQL.MI_BruteForce Synapse.SQLPool_BruteForce)

설명: 리소스에서 잠재적인 무차별 암호 대입 공격이 감지되었습니다. 공격자는 로그인 권한이 있는 유효한 사용자(사용자 이름)를 사용하고 있습니다.

MITRE 전술: 사전 공격

심각도: 높음

무차별 암호 대입 공격 의심

(SQL. SQL을 DB_BruteForce. sql을 VM_BruteForce. DW_BruteForce SQL.MI_BruteForce Synapse.SQLPool_BruteForce)

설명: 리소스에서 잠재적인 무차별 암호 대입 공격이 감지되었습니다.

MITRE 전술: 사전 공격

심각도: 높음

무차별 암호 대입 공격 성공 의심

(SQL. SQL을 DB_BruteForce. sql을 VM_BruteForce. DW_BruteForce SQL.MI_BruteForce Synapse.SQLPool_BruteForce)

설명: 리소스에 대한 명백한 무차별 암호 대입 공격 후 성공적인 로그인이 발생했습니다.

MITRE 전술: 사전 공격

심각도: 높음

SQL Server가 잠재적으로 Windows 명령 셸을 생성하고 비정상적인 외부 원본에 액세스했습니다.

(SQL. SQL을 DB_ShellExternalSourceAnomaly. SQL을 VM_ShellExternalSourceAnomaly. DW_ShellExternalSourceAnomaly SQL.MI_ShellExternalSourceAnomaly Synapse.SQLPool_ShellExternalSourceAnomaly)

설명: 의심스러운 SQL 문은 이전에 볼 수 없었던 외부 원본이 있는 Windows 명령 셸을 생성할 수 있습니다. 외부 원본에 액세스하는 셸을 실행하는 것은 공격자가 악의적인 페이로드를 다운로드한 다음 컴퓨터에서 실행하여 손상시키는 데 사용하는 방법입니다. 이렇게 하면 공격자가 원격 방향으로 악의적인 작업을 수행할 수 있습니다. 또는 외부 원본에 액세스하여 외부 대상으로 데이터를 전송할 수 있습니다.

MITRE 전술: 실행

심각도: 높음

난독 처리된 부품이 있는 비정상적인 페이로드가 SQL Server에 의해 시작되었습니다.

(SQL. VM_PotentialSqlInjection)

설명: 누군가가 SQL 쿼리에서 명령을 숨기면서 운영 체제와 통신하는 SQL Server의 계층을 활용하는 새 페이로드를 시작했습니다. 공격자는 일반적으로 xp_cmdshell, sp_add_job 등과 같이 널리 모니터링되는 영향력 있는 명령을 숨깁니다. 난독 처리 기술은 문자열 연결, 캐스팅, 기본 변경 등과 같은 합법적인 명령을 남용하여 정규식 검색을 방지하고 로그의 가독성을 손상시킵니다.

MITRE 전술: 실행

심각도: 높음

오픈 소스 관계형 데이터베이스에 대한 경고

추가 세부 정보 및 참고 사항

유효한 사용자를 사용한 무차별 암호 대입 공격 의심

(SQL. PostgreSQL_BruteForce SQL. SQL을 MariaDB_BruteForce. MySQL_BruteForce)

설명: 리소스에서 잠재적인 무차별 암호 대입 공격이 감지되었습니다. 공격자는 로그인 권한이 있는 유효한 사용자(사용자 이름)를 사용하고 있습니다.

MITRE 전술: 사전 공격

심각도: 높음

무차별 암호 대입 공격 성공 의심

(SQL. PostgreSQL_BruteForce SQL. SQL을 MySQL_BruteForce. MariaDB_BruteForce)

설명: 리소스에 대한 명백한 무차별 암호 대입 공격 후 성공적인 로그인이 발생했습니다.

MITRE 전술: 사전 공격

심각도: 높음

무차별 암호 대입 공격 의심

(SQL. PostgreSQL_BruteForce SQL. SQL을 MySQL_BruteForce. MariaDB_BruteForce)

설명: 리소스에서 잠재적인 무차별 암호 대입 공격이 감지되었습니다.

MITRE 전술: 사전 공격

심각도: 높음

잠재적으로 유해한 애플리케이션에 의한 로그온 시도

(SQL. PostgreSQL_HarmfulApplication SQL. sql을 MariaDB_HarmfulApplication. MySQL_HarmfulApplication)

설명: 잠재적으로 유해한 애플리케이션이 리소스에 액세스하려고 했습니다.

MITRE 전술: 사전 공격

심각도: 높음

60일 동안 표시되지 않는 주 사용자의 로그인

(SQL. SQL을 PostgreSQL_PrincipalAnomaly. sql을 MariaDB_PrincipalAnomaly. MySQL_PrincipalAnomaly)

설명: 지난 60일 동안 표시되지 않은 주 사용자가 데이터베이스에 로그인했습니다. 이 데이터베이스가 새 데이터베이스이거나 데이터베이스에 액세스하는 사용자의 최근 변경으로 인해 예상되는 동작인 경우 클라우드용 Defender는 액세스 패턴에 대한 중요한 변경 내용을 식별하고 향후 가양성 방지를 시도합니다.

MITRE 전술: 악용

심각도: 보통

60일 동안 볼 수 없는 기본 로그인

(SQL. MariaDB_Do기본Anomaly SQL. PostgreSQL_Do기본Anomaly SQL. MySQL_Do기본안말리)

설명: 사용자가 할 일에서 리소스에 로그인했습니다기본 지난 60일 동안 다른 사용자가 연결되지 않았습니다. 이 리소스가 새 리소스이거나 리소스에 액세스하는 사용자의 최근 변경으로 인해 예상되는 동작인 경우 클라우드용 Defender는 액세스 패턴에 대한 중요한 변경 내용을 식별하고 향후 가양성 방지를 시도합니다.

MITRE 전술: 악용

심각도: 보통

비정상적인 Azure 데이터 센터에서 로그온

(SQL. SQL을 PostgreSQL_DataCenterAnomaly. SQL을 MariaDB_DataCenterAnomaly. MySQL_DataCenterAnomaly)

설명: 비정상적인 Azure 데이터 센터에서 리소스에 로그온한 사람

MITRE 전술: 검색

심각도: 낮음

비정상적인 클라우드 공급자에서 로그온

(SQL. SQL을 PostgreSQL_CloudProviderAnomaly. MariaDB_CloudProviderAnomaly SQL. MySQL_CloudProviderAnomaly)

설명: 지난 60일 동안 클라우드 공급자에서 리소스에 로그온한 사람이 없습니다. 위협 행위자는 캠페인에서 사용할 일회성 컴퓨팅 능력을 쉽고 빠르게 얻을 수 있습니다. 새 클라우드 공급자의 최근 채택으로 인해 예상되는 동작인 경우 클라우드용 Defender는 시간이 지남에 따라 학습하고 향후 가양성 방지를 시도합니다.

MITRE 전술: 악용

심각도: 보통

비정상적인 위치에서 로그온

(SQL. sql을 MariaDB_GeoAnomaly. PostgreSQL_GeoAnomaly SQL. MySQL_GeoAnomaly)

설명: 비정상적인 Azure 데이터 센터에서 리소스에 로그온한 사람

MITRE 전술: 악용

심각도: 보통

의심스러운 IP에서 로그인

(SQL. PostgreSQL_SuspiciousIpAnomaly SQL. sql을 MariaDB_SuspiciousIpAnomaly. MySQL_SuspiciousIpAnomaly)

설명: Microsoft Threat Intelligence가 의심스러운 활동과 연결한 IP 주소에서 리소스에 성공적으로 액세스했습니다.

MITRE 전술: 사전 공격

심각도: 보통

Resource Manager에 대한 경고

참고 항목

위임된 액세스 표시가 있는 경고는 타사 서비스 공급자의 활동으로 인해 트리거됩니다. 서비스 공급자 활동 표시에 대해 자세히 알아봅니다.

추가 세부 정보 및 참고 사항

의심스러운 IP 주소에서 Azure Resource Manager 작업

(ARM_OperationFromSuspiciousIP)

설명: Microsoft Defender for Resource Manager는 위협 인텔리전스 피드에서 의심스러운 것으로 표시된 IP 주소에서 작업을 검색했습니다.

MITRE 전술: 실행

심각도: 보통

의심스러운 프록시 IP 주소에서 Azure Resource Manager 작업

(ARM_OperationFromSuspiciousProxyIP)

설명: Resource Manager용 Microsoft Defender가 TOR과 같은 프록시 서비스와 연결된 IP 주소에서 리소스 관리 작업을 검색했습니다. 이 동작은 합법적일 수 있지만 위협 행위자가 원본 IP를 숨기려고 할 때 악의적인 활동에서 자주 볼 수 있습니다.

MITRE 전술: 방어 회피

심각도: 보통

구독에서 리소스를 열거하는 데 사용된 MicroBurst 악용 도구 키트

(ARM_MicroBurst.AzDomainInfo)

설명: PowerShell 스크립트가 구독에서 실행되었으며 리소스, 권한 및 네트워크 구조를 검색하기 위해 정보 수집 작업을 실행하는 의심스러운 패턴을 수행했습니다. 위협 행위자가 MicroBurst와 같은 자동화된 스크립트를 사용하여 악의적인 활동에 대한 정보를 수집합니다. 이는 구독에서 Azure Resource Manager 작업을 분석하면서 검색되었습니다. 이 작업은 조직의 ID가 침해되었으며 위협 행위자가 악의적인 의도로 환경을 손상하려고 함을 나타낼 수 있습니다.

MITRE 전술: -

심각도: 낮음

구독에서 리소스를 열거하는 데 사용된 MicroBurst 악용 도구 키트

(ARM_MicroBurst.AzureDo기본Info)

설명: PowerShell 스크립트가 구독에서 실행되었으며 리소스, 권한 및 네트워크 구조를 검색하기 위해 정보 수집 작업을 실행하는 의심스러운 패턴을 수행했습니다. 위협 행위자가 MicroBurst와 같은 자동화된 스크립트를 사용하여 악의적인 활동에 대한 정보를 수집합니다. 이는 구독에서 Azure Resource Manager 작업을 분석하면서 검색되었습니다. 이 작업은 조직의 ID가 침해되었으며 위협 행위자가 악의적인 의도로 환경을 손상하려고 함을 나타낼 수 있습니다.

MITRE 전술: -

심각도: 낮음

가상 머신에서 코드를 실행하는 데 사용되는 MicroBurst 악용 도구 키트

(ARM_MicroBurst.AzVMBulkCMD)

설명: PowerShell 스크립트가 구독에서 실행되었으며 VM 또는 VM 목록에서 코드를 실행하는 의심스러운 패턴을 수행했습니다. 위협 행위자가 MicroBurst와 같은 자동화된 스크립트를 사용하여 악의적인 활동을 위해 VM에서 스크립트를 실행합니다. 이는 구독에서 Azure Resource Manager 작업을 분석하면서 검색되었습니다. 이 작업은 조직의 ID가 침해되었으며 위협 행위자가 악의적인 의도로 환경을 손상하려고 함을 나타낼 수 있습니다.

MITRE 전술: 실행

심각도: 높음

가상 머신에서 코드를 실행하는 데 사용되는 MicroBurst 악용 도구 키트

(RM_MicroBurst.AzureRmVMBulkCMD)

설명: MicroBurst의 악용 도구 키트는 가상 머신에서 코드를 실행하는 데 사용되었습니다. 이는 구독에서 Azure Resource Manager 작업을 분석하면서 검색되었습니다.

MITRE 전술: -

심각도: 높음

Azure Key Vault에서 키를 추출하는 데 사용되는 MicroBurst 악용 도구 키트

(ARM_MicroBurst.AzKeyVaultKeysREST)

설명: PowerShell 스크립트가 구독에서 실행되었으며 Azure Key Vault에서 키를 추출하는 의심스러운 패턴을 수행했습니다. 위협 행위자가 MicroBurst와 같은 자동화된 스크립트를 사용하여 키를 나열하고 이를 사용하여 중요한 데이터에 액세스하거나 횡적 이동을 수행합니다. 이는 구독에서 Azure Resource Manager 작업을 분석하면서 검색되었습니다. 이 작업은 조직의 ID가 침해되었으며 위협 행위자가 악의적인 의도로 환경을 손상하려고 함을 나타낼 수 있습니다.

MITRE 전술: -

심각도: 높음

스토리지 계정에 키를 추출하는 데 사용되는 MicroBurst 악용 도구 키트

(ARM_MicroBurst.AZStorageKeysREST)

설명: PowerShell 스크립트가 구독에서 실행되었으며 스토리지 계정에 키를 추출하는 의심스러운 패턴을 수행했습니다. 위협 행위자가 MicroBurst와 같은 자동화된 스크립트를 사용하여 키를 나열하고 이를 사용하여 스토리지 계정의 중요한 데이터에 액세스합니다. 이는 구독에서 Azure Resource Manager 작업을 분석하면서 검색되었습니다. 이 작업은 조직의 ID가 침해되었으며 위협 행위자가 악의적인 의도로 환경을 손상하려고 함을 나타낼 수 있습니다.

MITRE 전술: 컬렉션

심각도: 높음

Azure Key Vault에서 비밀을 추출하는 데 사용되는 MicroBurst 악용 도구 키트

(ARM_MicroBurst.AzKeyVaultSecretsREST)

설명: PowerShell 스크립트가 구독에서 실행되었으며 Azure Key Vault에서 비밀을 추출하는 의심스러운 패턴을 수행했습니다. 위협 행위자가 MicroBurst와 같은 자동화된 스크립트를 사용하여 비밀을 나열하고 이를 사용하여 중요한 데이터에 액세스하거나 횡적 이동을 수행합니다. 이는 구독에서 Azure Resource Manager 작업을 분석하면서 검색되었습니다. 이 작업은 조직의 ID가 침해되었으며 위협 행위자가 악의적인 의도로 환경을 손상하려고 함을 나타낼 수 있습니다.

MITRE 전술: -

심각도: 높음

Azure AD에서 Azure로 액세스를 상승시키는 데 사용되는 PowerZure 악용 도구 키트

(ARM_PowerZure.AzureElevatedPrivileges)

설명: PowerZure 악용 도구 키트는 AzureAD에서 Azure로의 액세스를 상승시키는 데 사용되었습니다. 이는 테넌트에서 Azure Resource Manager 작업을 분석하면서 검색되었습니다.

MITRE 전술: -

심각도: 높음

리소스를 열거하는 데 PowerZure 악용 도구 키트가 사용됨

(ARM_PowerZure.GetAzureTargets)

설명: PowerZure 악용 도구 키트는 조직의 합법적인 사용자 계정을 대신하여 리소스를 열거하는 데 사용되었습니다. 이는 구독에서 Azure Resource Manager 작업을 분석하면서 검색되었습니다.

MITRE 전술: 컬렉션

심각도: 높음

스토리지 컨테이너, 공유 및 테이블을 열거하는 데 사용되는 PowerZure 악용 도구 키트

(ARM_PowerZure.ShowStorageContent)

설명: PowerZure 악용 도구 키트는 스토리지 공유, 테이블 및 컨테이너를 열거하는 데 사용되었습니다. 이는 구독에서 Azure Resource Manager 작업을 분석하면서 검색되었습니다.

MITRE 전술: -

심각도: 높음

구독에서 Runbook을 실행하는 데 사용되는 PowerZure 악용 도구 키트

(ARM_PowerZure.StartRunbook)

설명: PowerZure 악용 도구 키트는 Runbook을 실행하는 데 사용되었습니다. 이는 구독에서 Azure Resource Manager 작업을 분석하면서 검색되었습니다.

MITRE 전술: -

심각도: 높음

Runbook 콘텐츠를 추출하는 데 사용되는 PowerZure 악용 도구 키트

(ARM_PowerZure.AzureRunbookContent)

설명: PowerZure 악용 도구 키트는 Runbook 콘텐츠를 추출하는 데 사용되었습니다. 이는 구독에서 Azure Resource Manager 작업을 분석하면서 검색되었습니다.

MITRE 전술: 컬렉션

심각도: 높음

미리 보기 - Azurite 도구 키트 실행이 검색됨

(ARM_Azurite)

설명: 사용자 환경에서 알려진 클라우드 환경 정찰 도구 키트 실행이 검색되었습니다. Azurite 도구는 공격자(또는 침투 테스터)가 구독 리소스를 매핑하고 안전하지 않은 구성을 식별하는 데 사용할 수 있습니다.

MITRE 전술: 컬렉션

심각도: 높음

미리 보기 - 의심스러운 컴퓨팅 리소스 만들기가 탐지됨

(ARM_SuspiciousComputeCreation)

설명: Resource Manager용 Microsoft Defender는 Virtual Machines/Azure Scale Set을 사용하여 구독에서 컴퓨팅 리소스를 만드는 의심스러운 생성을 확인했습니다. 식별된 작업은 관리자가 필요할 때 새로운 리소스를 배포하여 환경을 효율적으로 관리할 수 있도록 설계되었습니다. 이 활동은 합법적일 수 있지만 위협 행위자가 이러한 작업을 활용하여 암호화 마이닝을 수행할 수 있습니다. 이 작업은 컴퓨팅 리소스 규모가 이전에 구독에서 관찰된 것보다 높으므로 의심스러운 것으로 간주됩니다. 이는 보안 주체가 손상되어 악의적인 의도로 사용되고 있음을 나타낼 수 있습니다.

MITRE 전술: 영향

심각도: 보통

미리 보기 - 의심스러운 키 자격 증명 모음 복구가 검색됨

(Arm_Suspicious_Vault_Recovering)

설명: Microsoft Defender for Resource Manager에서 일시 삭제된 키 자격 증명 모음 리소스에 대한 의심스러운 복구 작업을 검색했습니다. 리소스를 복구하는 사용자는 리소스를 삭제한 사용자와 다릅니다. 사용자가 이러한 작업을 거의 호출하지 않으므로 이는 매우 의심스럽습니다. 또한 사용자는 MFA(다단계 인증) 없이 로그온했습니다. 이는 사용자가 손상되어 중요한 리소스에 액세스하거나 네트워크를 통해 횡적 이동을 수행하기 위해 비밀 및 키를 검색하려고 시도 중임을 나타낼 수 있습니다.

MITRE 전술: 횡적 이동

심각도: 중간/높음

미리 보기 - 비활성 계정을 사용하는 의심스러운 관리 세션이 검색됨

(ARM_UnusedAccountPersistence)

설명: 구독 활동 로그 분석에서 의심스러운 동작을 감지했습니다. 오랫동안 사용하지 않는 보안 주체는 이제 공격자의 지속성을 보호할 수 있는 작업을 수행하고 있습니다.

MITRE 전술: 지속성

심각도: 보통

미리 보기 - 검색된 서비스 주체에 의한 고위험 '자격 증명 액세스' 작업의 의심스러운 호출

(ARM_AnomalousServiceOperation.CredentialAccess)

설명: Resource Manager용 Microsoft Defender는 구독에서 위험 수준이 높은 작업의 의심스러운 호출을 확인했습니다. 이는 자격 증명에 액세스하려는 시도를 나타낼 수 있습니다. 식별된 작업은 관리자가 환경을 효율적으로 관리할 수 있도록 설계되었습니다. 이 활동은 합법적일 수 있지만 위협 행위자가 이러한 작업을 활용하여 제한된 자격 증명에 액세스하고 사용자 환경에서 리소스를 손상시킬 수 있습니다. 이는 서비스 주체가 손상되어 악의적인 의도로 사용되고 있음을 나타낼 수 있습니다.

MITRE 전술: 자격 증명 액세스

심각도: 보통

미리 보기 - 검색된 서비스 주체에 의한 고위험 '데이터 수집' 작업의 의심스러운 호출

(ARM_AnomalousServiceOperation.Collection)

설명: Resource Manager용 Microsoft Defender는 구독에서 위험 수준이 높은 작업의 의심스러운 호출을 확인했습니다. 이는 데이터 수집 시도를 나타낼 수 있습니다. 식별된 작업은 관리자가 환경을 효율적으로 관리할 수 있도록 설계되었습니다. 이 활동은 합법적일 수 있지만 위협 행위자가 이러한 작업을 활용하여 사용자 환경의 리소스에 대한 중요한 데이터를 수집할 수 있습니다. 이는 서비스 주체가 손상되어 악의적인 의도로 사용되고 있음을 나타낼 수 있습니다.

MITRE 전술: 컬렉션

심각도: 보통

미리 보기 - 검색된 서비스 주체에 의한 고위험 '방어 회피' 작업의 의심스러운 호출

(ARM_AnomalousServiceOperation.DefenseEvasion)

설명: Resource Manager용 Microsoft Defender는 구독에서 위험 수준이 높은 작업의 의심스러운 호출을 확인했습니다. 이는 방어를 회피하려는 시도를 나타낼 수 있습니다. 식별된 작업은 관리자가 환경의 보안 태세를 효율적으로 관리할 수 있도록 설계되었습니다. 이 활동은 합법적일 수 있지만 위협 행위자가 이러한 작업을 활용하여 사용자 환경의 리소스를 손상시키는 동안 검색되지 않도록 할 수 있습니다. 이는 서비스 주체가 손상되어 악의적인 의도로 사용되고 있음을 나타낼 수 있습니다.

MITRE 전술: 방어 회피

심각도: 보통

미리 보기 - 검색된 서비스 주체에 의한 고위험 '실행' 작업의 의심스러운 호출

(ARM_AnomalousServiceOperation.Execution)

설명: Resource Manager용 Microsoft Defender는 구독의 컴퓨터에서 위험 수준이 높은 작업의 의심스러운 호출을 확인했습니다. 이는 코드를 실행하려는 시도를 나타낼 수 있습니다. 식별된 작업은 관리자가 환경을 효율적으로 관리할 수 있도록 설계되었습니다. 이 활동은 합법적일 수 있지만 위협 행위자가 이러한 작업을 활용하여 제한된 자격 증명에 액세스하고 사용자 환경에서 리소스를 손상시킬 수 있습니다. 이는 서비스 주체가 손상되어 악의적인 의도로 사용되고 있음을 나타낼 수 있습니다.

MITRE 전술: 방어 실행

심각도: 보통

미리 보기 - 검색된 서비스 주체에 의한 고위험 '영향' 작업의 의심스러운 호출

(ARM_AnomalousServiceOperation.Impact)

설명: Resource Manager용 Microsoft Defender는 구독에서 위험 수준이 높은 작업의 의심스러운 호출을 확인했습니다. 이는 구성 변경을 시도했음을 나타낼 수 있습니다. 식별된 작업은 관리자가 환경을 효율적으로 관리할 수 있도록 설계되었습니다. 이 활동은 합법적일 수 있지만 위협 행위자가 이러한 작업을 활용하여 제한된 자격 증명에 액세스하고 사용자 환경에서 리소스를 손상시킬 수 있습니다. 이는 서비스 주체가 손상되어 악의적인 의도로 사용되고 있음을 나타낼 수 있습니다.

MITRE 전술: 영향

심각도: 보통

미리 보기 - 검색된 서비스 주체에 의한 고위험 '초기 액세스' 작업의 의심스러운 호출

(ARM_AnomalousServiceOperation.InitialAccess)

설명: 리소스 관리자용 Microsoft Defender는 구독에서 위험 수준이 높은 작업의 의심스러운 호출을 확인했습니다. 이는 제한된 리소스에 액세스하려는 시도를 나타낼 수 있습니다. 식별된 작업은 관리자가 해당 환경에 효율적으로 액세스할 수 있도록 설계되었습니다. 이 활동은 합법적일 수 있지만 위협 행위자는 이러한 작업을 활용하여 사용자 환경의 제한된 리소스에 대한 초기 액세스를 얻을 수 있습니다. 이는 서비스 주체가 손상되어 악의적인 의도로 사용되고 있음을 나타낼 수 있습니다.

MITRE 전술: 초기 액세스

심각도: 보통

미리 보기 - 검색된 서비스 주체에 의한 고위험 '횡적 이동 액세스' 작업의 의심스러운 호출

(ARM_AnomalousServiceOperation.LateralMovement)

설명: Resource Manager용 Microsoft Defender는 구독에서 위험 수준이 높은 작업의 의심스러운 호출을 확인했습니다. 이는 횡적 이동을 수행하려는 시도를 나타낼 수 있습니다. 식별된 작업은 관리자가 환경을 효율적으로 관리할 수 있도록 설계되었습니다. 이 활동은 합법적일 수 있지만 위협 행위자가 이러한 작업을 활용하여 사용자 환경에서 더 많은 리소스를 손상시킬 수 있습니다. 이는 서비스 주체가 손상되어 악의적인 의도로 사용되고 있음을 나타낼 수 있습니다.

MITRE 전술: 횡적 이동

심각도: 보통

미리 보기 - 검색된 서비스 주체에 의한 고위험 '지속성' 작업의 의심스러운 호출

(ARM_AnomalousServiceOperation.Persistence)

설명: Resource Manager용 Microsoft Defender는 구독에서 위험 수준이 높은 작업의 의심스러운 호출을 확인했습니다. 이는 지속성을 설정하려는 시도를 나타낼 수 있습니다. 식별된 작업은 관리자가 환경을 효율적으로 관리할 수 있도록 설계되었습니다. 이 활동은 합법적일 수 있지만 위협 행위자가 이러한 작업을 활용하여 사용자 환경에서 지속성을 설정할 수 있습니다. 이는 서비스 주체가 손상되어 악의적인 의도로 사용되고 있음을 나타낼 수 있습니다.

MITRE 전술: 지속성

심각도: 보통

미리 보기 - 검색된 서비스 주체에 의한 고위험 '권한 에스컬레이션' 작업의 의심스러운 호출

(ARM_AnomalousServiceOperation.PrivilegeEscalation)

설명: Resource Manager용 Microsoft Defender는 구독에서 위험 수준이 높은 작업의 의심스러운 호출을 확인했습니다. 이는 권한을 확대하려는 시도를 나타낼 수 있습니다. 식별된 작업은 관리자가 환경을 효율적으로 관리할 수 있도록 설계되었습니다. 이 활동은 합법적일 수 있지만 위협 행위자가 이러한 작업을 활용하여 사용자 환경의 리소스를 손상시키면서 권한을 에스컬레이션할 수 있습니다. 이는 서비스 주체가 손상되어 악의적인 의도로 사용되고 있음을 나타낼 수 있습니다.

MITRE 전술: 권한 상승

심각도: 보통

미리 보기 - 비활성 계정을 사용하는 의심스러운 관리 세션이 검색됨

(ARM_UnusedAccountPersistence)

설명: 구독 활동 로그 분석에서 의심스러운 동작을 감지했습니다. 오랫동안 사용하지 않는 보안 주체는 이제 공격자의 지속성을 보호할 수 있는 작업을 수행하고 있습니다.

MITRE 전술: 지속성

심각도: 보통

미리 보기 - PowerShell을 사용한 의심스러운 관리 세션이 감지됨

(ARM_UnusedAppPowershellPersistence)

설명: 구독 활동 로그 분석에서 의심스러운 동작을 감지했습니다. 구독 환경을 관리하는 데 정기적으로 PowerShell을 사용하지 않는 보안 주체가 현재 PowerShell을 사용하고 공격자의 지속성을 보호할 수 있는 작업을 수행하고 있습니다.

MITRE 전술: 지속성

심각도: 보통

미리 보기" Azure Portal을 사용하는 의심스러운 관리 세션이 검색됨

(ARM_UnusedAppIbizaPersistence)

설명: 구독 활동 로그를 분석한 결과 의심스러운 동작이 감지되었습니다. Azure Portal(Ibiza)을 정기적으로 사용하여 구독 환경을 관리하지 않는 보안 주체(지난 45일 동안 Azure Portal을 사용하여 관리하지 않았거나 적극적으로 관리 중인 구독)는 이제 Azure Portal을 사용하고 공격자의 지속성을 보호할 수 있는 작업을 수행하고 있습니다.

MITRE 전술: 지속성

심각도: 보통

의심스러운 방식으로 구독에 대해 생성된 권한 있는 사용자 지정 역할(미리 보기)

(ARM_PrivilegedRoleDefinitionCreation)

설명: Resource Manager용 Microsoft Defender에서 구독에서 권한 있는 사용자 지정 역할 정의의 의심스러운 생성을 감지했습니다. 조직의 합법적인 사용자가 이 작업을 수행했을 수 있습니다. 또는 조직의 계정이 위반되었으며 위협 행위자가 향후 탐지를 회피하는 데 사용할 권한 있는 역할을 만들려고 시도 중임을 나타낼 수 있습니다.

MITRE 전술: 권한 상승, 방어 회피

심각도: 정보 제공

의심스러운 Azure 역할 할당 검색됨(미리 보기)

(ARM_AnomalousRBACRoleAssignment)

설명: Microsoft Defender for Resource Manager는 테넌트에서 PIM(Privileged Identity Management)을 사용하여 수행된 의심스러운 Azure 역할 할당을 식별했습니다. 이는 조직의 계정이 손상되었음을 나타낼 수 있습니다. 식별된 작업은 관리자가 주체에게 Azure 리소스에 대한 액세스 권한을 부여할 수 있도록 설계되었습니다. 이 활동은 합법적일 수 있지만 위협 행위자가 역할 할당을 활용하여 공격을 진행할 수 있도록 권한을 에스컬레이션할 수 있습니다.

MITRE 전술: 횡적 이동, 방어 회피

심각도: 낮음(PIM) / 높음

위험 수준이 높은 ‘자격 증명 액세스’ 작업의 의심스러운 호출 감지됨(미리 보기)

(ARM_AnomalousOperation.CredentialAccess)

설명: Resource Manager용 Microsoft Defender는 구독에서 위험 수준이 높은 작업의 의심스러운 호출을 확인했습니다. 이는 자격 증명에 액세스하려는 시도를 나타낼 수 있습니다. 식별된 작업은 관리자가 해당 환경에 효율적으로 액세스할 수 있도록 설계되었습니다. 이 활동은 합법적일 수 있지만 위협 행위자가 이러한 작업을 활용하여 제한된 자격 증명에 액세스하고 사용자 환경에서 리소스를 손상시킬 수 있습니다. 이는 계정이 손상되어 악의적인 의도로 사용되고 있음을 나타낼 수 있습니다.

MITRE 전술: 자격 증명 액세스

심각도: 보통

고위험 '데이터 컬렉션' 작업의 의심스러운 호출이 검색됨(미리 보기)

(ARM_AnomalousOperation.Collection)

설명: Resource Manager용 Microsoft Defender는 구독에서 위험 수준이 높은 작업의 의심스러운 호출을 확인했습니다. 이는 데이터 수집 시도를 나타낼 수 있습니다. 식별된 작업은 관리자가 환경을 효율적으로 관리할 수 있도록 설계되었습니다. 이 활동은 합법적일 수 있지만 위협 행위자가 이러한 작업을 활용하여 사용자 환경의 리소스에 대한 중요한 데이터를 수집할 수 있습니다. 이는 계정이 손상되어 악의적인 의도로 사용되고 있음을 나타낼 수 있습니다.

MITRE 전술: 컬렉션

심각도: 보통

고위험 '방어 회피' 작업의 의심스러운 호출이 검색됨(미리 보기)

(ARM_AnomalousOperation.DefenseEvasion)

설명: Resource Manager용 Microsoft Defender는 구독에서 위험 수준이 높은 작업의 의심스러운 호출을 확인했습니다. 이는 방어를 회피하려는 시도를 나타낼 수 있습니다. 식별된 작업은 관리자가 환경의 보안 태세를 효율적으로 관리할 수 있도록 설계되었습니다. 이 활동은 합법적일 수 있지만 위협 행위자가 이러한 작업을 활용하여 사용자 환경의 리소스를 손상시키는 동안 검색되지 않도록 할 수 있습니다. 이는 계정이 손상되어 악의적인 의도로 사용되고 있음을 나타낼 수 있습니다.

MITRE 전술: 방어 회피

심각도: 보통

고위험 '실행' 작업의 의심스러운 호출이 검색됨(미리 보기)

(ARM_AnomalousOperation.Execution)

설명: Resource Manager용 Microsoft Defender는 구독의 컴퓨터에서 위험 수준이 높은 작업의 의심스러운 호출을 확인했습니다. 이는 코드를 실행하려는 시도를 나타낼 수 있습니다. 식별된 작업은 관리자가 환경을 효율적으로 관리할 수 있도록 설계되었습니다. 이 활동은 합법적일 수 있지만 위협 행위자가 이러한 작업을 활용하여 제한된 자격 증명에 액세스하고 사용자 환경에서 리소스를 손상시킬 수 있습니다. 이는 계정이 손상되어 악의적인 의도로 사용되고 있음을 나타낼 수 있습니다.

MITRE 전술: 실행

심각도: 보통

고위험 '영향' 작업의 의심스러운 호출이 검색됨(미리 보기)

(ARM_AnomalousOperation.Impact)

설명: Resource Manager용 Microsoft Defender는 구독에서 위험 수준이 높은 작업의 의심스러운 호출을 확인했습니다. 이는 구성 변경을 시도했음을 나타낼 수 있습니다. 식별된 작업은 관리자가 환경을 효율적으로 관리할 수 있도록 설계되었습니다. 이 활동은 합법적일 수 있지만 위협 행위자가 이러한 작업을 활용하여 제한된 자격 증명에 액세스하고 사용자 환경에서 리소스를 손상시킬 수 있습니다. 이는 계정이 손상되어 악의적인 의도로 사용되고 있음을 나타낼 수 있습니다.

MITRE 전술: 영향

심각도: 보통

위험 수준이 높은 ‘초기 액세스’ 작업의 의심스러운 호출 감지됨(미리 보기)

(ARM_AnomalousOperation.InitialAccess)

설명: 리소스 관리자용 Microsoft Defender는 구독에서 위험 수준이 높은 작업의 의심스러운 호출을 확인했습니다. 이는 제한된 리소스에 액세스하려는 시도를 나타낼 수 있습니다. 식별된 작업은 관리자가 해당 환경에 효율적으로 액세스할 수 있도록 설계되었습니다. 이 활동은 합법적일 수 있지만 위협 행위자는 이러한 작업을 활용하여 사용자 환경의 제한된 리소스에 대한 초기 액세스를 얻을 수 있습니다. 이는 계정이 손상되어 악의적인 의도로 사용되고 있음을 나타낼 수 있습니다.

MITRE 전술: 초기 액세스

심각도: 보통

고위험 '측면 이동' 작업의 의심스러운 호출이 검색됨(미리 보기)

(ARM_AnomalousOperation.LateralMovement)

설명: Resource Manager용 Microsoft Defender는 구독에서 위험 수준이 높은 작업의 의심스러운 호출을 확인했습니다. 이는 횡적 이동을 수행하려는 시도를 나타낼 수 있습니다. 식별된 작업은 관리자가 환경을 효율적으로 관리할 수 있도록 설계되었습니다. 이 활동은 합법적일 수 있지만 위협 행위자가 이러한 작업을 활용하여 사용자 환경에서 더 많은 리소스를 손상시킬 수 있습니다. 이는 계정이 손상되어 악의적인 의도로 사용되고 있음을 나타낼 수 있습니다.

MITRE 전술: 횡적 이동

심각도: 보통

의심스러운 권한 상승 액세스 작업(미리 보기)(ARM_AnomalousElevateAccess)

설명: Resource Manager용 Microsoft Defender에서 의심스러운 "액세스 권한 상승" 작업을 확인했습니다. 이 보안 주체는 이러한 작업을 거의 호출하지 못하므로 활동이 의심스러운 것으로 간주됩니다. 이 활동은 합법적일 수 있지만 위협 행위자가 "액세스 권한 상승" 작업을 활용하여 손상된 사용자에 대한 권한 에스컬레이션을 수행할 수 있습니다.

MITRE 전술: 권한 상승

심각도: 보통

고위험 '지속성' 작업의 의심스러운 호출이 검색됨(미리 보기)

(ARM_AnomalousOperation.Persistence)

설명: Resource Manager용 Microsoft Defender는 구독에서 위험 수준이 높은 작업의 의심스러운 호출을 확인했습니다. 이는 지속성을 설정하려는 시도를 나타낼 수 있습니다. 식별된 작업은 관리자가 환경을 효율적으로 관리할 수 있도록 설계되었습니다. 이 활동은 합법적일 수 있지만 위협 행위자가 이러한 작업을 활용하여 사용자 환경에서 지속성을 설정할 수 있습니다. 이는 계정이 손상되어 악의적인 의도로 사용되고 있음을 나타낼 수 있습니다.

MITRE 전술: 지속성

심각도: 보통

고위험 '권한 상승' 작업의 의심스러운 호출이 검색됨(미리 보기)

(ARM_AnomalousOperation.PrivilegeEscalation)

설명: Resource Manager용 Microsoft Defender는 구독에서 위험 수준이 높은 작업의 의심스러운 호출을 확인했습니다. 이는 권한을 확대하려는 시도를 나타낼 수 있습니다. 식별된 작업은 관리자가 환경을 효율적으로 관리할 수 있도록 설계되었습니다. 이 활동은 합법적일 수 있지만 위협 행위자가 이러한 작업을 활용하여 사용자 환경의 리소스를 손상시키면서 권한을 에스컬레이션할 수 있습니다. 이는 계정이 손상되어 악의적인 의도로 사용되고 있음을 나타낼 수 있습니다.

MITRE 전술: 권한 상승

심각도: 보통

MicroBurst 악용 도구 키트를 사용하여 임의 코드를 실행하거나 Azure Automation 계정 자격 증명을 유출

(ARM_MicroBurst.RunCodeOnBehalf)

설명: PowerShell 스크립트가 구독에서 실행되었으며 임의의 코드를 실행하거나 Azure Automation 계정 자격 증명을 유출하는 의심스러운 패턴을 수행했습니다. 위협 행위자가 MicroBurst와 같은 자동화된 스크립트를 사용하여 악의적인 활동에 대해 임의의 코드를 실행합니다. 이는 구독에서 Azure Resource Manager 작업을 분석하면서 검색되었습니다. 이 작업은 조직의 ID가 침해되었으며 위협 행위자가 악의적인 의도로 환경을 손상하려고 함을 나타낼 수 있습니다.

MITRE 전술: 지속성, 자격 증명 액세스

심각도: 높음

NetSPI 기술을 사용하여 Azure 환경에서 지속성을 기본

(ARM_NetSPI.MaintainPersistence)

설명: NetSPI 지속성 기술을 사용하여 웹후크 백도어 만들기 및 azure 환경에서 지속성을 기본. 이는 구독에서 Azure Resource Manager 작업을 분석하면서 검색되었습니다.

MITRE 전술: -

심각도: 높음

임의 코드를 실행하거나 Azure Automation 계정 자격 증명을 반출하기 위해 PowerZure 악용 도구 키트 사용

(ARM_PowerZure.RunCodeOnBehalf)

설명: PowerZure 악용 도구 키트가 코드를 실행하거나 Azure Automation 계정 자격 증명을 유출하려고 시도하는 것을 감지했습니다. 이는 구독에서 Azure Resource Manager 작업을 분석하면서 검색되었습니다.

MITRE 전술: -

심각도: 높음

Azure 환경에서 지속성을 기본 데 PowerZure 함수 사용

(ARM_PowerZure.MaintainPersistence)

설명: PowerZure 악용 도구 키트가 Azure 환경에서 지속성을 기본 위해 웹후크 백도어를 만드는 것을 감지했습니다. 이는 구독에서 Azure Resource Manager 작업을 분석하면서 검색되었습니다.

MITRE 전술: -

심각도: 높음

의심스러운 클래식 역할 할당 검색됨(미리 보기)

(ARM_AnomalousClassicRoleAssignment)

설명: Resource Manager용 Microsoft Defender는 테넌트에서 의심스러운 클래식 역할 할당을 식별했는데, 이는 조직의 계정이 손상되었음을 나타낼 수 있습니다. 식별된 작업은 더 이상 일반적으로 사용되지 않는 이전 클래식 역할과의 호환성을 제공하도록 설계되었습니다. 이 활동은 합법적일 수 있지만 위협 행위자가 이러한 할당을 활용하여 제어하는 다른 사용자 계정에 권한을 부여할 수 있습니다.

MITRE 전술: 횡적 이동, 방어 회피

심각도: 높음

Azure Storage에 대한 경고

추가 세부 정보 및 참고 사항

의심스러운 애플리케이션에서 액세스

(Storage.Blob_SuspiciousApp)

설명: 의심스러운 애플리케이션이 인증을 사용하여 스토리지 계정의 컨테이너에 성공적으로 액세스했음을 나타냅니다. 이는 공격자가 계정에 액세스하는 데 필요한 자격 증명을 얻었고 이를 악용하고 있음을 나타내는 것일 수 있습니다. 이는 또한 조직에서 수행된 침투 테스트의 표시일 수 있습니다. 적용 대상: Azure Blob Storage, Azure Data Lake Storage Gen2

MITRE 전술: 초기 액세스

심각도: 높음/보통

의심스러운 IP 주소에서 액세스

(Storage.Blob_SuspiciousIp Storage.Files_SuspiciousIp)

설명: 의심스러운 것으로 간주되는 IP 주소에서 이 스토리지 계정에 성공적으로 액세스했음을 나타냅니다. 이 경고는 Microsoft 위협 인텔리전스를 통해 지원됩니다. Microsoft의 위협 인텔리전스 기능에 대해 자세히 알아보세요. 적용 대상: Azure Blob Storage, Azure Files, Azure Data Lake Storage Gen2

MITRE 전술: 사전 공격

심각도: 높음/보통/낮음

스토리지 계정에서 호스트되는 피싱 콘텐츠

(Storage.Blob_PhishingContent Storage.Files_PhishingContent)

설명: 피싱 공격에 사용되는 URL은 Azure Storage 계정을 가리킵니다. 이 URL은 Microsoft 365 사용자에게 영향을 주는 피싱 공격의 일부였습니다. 일반적으로 이러한 페이지에서 호스트되는 콘텐츠는 방문자가 합법적인 웹 양식에 회사 자격 증명 또는 재무 정보를 입력하도록 속이도록 설계되었습니다. 이 경고는 Microsoft 위협 인텔리전스를 통해 지원됩니다. Microsoft의 위협 인텔리전스 기능에 대해 자세히 알아보세요. 적용 대상: Azure Blob Storage, Azure Files

MITRE 전술: 컬렉션

심각도: 높음

맬웨어 배포를 위한 원본으로 식별된 스토리지 계정

(Storage.Files_WidespreadeAm)

설명: 맬웨어 방지 경고는 감염된 파일이 여러 VM에 탑재된 Azure 파일 공유에 저장됨을 나타냅니다. 공격자가 탑재된 Azure 파일 공유를 사용하여 VM에 액세스하는 경우 이를 사용하여 동일한 공유를 탑재하는 다른 VM에 맬웨어를 전파할 수 있습니다. 적용 대상: Azure Files

MITRE 전술: 실행

심각도: 보통

인증되지 않은 공용 액세스를 허용하도록 잠재적으로 중요한 스토리지 Blob 컨테이너의 액세스 수준이 변경되었습니다.

(Storage.Blob_OpenACL)

설명: 경고는 누군가가 인증되지 않은(익명) 공용 액세스를 허용하도록 중요한 데이터를 포함할 수 있는 스토리지 계정의 Blob 컨테이너의 액세스 수준을 '컨테이너' 수준으로 변경했음을 나타냅니다. Azure Portal을 통해 변경되었습니다. 통계 분석에 따라 Blob 컨테이너는 중요한 데이터를 포함하는 것으로 플래그가 지정됩니다. 이 분석에 따르면 이름이 비슷한 Blob 컨테이너 또는 스토리지 계정은 일반적으로 공용 액세스에 노출되지 않습니다. 적용 대상: Azure Blob(표준 범용 v2, Azure Data Lake Storage Gen2 또는 프리미엄 블록 Blob) 스토리지 계정.

MITRE 전술: 컬렉션

심각도: 보통

Tor 종료 노드에서 인증된 액세스

(Storage.Blob_TorAnomaly Storage.Files_TorAnomaly)

설명: 스토리지 계정의 하나 이상의 스토리지 컨테이너/파일 공유가 Tor(익명화 프록시)의 활성 종료 노드로 알려진 IP 주소에서 성공적으로 액세스되었습니다. 공격자는 Tor를 사용하여 자신의 작업을 역추적하기 어렵게 만듭니다. Tor 출구 노드에서 인증된 액세스는 공격자가 자신의 ID를 숨기려 한다는 표시일 수 있습니다. 적용 대상: Azure Blob Storage, Azure Files, Azure Data Lake Storage Gen2

MITRE 전술: 초기 액세스/사전 공격

심각도: 높음/보통

비정상적인 위치에서 스토리지 계정으로 액세스

(Storage.Blob_GeoAnomaly Storage.Files_GeoAnomaly)

설명: Azure Storage 계정에 대한 액세스 패턴이 변경되었음을 나타냅니다. 최근 활동과 비교할 때 익숙하지 않은 것으로 간주되는 IP 주소를 통해 누군가가 이 계정에 액세스했습니다. 공격자가 계정에 대한 액세스 권한을 얻었거나 합법적인 사용자가 신규 또는 비정상적인 지리적 위치에서 연결되었습니다. 후자의 예는 새 애플리케이션 또는 개발자의 원격 기본 테넌트입니다. 적용 대상: Azure Blob Storage, Azure Files, Azure Data Lake Storage Gen2

MITRE 전술: 초기 액세스

심각도: 높음/보통/낮음

스토리지 컨테이너에 대한 비정상적인 인증되지 않은 액세스

(Storage.Blob_AnonymousAccessAnomaly)

설명: 이 스토리지 계정은 인증 없이 액세스되었으며 이는 일반적인 액세스 패턴의 변경입니다. 이 컨테이너에 대한 읽기 액세스는 일반적으로 인증됩니다. 이는 공격자가 이 스토리지 계정의 스토리지 컨테이너에 대한 공용 읽기 권한을 악용할 수 있음을 나타낼 수 있습니다. 적용 대상: Azure Blob Storage

MITRE 전술: 초기 액세스

심각도: 높음/낮음

스토리지 계정에 업로드된 잠재적 맬웨어

(Storage.Blob_MalwareHashReputation Storage.Files_MalwareHashReputation)

설명: 잠재적인 맬웨어가 포함된 Blob이 스토리지 계정의 Blob 컨테이너 또는 파일 공유에 업로드되었음을 나타냅니다. 이 경고는 바이러스, 트로이 목마, 스파이웨어 및 랜섬웨어에 대한 해시를 포함하는 Microsoft 위협 인텔리전스의 기능을 활용하는 해시 평판 분석을 기반으로 합니다. 잠재적 원인으로는 공격자가 의도적으로 맬웨어를 업로드하거나 합법적인 사용자가 잠재적으로 악의적인 Blob을 의도치 않게 업로드하는 작업이 포함될 수 있습니다. 적용 대상: Azure Blob Storage, Azure Files(REST API를 통한 트랜잭션에만 해당) Microsoft의 위협 인텔리전스 기능에 대해 자세히 알아봅니다.

MITRE 전술: 횡적 이동

심각도: 높음

공개적으로 액세스할 수 있는 스토리지 컨테이너가 성공적으로 검색되었습니다.

(Storage.Blob_OpenContainersScanning.SuccessfulDiscovery)

설명: 스토리지 계정에서 공개적으로 열린 스토리지 컨테이너를 성공적으로 검색한 것은 지난 1시간 동안 스크립트 또는 도구를 통해 수행되었습니다.

이는 일반적으로 공격자가 중요한 데이터가 포함된 잘못 구성된 개방형 스토리지 컨테이너를 찾기 위해 컨테이너 이름을 추측하여 blob을 나열하려고 하는 정찰 공격을 나타냅니다.

위협 행위자가 자체 스크립트를 사용하거나 Microburst와 같은 알려진 검색 도구를 사용하여 공개적으로 열린 컨테이너를 검색할 수 있습니다.

✔ Azure Blob Storage ✖ Azure Files ✖ Azure Data Lake Storage Gen2

MITRE 전술: 컬렉션

심각도: 높음/보통

공개적으로 액세스할 수 있는 스토리지 컨테이너 검사 실패

(Storage.Blob_OpenContainersScanning.FailedAttempt)

설명: 공개적으로 열린 스토리지 컨테이너를 검색하는 데 실패한 일련의 시도가 지난 1시간 동안 수행되었습니다.

이는 일반적으로 공격자가 중요한 데이터가 포함된 잘못 구성된 개방형 스토리지 컨테이너를 찾기 위해 컨테이너 이름을 추측하여 blob을 나열하려고 하는 정찰 공격을 나타냅니다.

위협 행위자가 자체 스크립트를 사용하거나 Microburst와 같은 알려진 검색 도구를 사용하여 공개적으로 열린 컨테이너를 검색할 수 있습니다.

✔ Azure Blob Storage ✖ Azure Files ✖ Azure Data Lake Storage Gen2

MITRE 전술: 컬렉션

심각도: 높음/낮음

스토리지 계정에서 비정상적인 액세스 검사

(Storage.Blob_AccessInspectionAnomaly Storage.Files_AccessInspectionAnomaly)

설명: 스토리지 계정의 액세스 권한이 이 계정의 최근 활동과 비교하여 비정상적인 방식으로 검사되었음을 나타냅니다. 잠재적 원인은 공격자가 향후 공격을 위해 정찰을 수행한 것일 수 있습니다. 적용 대상: Azure Blob Storage, Azure Files

MITRE 전술: 검색

심각도: 높음/보통

스토리지 계정에서 추출된 비정상적인 양의 데이터

(Storage.Blob_DataExfiltration.AmountOfDataAnomaly Storage.Blob_DataExfiltration.NumberOfBlobsAnomaly Storage.Files_DataExfiltration.AmountOfDataAnomaly Storage.Files_DataExfiltration.NumberOfFilesAnomaly)

설명: 이 스토리지 컨테이너의 최근 활동에 비해 비정상적으로 많은 양의 데이터가 추출되었음을 나타냅니다. 잠재적인 원인은 공격자가 Blob Storage를 보유하는 컨테이너에서 대량의 데이터를 추출한 것입니다. 적용 대상: Azure Blob Storage, Azure Files, Azure Data Lake Storage Gen2

MITRE 전술: 반출

심각도: 높음/낮음

비정상적인 애플리케이션이 스토리지 계정에 액세스했습니다.

(Storage.Blob_ApplicationAnomaly Storage.Files_ApplicationAnomaly)

설명: 비정상적인 애플리케이션이 이 스토리지 계정에 액세스했음을 나타냅니다. 잠재적 원인은 공격자가 새 응용 프로그램을 사용 하여 저장소 계정에 액세스한 것일 수 있습니다. 적용 대상: Azure Blob Storage, Azure Files

MITRE 전술: 실행

심각도: 높음/보통

스토리지 계정에서 비정상적인 데이터 탐색

(Storage.Blob_DataExplorationAnomaly Storage.Files_DataExplorationAnomaly)

설명: 스토리지 계정의 Blob 또는 컨테이너가 이 계정의 최근 활동과 비교하여 비정상적인 방식으로 열거되었음을 나타냅니다. 잠재적 원인은 공격자가 향후 공격을 위해 정찰을 수행한 것일 수 있습니다. 적용 대상: Azure Blob Storage, Azure Files

MITRE 전술: 실행

심각도: 높음/보통

스토리지 계정에서 비정상적인 삭제

(Storage.Blob_DeletionAnomaly Storage.Files_DeletionAnomaly)

설명: 이 계정의 최근 활동과 비교하여 스토리지 계정에서 하나 이상의 예기치 않은 삭제 작업이 발생했음을 나타냅니다. 잠재적인 원인은 공격자가 스토리지 계정에서 데이터를 삭제한 것입니다. 적용 대상: Azure Blob Storage, Azure Files, Azure Data Lake Storage Gen2

MITRE 전술: 반출

심각도: 높음/보통

중요한 Blob 컨테이너에 대한 비정상적인 인증되지 않은 공용 액세스(미리 보기)

Storage.Blob_AnonymousAccessAnomaly.Sensitive

설명: 경고는 누군가가 외부(공용) IP 주소를 사용하여 인증 없이 스토리지 계정에서 중요한 데이터가 있는 Blob 컨테이너에 액세스했음을 나타냅니다. Blob 컨테이너는 공용 액세스에 열려 있고 일반적으로 내부 네트워크(개인 IP 주소)의 인증으로만 액세스되므로 이 액세스는 의심스럽습니다. 이 액세스는 Blob 컨테이너의 액세스 수준이 잘못 구성되었으며 악의적인 행위자가 공용 액세스를 악용했을 수 있음을 나타낼 수 있습니다. 보안 경고에는 검색된 중요한 정보 컨텍스트(검색 시간, 분류 레이블, 정보 형식 및 파일 형식)가 포함됩니다. 중요한 데이터 위협 감지에 대해 자세히 알아봅니다. 적용 대상: 데이터 민감도 위협 검색 기능을 사용하도록 설정된 새 Defender for Storage 계획이 있는 Azure Blob(표준 범용 v2, Azure Data Lake Storage Gen2 또는 프리미엄 블록 Blob) 스토리지 계정.

MITRE 전술: 초기 액세스

심각도: 높음

중요한 Blob 컨테이너에서 추출된 비정상적인 양의 데이터(미리 보기)

Storage.Blob_DataExfiltration.AmountOfDataAnomaly.Sensitive

설명: 경고는 누군가가 스토리지 계정에 중요한 데이터가 있는 Blob 컨테이너에서 비정상적으로 많은 양의 데이터를 추출했음을 나타냅니다. 적용 대상: 데이터 민감도 위협 검색 기능을 사용하도록 설정된 새 Defender for Storage 계획이 있는 Azure Blob(표준 범용 v2, Azure Data Lake Storage Gen2 또는 프리미엄 블록 Blob) 스토리지 계정.

MITRE 전술: 반출

심각도: 보통

중요한 Blob 컨테이너에서 추출된 비정상적인 수의 Blob(미리 보기)

Storage.Blob_DataExfiltration.NumberOfBlobsAnomaly.Sensitive

설명: 경고는 누군가가 스토리지 계정에 중요한 데이터가 있는 Blob 컨테이너에서 비정상적으로 많은 수의 Blob을 추출했음을 나타냅니다. 적용 대상: 데이터 민감도 위협 검색 기능을 사용하도록 설정된 새 Defender for Storage 계획이 있는 Azure Blob(표준 범용 v2, Azure Data Lake Storage Gen2 또는 프리미엄 블록 Blob) 스토리지 계정.

MITRE 전술: 반출

알려진 의심스러운 애플리케이션에서 중요한 Blob 컨테이너로 액세스(미리 보기)

Storage.Blob_SuspiciousApp.Sensitive

설명: 경고는 알려진 의심스러운 애플리케이션을 가진 사람이 스토리지 계정의 중요한 데이터가 있는 Blob 컨테이너에 액세스하고 인증된 작업을 수행했음을 나타냅니다.
액세스는 위협 행위자가 알려진 의심스러운 애플리케이션을 사용하여 스토리지 계정에 액세스하기 위한 자격 증명을 획득했음을 나타낼 수 있습니다. 그러나 액세스는 조직에서 수행된 침투 테스트를 나타낼 수도 있습니다. 적용 대상: 데이터 민감도 위협 검색 기능을 사용하도록 설정된 새 Defender for Storage 계획이 있는 Azure Blob(표준 범용 v2, Azure Data Lake Storage Gen2 또는 프리미엄 블록 Blob) 스토리지 계정.

MITRE 전술: 초기 액세스

심각도: 높음

알려진 의심스러운 IP 주소에서 중요한 Blob 컨테이너로의 액세스(미리 보기)

Storage.Blob_SuspiciousIp.Sensitive

설명: 경고는 누군가가 Microsoft Threat Intelligence의 위협 인텔과 연결된 알려진 의심스러운 IP 주소에서 스토리지 계정의 중요한 데이터가 있는 Blob 컨테이너에 액세스했음을 나타냅니다. 액세스가 인증되었으므로 이 스토리지 계정에 대한 액세스를 허용하는 자격 증명이 손상되었을 수 있습니다. Microsoft의 위협 인텔리전스 기능에 대해 자세히 알아보세요. 적용 대상: 데이터 민감도 위협 검색 기능을 사용하도록 설정된 새 Defender for Storage 계획이 있는 Azure Blob(표준 범용 v2, Azure Data Lake Storage Gen2 또는 프리미엄 블록 Blob) 스토리지 계정.

MITRE 전술: 사전 공격

심각도: 높음

Tor 종료 노드에서 중요한 Blob 컨테이너로 액세스(미리 보기)

Storage.Blob_TorAnomaly.Sensitive

설명: 경고는 TOR 종료 노드로 알려진 IP 주소를 가진 사람이 인증된 액세스 권한이 있는 스토리지 계정의 중요한 데이터가 있는 Blob 컨테이너에 액세스했음을 나타냅니다. Tor 종료 노드에서 인증된 액세스는 행위자가 악의적인 의도로 익명으로 다시 기본 것을 강력하게 나타냅니다. 액세스가 인증되었으므로 이 스토리지 계정에 대한 액세스를 허용하는 자격 증명이 손상되었을 수 있습니다. 적용 대상: 데이터 민감도 위협 검색 기능을 사용하도록 설정된 새 Defender for Storage 계획이 있는 Azure Blob(표준 범용 v2, Azure Data Lake Storage Gen2 또는 프리미엄 블록 Blob) 스토리지 계정.

MITRE 전술: 사전 공격

심각도: 높음

비정상적인 위치에서 중요한 Blob 컨테이너로 액세스(미리 보기)

Storage.Blob_GeoAnomaly.Sensitive

설명: 경고는 비정상적인 위치에서 인증을 통해 스토리지 계정에서 중요한 데이터가 있는 Blob 컨테이너에 액세스했음을 나타냅니다. 액세스가 인증되었으므로 이 스토리지 계정에 대한 액세스를 허용하는 자격 증명이 손상되었을 수 있습니다. 적용 대상: 데이터 민감도 위협 검색 기능을 사용하도록 설정된 새 Defender for Storage 계획이 있는 Azure Blob(표준 범용 v2, Azure Data Lake Storage Gen2 또는 프리미엄 블록 Blob) 스토리지 계정.

MITRE 전술: 초기 액세스

심각도: 보통

인증되지 않은 공용 액세스를 허용하도록 중요한 스토리지 Blob 컨테이너의 액세스 수준이 변경되었습니다(미리 보기).

Storage.Blob_OpenACL.Sensitive

설명: 경고는 누군가가 중요한 데이터를 포함하는 스토리지 계정의 Blob 컨테이너의 액세스 수준을 인증되지 않은(익명) 공용 액세스를 허용하는 '컨테이너' 수준으로 변경했음을 나타냅니다. Azure Portal을 통해 변경되었습니다. 액세스 수준 변경으로 데이터의 보안이 손상될 수 있습니다. 이 경고가 트리거되는 경우 데이터를 보호하고 무단 액세스를 방지하기 위해 즉각적인 조치를 취하는 것이 좋습니다. 적용 대상: 데이터 민감도 위협 검색 기능을 사용하도록 설정된 새 Defender for Storage 계획이 있는 Azure Blob(표준 범용 v2, Azure Data Lake Storage Gen2 또는 프리미엄 블록 Blob) 스토리지 계정.

MITRE 전술: 컬렉션

심각도: 높음

지나치게 허용되는 SAS 토큰을 사용하여 Azure Storage 계정에 대한 의심스러운 외부 액세스(미리 보기)

Storage.Blob_AccountSas.InternalSasUsedExternally

설명: 경고는 외부(공용) IP 주소를 가진 사용자가 만료 날짜가 긴 지나치게 허용되는 SAS 토큰을 사용하여 스토리지 계정에 액세스했음을 나타냅니다. SAS 토큰은 일반적으로 내부 네트워크(개인 IP 주소)에서만 사용되므로 이러한 유형의 액세스는 의심스러운 것으로 간주됩니다. 이 활동은 SAS 토큰이 악의적인 행위자가 유출했거나 합법적인 원본에서 의도치 않게 유출되었음을 나타낼 수 있습니다. 액세스가 합법적인 경우에도 만료 날짜가 긴 높은 사용 권한 SAS 토큰을 사용하는 것은 보안 모범 사례에 위배되며 잠재적인 보안 위험을 초래합니다. 적용 대상: 새 Defender for Storage 계획을 사용하는 Azure Blob(표준 범용 v2, Azure Data Lake Storage Gen2 또는 프리미엄 블록 Blob) 스토리지 계정.

MITRE 전술: 반출/리소스 개발/영향

심각도: 보통

지나치게 허용되는 SAS 토큰을 사용하여 Azure Storage 계정에 대한 의심스러운 외부 작업(미리 보기)

Storage.Blob_AccountSas.UnusualOperationFromExternalIp

설명: 경고는 외부(공용) IP 주소를 가진 사용자가 만료 날짜가 긴 지나치게 허용되는 SAS 토큰을 사용하여 스토리지 계정에 액세스했음을 나타냅니다. 이 SAS 토큰을 사용하여 네트워크 외부에서 호출된 작업(개인 IP 주소가 아님)은 일반적으로 특정 읽기/쓰기/삭제 작업 집합에 사용되지만 다른 작업이 발생하여 액세스가 의심스럽기 때문에 액세스가 의심스러운 것으로 간주됩니다. 이 활동은 SAS 토큰이 악의적인 행위자가 유출했거나 의도치 않게 합법적인 원본에서 유출되었음을 나타낼 수 있습니다. 액세스가 합법적인 경우에도 만료 날짜가 긴 높은 사용 권한 SAS 토큰을 사용하는 것은 보안 모범 사례에 위배되며 잠재적인 보안 위험을 초래합니다. 적용 대상: 새 Defender for Storage 계획을 사용하는 Azure Blob(표준 범용 v2, Azure Data Lake Storage Gen2 또는 프리미엄 블록 Blob) 스토리지 계정.

MITRE 전술: 반출/리소스 개발/영향

심각도: 보통

공용 IP 주소(미리 보기)에서 Azure Storage 계정에 액세스하는 데 비정상적인 SAS 토큰이 사용되었습니다.

Storage.Blob_AccountSas.UnusualExternalAccess

설명: 경고는 외부(공용) IP 주소를 가진 사용자가 계정 SAS 토큰을 사용하여 스토리지 계정에 액세스했음을 나타냅니다. SAS 토큰을 사용하는 스토리지 계정에 대한 액세스는 일반적으로 내부(개인) IP 주소에서만 제공되므로 액세스는 매우 이례적이고 의심스러운 것으로 간주됩니다. SAS 토큰이 조직 내에서 또는 외부에서 악의적인 행위자가 이 스토리지 계정에 액세스하기 위해 유출되거나 생성되었을 수 있습니다. 적용 대상: 새 Defender for Storage 계획을 사용하는 Azure Blob(표준 범용 v2, Azure Data Lake Storage Gen2 또는 프리미엄 블록 Blob) 스토리지 계정.

MITRE 전술: 반출/리소스 개발/영향

심각도: 낮음

스토리지 계정에 업로드된 악성 파일

Storage.Blob_AM. MalwareFound

설명: 경고는 악의적인 Blob이 스토리지 계정에 업로드되었음을 나타냅니다. 이 보안 경고는 스토리지용 Defender의 맬웨어 검색 기능에 의해 생성됩니다. 잠재적인 원인으로는 위협 행위자가 의도적으로 맬웨어를 업로드하거나 합법적인 사용자가 악의적인 파일을 의도치 않게 업로드하는 작업이 포함될 수 있습니다. 적용 대상: 맬웨어 검사 기능을 사용하도록 설정된 새 Defender for Storage 계획이 있는 Azure Blob(표준 범용 v2, Azure Data Lake Storage Gen2 또는 프리미엄 블록 Blob) 스토리지 계정.

MITRE 전술: 횡적 이동

심각도: 높음

스토리지 계정에서 악성 BLOB이 다운로드됨(미리 보기)

Storage.Blob_MalwareDownload

설명: 경고는 악의적인 Blob이 스토리지 계정에서 다운로드되었음을 나타냅니다. 잠재적 원인으로는 스토리지 계정에 업로드되고 제거되거나 격리되지 않은 맬웨어, 위협 행위자가 다운로드할 수 있도록 하는 맬웨어 또는 합법적인 사용자 또는 애플리케이션에 의한 의도치 않은 맬웨어 다운로드가 포함될 수 있습니다. 적용 대상: 맬웨어 검사 기능이 사용하도록 설정된 새 스토리지용 Defender 플랜이 있는 Azure Blob(표준 범용 v2, Azure Data Lake Storage Gen2 또는 프리미엄 블록 Blob) 스토리지 계정

MITRE 전술: 횡적 이동

심각도: 높음, 아이카의 경우 - 낮음

Azure Cosmos DB에 대한 경고

추가 세부 정보 및 참고 사항

Tor 종료 노드에서 액세스

(CosmosDB_TorAnomaly)

설명: 이 Azure Cosmos DB 계정은 익명화 프록시인 Tor의 활성 종료 노드로 알려진 IP 주소에서 성공적으로 액세스되었습니다. Tor 출구 노드에서 인증된 액세스는 공격자가 자신의 ID를 숨기려 한다는 표시일 수 있습니다.

MITRE 전술: 초기 액세스

심각도: 높음/보통

의심스러운 IP에서 액세스

(CosmosDB_SuspiciousIp)

설명: 이 Azure Cosmos DB 계정은 Microsoft Threat Intelligence의 위협으로 식별된 IP 주소에서 성공적으로 액세스되었습니다.

MITRE 전술: 초기 액세스

심각도: 보통

비정상적인 위치에서 액세스

(CosmosDB_GeoAnomaly)

설명: 이 Azure Cosmos DB 계정은 일반적인 액세스 패턴에 따라 익숙하지 않은 것으로 간주되는 위치에서 액세스되었습니다.

위협 행위자가 계정에 대한 액세스 권한을 얻었거나, 합법적인 사용자가 새롭거나 비정상적인 지리적 위치에서 연결했습니다.

MITRE 전술: 초기 액세스

심각도: 낮음

비정상적인 데이터 볼륨이 추출됨

(CosmosDB_DataExfiltrationAnomaly)

설명: 이 Azure Cosmos DB 계정에서 비정상적으로 많은 양의 데이터가 추출되었습니다. 이는 위협 행위자가 데이터를 유출했음을 나타낼 수 있습니다.

MITRE 전술: 반출

심각도: 보통

잠재적으로 악의적인 스크립트를 통해 Azure Cosmos DB 계정 키 추출

(CosmosDB_SuspiciousListKeys.MaliciousScript)

설명: PowerShell 스크립트가 구독에서 실행되었고 구독에서 Azure Cosmos DB 계정의 키를 가져오는 의심스러운 키 목록 작업 패턴을 수행했습니다. 위협 행위자가 Microburst와 같은 자동화된 스크립트를 사용하여 키를 나열하고 액세스할 수 있는 Azure Cosmos DB 계정을 찾습니다.

이 작업은 조직의 ID가 침해되었으며 위협 행위자가 악의적인 의도로 사용자 환경에서 Azure Cosmos DB 계정을 손상시키려고 했음을 나타낼 수 있습니다.

또는 악의적인 내부자가 중요한 데이터에 액세스하고 횡적 이동을 수행하려고 할 수 있습니다.

MITRE 전술: 컬렉션

심각도: 보통

Azure Cosmos DB 계정 키의 의심스러운 추출(AzureCosmosDB_SuspiciousListKeys.SuspiciousPrincipal)

설명: 의심스러운 원본이 구독에서 Azure Cosmos DB 계정 액세스 키를 추출했습니다. 이 원본이 합법적인 원본이 아니면 영향이 큰 문제일 수 있습니다. 추출된 액세스 키는 연결된 데이터베이스와 내부에 저장된 데이터에 대한 모든 권한을 제공합니다. 원본이 의심스러운 것으로 플래그가 지정된 이유를 이해하려면 각 특정 경고의 세부 정보를 참조하세요.

MITRE 전술: 자격 증명 액세스

심각도: 높음

SQL 삽입: 잠재적인 데이터 반출

(CosmosDB_SqlInjection.DataExfiltration)

설명: 의심스러운 SQL 문이 이 Azure Cosmos DB 계정의 컨테이너를 쿼리하는 데 사용되었습니다.

삽입된 문이 위협 행위자가 액세스할 수 있는 권한이 없는 데이터를 유출하는 데 성공했을 수 있습니다.

Azure Cosmos DB 쿼리의 구조와 기능으로 인해 Azure Cosmos DB 계정에 대한 알려진 많은 SQL 삽입 공격은 작동하지 않습니다. 그러나 이 공격에 사용되는 변형이 작동할 수 있으며 위협 행위자가 데이터를 유출할 수 있습니다.

MITRE 전술: 반출

심각도: 보통

SQL 삽입: 퍼지 시도

(CosmosDB_SqlInjection.FailedFuzzingAttempt)

설명: 의심스러운 SQL 문이 이 Azure Cosmos DB 계정의 컨테이너를 쿼리하는 데 사용되었습니다.

잘 알려진 다른 SQL 삽입 공격과 마찬가지로 이 공격은 Azure Cosmos DB 계정을 손상시키는 데 성공하지 못합니다.

그럼에도 불구하고 위협 행위자가 이 계정의 리소스를 공격하려고 하고 애플리케이션이 손상될 수 있음을 나타냅니다.

일부 SQL 삽입 공격은 성공하고 데이터를 유출하는 데 사용할 수 있습니다. 즉, 공격자가 SQL 삽입 시도를 계속 수행하면 Azure Cosmos DB 계정을 손상하고 데이터를 유출할 수 있습니다.

매개 변수화된 쿼리를 사용하여 이 위협을 방지할 수 있습니다.

MITRE 전술: 사전 공격

심각도: 낮음

Azure 네트워크 계층에 대한 경고

추가 세부 정보 및 참고 사항

악성 컴퓨터와의 네트워크 통신이 감지됨

(Network_CommunicationWithC2)

설명: 네트워크 트래픽 분석은 컴퓨터(IP %{Victim IP})가 명령 및 제어 센터와 통신했음을 나타냅니다. 손상된 리소스가 부하 분산 장치 또는 애플리케이션 게이트웨이인 경우 의심스러운 활동은 백 엔드 풀(부하 분산 장치 또는 애플리케이션 게이트웨이)에 있는 하나 이상의 리소스가 명령 및 제어 센터와 통신했음을 나타낼 수 있습니다.

MITRE 전술: 명령 및 제어

심각도: 보통

손상된 컴퓨터가 검색되었을 수 있습니다.

(Network_ResourceIpIndicatedAsMalicious)

설명: 위협 인텔리전스는 컴퓨터(IP %{Machine IP})가 Conficker 유형의 맬웨어에 의해 손상되었을 수 있음을 나타냅니다. Conficker는 Microsoft Windows 운영 체제를 대상으로 하는 컴퓨터 웜으로, 2008년 11월에 처음 발견되었습니다. Conficker는 200개 이상의 국가/지역에서 정부, 비즈니스 및 가정용 컴퓨터를 포함한 수백만 대의 컴퓨터를 감염시켜 2003년 웰치아 웜 이후 가장 큰 알려진 컴퓨터 웜 감염이 되었습니다.

MITRE 전술: 명령 및 제어

심각도: 보통

들어오는 %{서비스 이름} 무차별 암호 대입 시도가 감지되었습니다.

(Generic_Incoming_BF_OneToOne)

설명: 네트워크 트래픽 분석에서 %{Attacker IP}의 리소스 %{Compromised Host}와 연결된 %{Victim IP}에 들어오는 %{Service Name} 통신이 감지되었습니다. 손상된 리소스가 부하 분산 장치 또는 응용 프로그램 게이트웨이인 경우, 의심스러운 수신 트래픽이 백엔드 풀(부하 분산 장치 또는 응용 프로그램 게이트웨이)에 있는 하나 이상의 리소스로 전달되었습니다. 특히 샘플링된 네트워크 데이터는 포트 %{Victim Port}에서 %{Start Time}과 %{End Time} 사이의 의심스러운 활동을 보여 줍니다. 이 활동은 %{Service Name} 서버에 대한 무차별 암호 대입 시도와 일치합니다.

MITRE 전술: 사전 공격

심각도: 정보 제공

들어오는 SQL 무차별 암호 대입 시도가 감지됨

(SQL_Incoming_BF_OneToOne)

설명: 네트워크 트래픽 분석에서 %{Attacker IP}에서 리소스 %{Compromised Host}와 연결된 %{Victim IP}에 들어오는 SQL 통신이 감지되었습니다. 손상된 리소스가 부하 분산 장치 또는 응용 프로그램 게이트웨이인 경우, 의심스러운 수신 트래픽이 백엔드 풀(부하 분산 장치 또는 응용 프로그램 게이트웨이)에 있는 하나 이상의 리소스로 전달되었습니다. 특히 샘플링된 네트워크 데이터는 %{Start Time}에서 %{End Time} 사이에 %{Port Number} 포트(%{SQL Service Type})에서의 의심스러운 활동을 보여줍니다. 이 작업은 SQL 서버에 대한 무차별 암호 대입 시도와 일치합니다.

MITRE 전술: 사전 공격

심각도: 보통

나가는 서비스 거부 공격이 감지됨

(DDOS)

설명: 네트워크 트래픽 분석에서 배포의 리소스인 %{Compromised Host}에서 발생하는 비정상적인 나가는 활동이 감지되었습니다. 이 활동은 리소스가 손상되었으며 이제 외부 엔드포인트에 대한 서비스 거부 공격에 관여하고 있음을 나타낼 수 있습니다. 손상된 리소스가 부하 분산 장치 또는 애플리케이션 게이트웨이인 경우 의심스러운 활동은 백 엔드 풀(부하 분산 장치 또는 애플리케이션 게이트웨이)에 있는 하나 이상의 리소스가 손상되었음을 나타낼 수 있습니다. 연결 볼륨에 따라 다음 IP가 DOS 공격의 대상이 될 수 있다고 생각합니다. %{가능한 피해자}. 이러한 IP 중 일부에 대한 통신은 합법적일 수 있습니다.

MITRE 전술: 영향

심각도: 보통

여러 원본에서 들어오는 의심스러운 RDP 네트워크 활동

(RDP_Incoming_BF_ManyToOne)

설명: 네트워크 트래픽 분석에서 여러 원본에서 리소스 %{Compromised Host}와 연결된 %{Victim IP}에 대한 비정상적인 들어오는 RDP(원격 데스크톱 프로토콜) 통신을 감지했습니다. 손상된 리소스가 부하 분산 장치 또는 응용 프로그램 게이트웨이인 경우, 의심스러운 수신 트래픽이 백엔드 풀(부하 분산 장치 또는 응용 프로그램 게이트웨이)에 있는 하나 이상의 리소스로 전달되었습니다. 특히 샘플링된 네트워크 데이터는 리소스에 연결하는 %{공격 IP 수} 고유 IP를 보여 줍니다. 이 IP는 이 환경에 비정상으로 간주됩니다. 이 활동은 여러 호스트(Botnet)에서 RDP 엔드포인트를 무차별 암호 대입하려는 시도를 나타낼 수 있습니다.

MITRE 전술: 사전 공격

심각도: 보통

의심스러운 들어오는 RDP 네트워크 활동

(RDP_Incoming_BF_OneToOne)

설명: 네트워크 트래픽 분석에서 %{Attacker IP}에서 리소스 %{Compromised Host}와 연결된 %{Victim IP}에 대한 비정상적인 들어오는 RDP(원격 데스크톱 프로토콜) 통신이 감지되었습니다. 손상된 리소스가 부하 분산 장치 또는 응용 프로그램 게이트웨이인 경우, 의심스러운 수신 트래픽이 백엔드 풀(부하 분산 장치 또는 응용 프로그램 게이트웨이)에 있는 하나 이상의 리소스로 전달되었습니다. 특히 샘플링된 네트워크 데이터는 리소스에 들어오는 연결 %{커넥트}개수를 보여 줍니다. 이 연결은 이 환경에 비정상으로 간주됩니다. 이 활동은 RDP 엔드포인트를 무차별 암호 대입하려는 시도를 나타낼 수 있습니다.

MITRE 전술: 사전 공격

심각도: 보통

여러 원본에서 의심스러운 들어오는 SSH 네트워크 활동

(SSH_Incoming_BF_ManyToOne)

설명: 네트워크 트래픽 분석을 통해 여러 원본에서 리소스 %{Compromised Host}와 연결된 %{Victim IP}에 대한 비정상적인 수신 SSH 통신이 감지되었습니다. 손상된 리소스가 부하 분산 장치 또는 응용 프로그램 게이트웨이인 경우, 의심스러운 수신 트래픽이 백엔드 풀(부하 분산 장치 또는 응용 프로그램 게이트웨이)에 있는 하나 이상의 리소스로 전달되었습니다. 특히 샘플링된 네트워크 데이터는 리소스에 연결하는 %{공격 IP 수} 고유 IP를 보여 줍니다. 이 IP는 이 환경에 비정상으로 간주됩니다. 이 활동은 여러 호스트(Botnet)에서 SSH 엔드포인트를 무차별 암호 대입하려는 시도를 나타낼 수 있습니다.

MITRE 전술: 사전 공격

심각도: 보통

의심스러운 수신 SSH 네트워크 활동

(SSH_Incoming_BF_OneToOne)

설명: 네트워크 트래픽 분석에서 %{Attacker IP}에서 리소스 %{Compromised Host}와 연결된 %{Victim IP}에 대한 비정상적인 들어오는 SSH 통신이 감지되었습니다. 손상된 리소스가 부하 분산 장치 또는 응용 프로그램 게이트웨이인 경우, 의심스러운 수신 트래픽이 백엔드 풀(부하 분산 장치 또는 응용 프로그램 게이트웨이)에 있는 하나 이상의 리소스로 전달되었습니다. 특히 샘플링된 네트워크 데이터는 리소스에 들어오는 연결 %{커넥트}개수를 보여 줍니다. 이 연결은 이 환경에 비정상으로 간주됩니다. 이 작업은 SSH 엔드포인트를 무차별 암호 대입하려는 시도를 나타낼 수 있습니다.

MITRE 전술: 사전 공격

심각도: 보통

의심스러운 발신 %{공격 프로토콜} 트래픽이 감지됨

(PortScanning)

설명: 네트워크 트래픽 분석에서 %{Compromised Host}에서 대상 포트 %{가장 일반적인 포트}로의 의심스러운 나가는 트래픽을 감지했습니다. 손상된 리소스가 부하 분산 장치 또는 응용 프로그램 게이트웨이인 경우, 의심되는 발신 트래픽이 백엔드 풀(부하 분산 장치 또는 응용 프로그램 게이트웨이)에 있는 하나 이상의 리소스에서 발생했습니다. 이 동작은 리소스가 %{Attacked Protocol} 무차별 암호 대입 시도 또는 포트 스위핑 공격에 참여하고 있음을 나타낼 수 있습니다.

MITRE 전술: 검색

심각도: 보통

여러 대상에 대한 의심스러운 나가는 RDP 네트워크 활동

(RDP_Outgoing_BF_OneToMany)

설명: 네트워크 트래픽 분석에서 배포의 리소스인 %{Compromised Host}(%{Attacker IP})에서 시작된 여러 대상에 대한 비정상적인 나가는 RDP(원격 데스크톱 프로토콜) 통신이 검색되었습니다. 손상된 리소스가 부하 분산 장치 또는 응용 프로그램 게이트웨이인 경우, 의심되는 발신 트래픽이 백엔드 풀(부하 분산 장치 또는 응용 프로그램 게이트웨이)에 있는 하나 이상의 리소스에서 발생했습니다. 특히 샘플링된 네트워크 데이터는 이 환경에 비정상적인 것으로 간주되는 %{공격된 IP 수} 고유 IP에 연결하는 머신을 보여 줍니다. 이 활동은 리소스가 손상되었으며 이제 외부 RDP 엔드포인트를 무차별 암호 대입하는 데 사용되었음을 나타낼 수 있습니다. 이러한 유형의 활동으로 인해 IP가 외부 엔터티에 의해 악의적인 것으로 플래그가 지정될 수 있습니다.

MITRE 전술: 검색

심각도: 높음

의심스러운 나가는 RDP 네트워크 활동

(RDP_Outgoing_BF_OneToOne)

설명: 네트워크 트래픽 분석에서 배포의 리소스인 %{Compromised Host}(%{Attacker IP})에서 시작된 %{Victim IP}에 대한 비정상적인 나가는 RDP(원격 데스크톱 프로토콜) 통신이 감지되었습니다. 손상된 리소스가 부하 분산 장치 또는 응용 프로그램 게이트웨이인 경우, 의심되는 발신 트래픽이 백엔드 풀(부하 분산 장치 또는 응용 프로그램 게이트웨이)에 있는 하나 이상의 리소스에서 발생했습니다. 특히 샘플링된 네트워크 데이터에 리소스에 대한 %{Number of Connections}개의 발신 연결이 표시되며 이는 이 환경에서 비정상적인 것으로 간주됩니다. 이 활동은 컴퓨터가 손상되었으며 이제 외부 RDP 엔드포인트를 무차별 암호 대입하는 데 사용되었음을 나타낼 수 있습니다. 이러한 유형의 활동으로 인해 IP가 외부 엔터티에 의해 악의적인 것으로 플래그가 지정될 수 있습니다.

MITRE 전술: 횡적 이동

심각도: 높음

여러 대상에 대한 의심스러운 발신 SSH 네트워크 활동

(SSH_Outgoing_BF_OneToMany)

설명: 네트워크 트래픽 분석에서 배포의 리소스인 %{Compromised Host}(%{Attacker IP})에서 시작된 여러 대상에 대한 비정상적인 송신 SSH 통신이 감지되었습니다. 손상된 리소스가 부하 분산 장치 또는 응용 프로그램 게이트웨이인 경우, 의심되는 발신 트래픽이 백엔드 풀(부하 분산 장치 또는 응용 프로그램 게이트웨이)에 있는 하나 이상의 리소스에서 발생했습니다. 특히 샘플링된 네트워크 데이터는 이 환경에 비정상적인 것으로 간주되는 %{공격된 IP 수} 고유 IP에 연결하는 리소스를 보여 줍니다. 이 활동은 리소스가 손상되었으며 이제 외부 SSH 엔드포인트를 무차별 암호 대입하는 데 사용되었음을 나타낼 수 있습니다. 이러한 유형의 활동으로 인해 IP가 외부 엔터티에 의해 악의적인 것으로 플래그가 지정될 수 있습니다.

MITRE 전술: 검색

심각도: 보통

의심스러운 발신 SSH 네트워크 활동

(SSH_Outgoing_BF_OneToOne)

설명: 네트워크 트래픽 분석에서 배포의 리소스인 %{Compromised Host}(%{Attacker IP})에서 시작된 %{Victim IP}에 대한 비정상적인 송신 SSH 통신이 감지되었습니다. 손상된 리소스가 부하 분산 장치 또는 응용 프로그램 게이트웨이인 경우, 의심되는 발신 트래픽이 백엔드 풀(부하 분산 장치 또는 응용 프로그램 게이트웨이)에 있는 하나 이상의 리소스에서 발생했습니다. 특히 샘플링된 네트워크 데이터에 리소스에 대한 %{Number of Connections}개의 발신 연결이 표시되며 이는 이 환경에서 비정상적인 것으로 간주됩니다. 이 활동은 리소스가 손상되었으며 이제 외부 SSH 엔드포인트를 무차별 암호 대입하는 데 사용되었음을 나타낼 수 있습니다. 이러한 유형의 활동으로 인해 IP가 외부 엔터티에 의해 악의적인 것으로 플래그가 지정될 수 있습니다.

MITRE 전술: 횡적 이동

심각도: 보통

(Network_TrafficFromUnrecommendedIP)

설명: 클라우드용 Microsoft Defender 차단할 것을 권장하는 IP 주소에서 인바운드 트래픽이 검색되었습니다. 일반적으로 이 IP 주소가 이 리소스와 정기적으로 통신하지 않는 경우에 발생합니다. 또는 클라우드용 Defender의 위협 인텔리전스 소스에 의해 IP 주소가 악의적인 것으로 플래그 지정되었습니다.

MITRE 전술: 검색

심각도: 정보 제공

Azure Key Vault에 대한 경고

추가 세부 정보 및 참고 사항

의심스러운 IP 주소에서 Key Vault에 액세스

(KV_SuspiciousIPAccess)

설명: Microsoft 위협 인텔리전스에서 의심스러운 IP 주소로 식별된 IP에서 키 자격 증명 모음에 성공적으로 액세스했습니다. 인프라가 손상되었음을 나타낼 수 있습니다. 추가 조사를 권장합니다. Microsoft의 위협 인텔리전스 기능에 대해 자세히 알아보세요.

MITRE 전술: 자격 증명 액세스

심각도: 보통

TOR 종료 노드에서 키 자격 증명 모음으로 액세스

(KV_TORAccess)

설명: 알려진 TOR 종료 노드에서 키 자격 증명 모음에 액세스했습니다. 이는 위협 행위자가 키 자격 증명 모음에 액세스했으며 TOR 네트워크를 사용하여 원본 위치를 숨기고 있음을 나타낼 수 있습니다. 추가 조사를 권장합니다.

MITRE 전술: 자격 증명 액세스

심각도: 보통

키 자격 증명 모음에서 대량의 작업 발생

(KV_OperationVolumeAnomaly)

설명: 사용자, 서비스 주체 및/또는 특정 키 자격 증명 모음에서 비정상적인 수의 키 자격 증명 모음 작업을 수행했습니다. 이 비정상적인 활동 패턴은 합법적일 수 있지만 위협 행위자가 키 자격 증명 모음 및 그 안에 포함된 비밀에 대한 액세스 권한을 얻었다는 표시일 수 있습니다. 추가 조사를 권장합니다.

MITRE 전술: 자격 증명 액세스

심각도: 보통

키 자격 증명 모음의 의심스러운 정책 변경 및 비밀 쿼리

(KV_PutGetAnomaly)

설명: 사용자 또는 서비스 주체가 비정상적인 자격 증명 모음 정책 변경 작업과 하나 이상의 비밀 가져오기 작업을 수행했습니다. 이 패턴은 일반적으로 지정된 사용자 또는 서비스 주체가 수행하지 않습니다. 이는 합법적인 활동일 수 있지만 위협 행위자가 이전에 액세스할 수 없는 비밀에 액세스하도록 키 자격 증명 모음 정책을 업데이트했음을 나타낼 수 있습니다. 추가 조사를 권장합니다.

MITRE 전술: 자격 증명 액세스

심각도: 보통

키 보관소의 의심스러운 비밀 목록 및 쿼리

(KV_ListGetAnomaly)

설명: 사용자 또는 서비스 주체가 비정상적인 비밀 목록 작업과 하나 이상의 비밀 가져오기 작업을 수행했습니다. 이 패턴은 일반적으로 지정된 사용자 또는 서비스 주체가 수행하지 않으며 보통은 비밀 덤프와 연결됩니다. 이는 합법적인 활동일 수 있지만 위협 행위자가 키 자격 증명 모음에 대한 액세스 권한을 얻었으며 네트워크를 통해 횡적으로 이동하거나 중요한 리소스에 액세스하는 데 사용할 수 있는 비밀을 검색하려고 했음을 나타낼 수 있습니다. 추가 조사를 권장합니다.

MITRE 전술: 자격 증명 액세스

심각도: 보통

비정상적 액세스 거부됨 - 사용자가 대량의 키 자격 증명 모음에 액세스하는 것을 거부했습니다.

(KV_AccountVolumeAccessDeniedAnomaly)

설명: 사용자 또는 서비스 주체가 지난 24시간 동안 비정상적으로 많은 양의 키 자격 증명 모음에 대한 액세스를 시도했습니다. 이 비정상적인 액세스 패턴은 합법적인 활동일 수 있습니다. 이 시도는 성공하지 못했지만 키 자격 증명 모음과 그 안에 포함된 비밀에 대한 액세스 권한을 얻으려는 시도로 이어질 수 있습니다. 추가 조사를 권장합니다.

MITRE 전술: 검색

심각도: 낮음

비정상적 액세스 거부됨 - 비정상적인 사용자 액세스 키 자격 증명 모음 거부됨

(KV_UserAccessDeniedAnomaly)

설명: 일반적으로 액세스하지 않는 사용자가 키 자격 증명 모음 액세스를 시도했습니다. 이 비정상적인 액세스 패턴은 합법적인 활동일 수 있습니다. 이 시도는 성공하지 못했지만 키 자격 증명 모음과 그 안에 포함된 비밀에 대한 액세스 권한을 얻으려는 시도로 이어질 수 있습니다.

MITRE 전술: 초기 액세스, 검색

심각도: 낮음

비정상적인 애플리케이션이 키 자격 증명 모음에 액세스했습니다.

(KV_AppAnomaly)

설명: 일반적으로 액세스하지 않는 서비스 주체가 키 자격 증명 모음에 액세스했습니다. 이 비정상적인 액세스 패턴은 합법적인 활동일 수 있지만 위협 행위자가 키 자격 증명 모음에 포함된 비밀에 액세스하기 위해 키 자격 증명 모음에 액세스했음을 나타낼 수 있습니다. 추가 조사를 권장합니다.

MITRE 전술: 자격 증명 액세스

심각도: 보통

키 자격 증명 모음의 비정상적인 작업 패턴

(KV_OperationPatternAnomaly)

설명: 키 자격 증명 모음 작업의 비정상적인 패턴은 사용자, 서비스 주체 및/또는 특정 키 자격 증명 모음에 의해 수행되었습니다. 이 비정상적인 활동 패턴은 합법적일 수 있지만 위협 행위자가 키 자격 증명 모음 및 그 안에 포함된 비밀에 대한 액세스 권한을 얻었다는 표시일 수 있습니다. 추가 조사를 권장합니다.

MITRE 전술: 자격 증명 액세스

심각도: 보통

비정상적인 사용자가 키 자격 증명 모음에 액세스함

(KV_UserAnomaly)

설명: 일반적으로 액세스하지 않는 사용자가 키 자격 증명 모음에 액세스했습니다. 이 비정상적인 액세스 패턴은 합법적인 활동일 수 있지만 위협 행위자가 키 자격 증명 모음에 포함된 비밀에 액세스하기 위해 키 자격 증명 모음에 액세스했음을 나타낼 수 있습니다. 추가 조사를 권장합니다.

MITRE 전술: 자격 증명 액세스

심각도: 보통

키 자격 증명 모음에 액세스한 비정상적인 사용자-애플리케이션 쌍

(KV_UserAppAnomaly)

설명: 일반적으로 액세스하지 않는 사용자 서비스 주체 쌍에서 키 자격 증명 모음에 액세스했습니다. 이 비정상적인 액세스 패턴은 합법적인 활동일 수 있지만 위협 행위자가 키 자격 증명 모음에 포함된 비밀에 액세스하기 위해 키 자격 증명 모음에 액세스했음을 나타낼 수 있습니다. 추가 조사를 권장합니다.

MITRE 전술: 자격 증명 액세스

심각도: 보통

사용자가 많은 양의 키 자격 증명 모음에 액세스했습니다.

(KV_AccountVolumeAnomaly)

설명: 사용자 또는 서비스 주체가 비정상적으로 많은 양의 키 자격 증명 모음에 액세스했습니다. 이 비정상적인 액세스 패턴은 합법적인 활동일 수 있지만 위협 행위자가 포함된 비밀에 액세스하기 위해 여러 키 자격 증명 모음에 대한 액세스 권한을 얻었다는 표시일 수 있습니다. 추가 조사를 권장합니다.

MITRE 전술: 자격 증명 액세스

심각도: 보통

의심스러운 IP에서 키 자격 증명 모음으로의 액세스 거부

(KV_SuspiciousIPAccessDenied)

설명: Microsoft Threat Intelligence가 의심스러운 IP 주소로 식별한 IP에 의해 실패한 키 자격 증명 모음 액세스가 시도되었습니다. 이 시도는 실패했지만 인프라가 손상되었을 수 있음을 나타냅니다. 추가 조사를 권장합니다.

MITRE 전술: 자격 증명 액세스

심각도: 낮음

의심스러운 IP(비 Microsoft 또는 외부)에서 키 자격 증명 모음에 대한 비정상적인 액세스

(KV_UnusualAccessSuspiciousIP)

설명: 사용자 또는 서비스 주체가 지난 24시간 동안 비 Microsoft IP에서 키 자격 증명 모음에 비정상적인 액세스를 시도했습니다. 이 비정상적인 액세스 패턴은 합법적인 활동일 수 있습니다. 이는 키 자격 증명 모음 및 그 안에 포함된 비밀에 대한 액세스 권한을 얻으려는 시도가 있음을 나타낼 수 있습니다. 추가 조사를 권장합니다.

MITRE 전술: 자격 증명 액세스

심각도: 보통

Azure DDoS Protection에 대한 경고

추가 세부 정보 및 참고 사항

공용 IP에 대해 DDoS 공격이 검색됨

(NETWORK_DDOS_DETECTED)

설명: 공용 IP(IP 주소)에 대해 DDoS 공격이 감지되고 완화되고 있습니다.

MITRE 전술: 검색

심각도: 높음

공용 IP에 대한 DDoS 공격이 완화됨

(NETWORK_DDOS_MITIGATED)

설명: 공용 IP(IP 주소)에 대해 완화된 DDoS 공격입니다.

MITRE 전술: 검색

심각도: 낮음

Defender for API에 대한 경고

API 엔드포인트에 대한 API 트래픽의 의심스러운 인구 수준 급증

(API_PopulationSpikeInAPITraffic)

설명: API 엔드포인트 중 하나에서 의심스러운 API 트래픽 급증이 감지되었습니다. 검색 시스템은 기록 트래픽 패턴을 사용하여 모든 IP와 엔드포인트 간의 일상적인 API 트래픽 볼륨에 대한 기준을 설정했으며, 기준은 각 상태 코드(예: 200 성공)에 대한 API 트래픽과 관련이 있습니다. 검색 시스템은 이 기준에서 비정상적인 편차로 플래그를 지정하여 의심스러운 활동을 검색했습니다.

MITRE 전술: 영향

심각도: 보통

단일 IP 주소에서 API 엔드포인트로의 API 트래픽 급증

(API_SpikeInAPITraffic)

설명: API 트래픽의 의심스러운 급증이 클라이언트 IP에서 API 엔드포인트로 검색되었습니다. 검색 시스템은 기록 트래픽 패턴을 사용하여 특정 IP에서 엔드포인트로 들어오는 엔드포인트에 대한 일상적인 API 트래픽 볼륨에 대한 기준을 설정했습니다. 검색 시스템은 이 기준에서 비정상적인 편차로 플래그를 지정하여 의심스러운 활동을 검색했습니다.

MITRE 전술: 영향

심각도: 보통

단일 IP 주소와 API 엔드포인트 간에 전송되는 비정상적으로 큰 응답 페이로드

(API_SpikeInPayload)

설명: 단일 IP와 API 엔드포인트 중 하나 간의 트래픽에 대해 API 응답 페이로드 크기의 의심스러운 급증이 관찰되었습니다. 지난 30일 간의 기록 트래픽 패턴에 따라 Defender for API는 특정 IP와 API 엔드포인트 간의 일반적인 API 응답 페이로드 크기를 나타내는 기준을 알아봅니다. 학습된 기준은 각 상태 코드(예: 200 성공)에 대한 API 트래픽과 관련이 있습니다. API 응답 페이로드 크기가 기록 기준에서 크게 떨어져 경고가 트리거되었습니다.

MITRE 전술: 초기 액세스

심각도: 보통

단일 IP 주소와 API 엔드포인트 간에 전송되는 비정상적으로 큰 요청 본문

(API_SpikeInPayload)

설명: 단일 IP와 API 엔드포인트 중 하나 간의 트래픽에 대해 API 요청 본문 크기의 의심스러운 급증이 관찰되었습니다. 지난 30일 간의 기록 트래픽 패턴에 따라 Defender for API는 특정 IP와 API 엔드포인트 간의 일반적인 API 요청 본문 크기를 나타내는 기준을 알아봅니다. 학습된 기준은 각 상태 코드(예: 200 성공)에 대한 API 트래픽과 관련이 있습니다. API 요청 크기가 기록 기준에서 크게 달라졌기 때문에 경고가 트리거되었습니다.

MITRE 전술: 초기 액세스

심각도: 보통

(미리 보기) 단일 IP 주소와 API 엔드포인트 간의 트래픽 대기 시간 급증

(API_SpikeInLatency)

설명: 단일 IP와 API 엔드포인트 중 하나 간의 트래픽에 대해 의심스러운 대기 시간 급증이 관찰되었습니다. 지난 30일 간의 기록 트래픽 패턴에 따라 Defender for API는 특정 IP와 API 엔드포인트 간의 일상적인 API 트래픽 대기 시간을 나타내는 기준을 알아봅니다. 학습된 기준은 각 상태 코드(예: 200 성공)에 대한 API 트래픽과 관련이 있습니다. API 호출 대기 시간이 기록 기준에서 크게 벗어나서 경고가 트리거되었습니다.

MITRE 전술: 초기 액세스

심각도: 보통

API 요청은 단일 IP 주소에서 비정상적으로 많은 수의 고유 API 엔드포인트로 스프레이합니다.

(API_SprayInRequests)

설명: 비정상적으로 많은 수의 고유 엔드포인트에 대한 API 호출을 만드는 단일 IP가 관찰되었습니다. 지난 30일 동안의 기록 트래픽 패턴에 따라 API용 Defender는 20분 동안 단일 IP에서 호출하는 일반적인 고유 엔드포인트 수를 나타내는 기준을 알아봅니다. 단일 IP의 동작이 기록 기준에서 크게 벗어나서 경고가 트리거되었습니다.

MITRE 전술: 검색

심각도: 보통

API 엔드포인트의 매개 변수 열거형

(API_ParameterEnumeration)

설명: API 엔드포인트 중 하나에 액세스할 때 단일 IP가 매개 변수를 열거하는 것으로 관찰되었습니다. 지난 30일 간의 기록 트래픽 패턴에 따라 Defender for API는 20분 동안 이 엔드포인트에 액세스할 때 단일 IP에서 사용하는 일반적인 고유 매개 변수 값 수를 나타내는 기준을 알아봅니다. 단일 클라이언트 IP가 비정상적으로 많은 수의 고유 매개 변수 값을 사용하여 엔드포인트에 최근에 액세스했기 때문에 경고가 트리거되었습니다.

MITRE 전술: 초기 액세스

심각도: 보통

API 엔드포인트의 분산 매개 변수 열거형

(API_DistributedParameterEnumeration)

설명: API 엔드포인트 중 하나에 액세스할 때 집계 사용자 채우기(모든 IP)가 매개 변수를 열거하는 것으로 관찰되었습니다. 지난 30일 동안의 기록 트래픽 패턴에 따라 Defender for API는 20분 동안 엔드포인트에 액세스할 때 사용자 모집단(모든 IP)이 사용하는 일반적인 고유 매개 변수 값 수를 나타내는 기준을 알아봅니다. 사용자 채우기가 비정상적으로 많은 수의 고유 매개 변수 값을 사용하여 엔드포인트에 최근에 액세스했기 때문에 경고가 트리거되었습니다.

MITRE 전술: 초기 액세스

심각도: 보통

API 호출에서 비정상적인 데이터 형식을 사용하는 매개 변수 값

(API_UnseenParamType)

설명: 단일 IP가 API 엔드포인트 중 하나에 액세스하고 낮은 확률 데이터 형식(예: 문자열, 정수 등)의 매개 변수 값을 사용하는 것으로 관찰되었습니다. 지난 30일 동안의 기록 트래픽 패턴에 따라 Defender for API는 각 API 매개 변수에 대해 예상되는 데이터 형식을 알아봅니다. IP가 이전에 낮은 확률 데이터 형식을 매개 변수 입력으로 사용하여 엔드포인트에 최근에 액세스했기 때문에 경고가 트리거되었습니다.

MITRE 전술: 영향

심각도: 보통

이전에 API 호출에 사용된 보이지 않는 매개 변수

(API_UnseenParam)

설명: 요청에서 이전에 보이지 않거나 범위를 벗어난 매개 변수를 사용하여 API 엔드포인트 중 하나에 액세스하는 단일 IP가 관찰되었습니다. 지난 30일 간의 기록 트래픽 패턴에 따라 Defender for API는 엔드포인트 호출과 관련된 예상 매개 변수 집합을 알아봅니다. IP가 이전에 보이지 않는 매개 변수를 사용하여 엔드포인트에 최근에 액세스했기 때문에 경고가 트리거되었습니다.

MITRE 전술: 영향

심각도: 보통

Tor 종료 노드에서 API 엔드포인트로 액세스

(API_AccessFromTorExitNode)

설명: Tor 네트워크의 IP 주소가 API 엔드포인트 중 하나에 액세스했습니다. Tor는 사람들이 실제 IP를 숨기면서 인터넷에 액세스할 수 있는 네트워크입니다. 합법적인 용도는 있지만 공격자가 온라인에서 사용자의 시스템을 대상으로 할 때 ID를 숨기는 데 자주 사용됩니다.

MITRE 전술: 사전 공격

심각도: 보통

의심스러운 IP에서 API 엔드포인트 액세스

(API_AccessFromSuspiciousIP)

설명: API 엔드포인트 중 하나에 액세스하는 IP 주소는 Microsoft Threat Intelligence에서 위협이 될 확률이 높은 것으로 확인되었습니다. 악의적인 인터넷 트래픽을 관찰하는 동안 이 IP는 다른 온라인 대상을 공격하는 데 관여했습니다.

MITRE 전술: 사전 공격

심각도: 높음

의심스러운 사용자 에이전트가 검색됨

(API_AccessFromSuspiciousUserAgent)

설명: API 엔드포인트 중 하나에 액세스하는 요청의 사용자 에이전트에 원격 코드 실행 시도를 나타내는 비정상적인 값이 포함되어 있습니다. 이는 API 엔드포인트가 위반되었음을 의미하지는 않지만 시도된 공격이 진행 중임을 시사합니다.

MITRE 전술: 실행

심각도: 보통

사용되지 않는 컨테이너용 Defender 경고

다음 목록에는 사용되지 않는 Defender for Containers 보안 경고가 포함됩니다.

호스트 방화벽 조작이 감지됨

(K8S.NODE_FirewallDisabled)

설명: 컨테이너 내에서 실행되거나 Kubernetes 노드에서 직접 실행되는 프로세스의 분석에서 호스트 방화벽의 조작 가능성을 감지했습니다. 공격자는 데이터를 내보내기 위해 이 기능을 사용하지 않도록 설정하는 경우가 많습니다.

MITRE 전술: DefenseEvasion, 반출

심각도: 보통

HTTPS를 통한 DNS의 의심스러운 사용

(K8S.NODE_SuspiciousDNSOverHttps)

설명: 컨테이너 내에서 또는 Kubernetes 노드에서 직접 실행되는 프로세스를 분석한 결과, 일반적인 방식으로 HTTPS를 통한 DNS 호출의 사용을 감지했습니다. 이 기술은 공격자가 의심스럽거나 악의적인 사이트에 대한 호출을 숨기는 데 사용됩니다.

MITRE 전술: DefenseEvasion, 반출

심각도: 보통

악의적인 위치에 대한 가능한 연결이 검색되었습니다.

(K8S.NODE_ThreatIntelCommandLineSuspectDomain)

설명: 컨테이너 내에서 또는 Kubernetes 노드에서 직접 실행되는 프로세스를 분석한 결과 악의적이거나 비정상적인 것으로 보고된 위치에 대한 연결이 검색되었습니다. 이는 손상이 발생했을 수 있음을 나타내는 지표입니다.

MITRE 전술: InitialAccess

심각도: 보통

디지털 통화 마이닝 활동

(K8S. NODE_CurrencyMining)

설명: DNS 트랜잭션을 분석한 결과 디지털 통화 마이닝 작업이 감지되었습니다. 이러한 활동은 합법적인 사용자 동작일 수 있지만, 리소스가 손상된 후에 공격자가 수행하는 경우가 많습니다. 일반적으로 관련된 공격자 활동에는 일반적인 마이닝 도구의 다운로드 및 실행이 포함될 수 있습니다.

MITRE 전술: 반출

심각도: 낮음

서버용 Defender Linux 경고가 사용되지 않음

VM_AbnormalDaemonTermination

경고 표시 이름: 비정상적인 종료

심각도: 낮음

VM_BinaryGeneratedFromCommandLine

경고 표시 이름: 의심스러운 이진 파일이 검색됨

심각도: 보통

의심스러운 VM_CommandlineSuspectDo기본

경고 표시 이름: do기본 이름 참조

심각도: 낮음

VM_CommonBot

경고 표시 이름: 검색된 일반적인 Linux 봇과 유사한 동작

심각도: 보통

VM_CompCommonBots

경고 표시 이름: 검색된 일반적인 Linux 봇과 유사한 명령

심각도: 보통

VM_CompSuspiciousScript

경고 표시 이름: 셸 스크립트가 검색됨

심각도: 보통

VM_CompTestRule

경고 표시 이름: 복합 분석 테스트 경고

심각도: 낮음

VM_CronJobAccess

경고 표시 이름: 예약된 작업 조작이 감지됨

심각도: 정보 제공

VM_CryptoCoinMinerArtifacts

경고 표시 이름: 디지털 통화 마이닝과 관련된 프로세스가 검색됨

심각도: 보통

VM_CryptoCoinMinerDownload

경고 표시 이름: 가능한 Cryptocoinminer 다운로드가 검색됨

심각도: 보통

VM_CryptoCoinMinerExecution

경고 표시 이름: 잠재적인 암호화 동전 광부 시작

심각도: 보통

VM_DataEgressArtifacts

경고 표시 이름: 가능한 데이터 반출이 감지됨

심각도: 보통

VM_DigitalCurrencyMining

경고 표시 이름: 디지털 통화 마이닝 관련 동작이 검색됨

심각도: 높음

VM_DownloadAndRunCombo

경고 표시 이름: 의심스러운 다운로드 후 작업 실행

심각도: 보통

VM_EICAR

경고 표시 이름: 클라우드용 Microsoft Defender 테스트 경고(위협 아님)

심각도: 높음

VM_ExecuteHiddenFile

경고 표시 이름: 숨겨진 파일 실행

심각도: 정보 제공

VM_ExploitAttempt

경고 표시 이름: 가능한 명령줄 악용 시도

심각도: 보통

VM_ExposedDocker

경고 표시 이름: TCP 소켓에 노출된 Docker 디먼

심각도: 보통

VM_FairwareMalware

경고 표시 이름: 페어웨어 랜섬웨어와 유사한 동작이 검색됨

심각도: 보통

VM_FirewallDisabled

경고 표시 이름: 호스트 방화벽 조작이 감지됨

심각도: 보통

VM_HadoopYarnExploit

경고 표시 이름: Hadoop Yarn의 악용 가능성

심각도: 보통

VM_HistoryFileCleared

경고 표시 이름: 기록 파일이 지워졌습니다.

심각도: 보통

VM_KnownLinuxAttackTool

경고 표시 이름: 가능한 공격 도구가 검색됨

심각도: 보통

VM_KnownLinuxCredentialAccessTool

경고 표시 이름: 가능한 자격 증명 액세스 도구가 검색됨

심각도: 보통

VM_KnownLinuxDDoSToolkit

경고 표시 이름: DDOS 도구 키트와 연결된 표시기가 검색됨

심각도: 보통

VM_KnownLinuxScreenshotTool

경고 표시 이름: 호스트에서 찍은 스크린샷

심각도: 낮음

VM_LinuxBackdoorArtifact

경고 표시 이름: 가능한 백도어 검색됨

심각도: 보통

VM_LinuxReconnaissance

경고 표시 이름: 로컬 호스트 정찰이 검색됨

심각도: 보통

VM_MismatchedScriptFeatures

경고 표시 이름: 스크립트 확장 불일치가 검색됨

심각도: 보통

VM_MitreCalderaTools

경고 표시 이름: MITRE 칼데라 에이전트가 검색됨

심각도: 보통

VM_NewSingleUserModeStartupScript

경고 표시 이름: 감지된 지속성 시도

심각도: 보통

VM_NewSudoerAccount

경고 표시 이름: sudo 그룹에 추가된 계정

심각도: 낮음

VM_OverridingCommonFiles

경고 표시 이름: 일반 파일의 잠재적 재정의

심각도: 보통

VM_PrivilegedContainerArtifacts

경고 표시 이름: 권한 있는 모드에서 실행되는 컨테이너

심각도: 낮음

VM_PrivilegedExecutionInContainer

경고 표시 이름: 높은 권한으로 실행되는 컨테이너 내의 명령

심각도: 낮음

VM_ReadingHistoryFile

경고 표시 이름: bash 기록 파일에 대한 비정상적인 액세스

심각도: 정보 제공

VM_ReverseShell

경고 표시 이름: 잠재적인 역방향 셸이 검색됨

심각도: 보통

VM_SshKeyAccess

경고 표시 이름: 비정상적인 방법으로 SSH 권한 있는 키 파일에 액세스하는 프로세스

심각도: 낮음

VM_SshKeyAddition

경고 표시 이름: 새 SSH 키가 추가됨

심각도: 낮음

VM_SuspectCompilation

경고 표시 이름: 의심스러운 컴파일이 검색됨

심각도: 보통

VM_Suspect커넥트ion

경고 표시 이름: 일반적이지 않은 연결 시도가 감지됨

심각도: 보통

VM_SuspectDownload

경고 표시 이름: 알려진 악성 원본에서 검색된 파일 다운로드

심각도: 보통

VM_SuspectDownloadArtifacts

경고 표시 이름: 의심스러운 파일 다운로드가 감지됨

심각도: 낮음

VM_SuspectExecutablePath

경고 표시 이름: 의심스러운 위치에서 실행 중인 실행 파일이 발견되었습니다.

심각도: 보통

VM_SuspectHtaccessFileAccess

경고 표시 이름: htaccess 파일 액세스가 감지됨

심각도: 보통

VM_SuspectInitialShellCommand

경고 표시 이름: 셸의 의심스러운 첫 번째 명령

심각도: 낮음

VM_SuspectMixedCaseText

경고 표시 이름: 명령줄에서 대문자와 소문자의 비정상적인 혼합이 감지됨

심각도: 보통

VM_SuspectNetwork커넥트ion

경고 표시 이름: 의심스러운 네트워크 연결

심각도: 정보 제공

VM_SuspectNohup

경고 표시 이름: nohup 명령의 의심스러운 사용이 감지됨

심각도: 보통

VM_SuspectPasswordChange

경고 표시 이름: crypt-method를 사용하여 암호 변경이 감지됨

심각도: 보통

VM_SuspectPasswordFileAccess

경고 표시 이름: 의심스러운 암호 액세스

심각도: 정보 제공

VM_SuspectPhp

경고 표시 이름: 의심스러운 PHP 실행이 검색됨

심각도: 보통

VM_SuspectPortForwarding

경고 표시 이름: 외부 IP 주소로 잠재적인 포트 전달

심각도: 보통

VM_SuspectProcessAccountPrivilegeCombo

경고 표시 이름: 서비스 계정에서 실행되는 프로세스가 예기치 않게 루트가 되었습니다.

심각도: 보통

VM_SuspectProcessTermination

경고 표시 이름: 보안 관련 프로세스 종료가 검색됨

심각도: 낮음

VM_SuspectUserAddition

경고 표시 이름: useradd 명령의 의심스러운 사용이 감지됨

심각도: 보통

VM_SuspiciousCommandLineExecution

경고 표시 이름: 의심스러운 명령 실행

심각도: 높음

VM_SuspiciousDNSOverHttps

경고 표시 이름: HTTPS를 통한 DNS의 의심스러운 사용

심각도: 보통

VM_SystemLogRemoval

경고 표시 이름: 가능한 로그 변조 작업이 감지됨

심각도: 보통

VM_ThreatIntelCommandLineSuspectDo기본

경고 표시 이름: 악의적인 위치에 대한 연결이 검색되었습니다.

심각도: 보통

VM_ThreatIntelSuspectLogon

경고 표시 이름: 악성 IP의 로그온이 검색되었습니다.

심각도: 높음

VM_TimerServiceDisabled

경고 표시 이름: apt-daily-upgrade.timer 서비스를 중지하려고 시도했습니다.

심각도: 정보 제공

VM_TimestampTampering

경고 표시 이름: 의심스러운 파일 타임스탬프 수정

심각도: 낮음

VM_Webshell

경고 표시 이름: 악성 웹 셸이 검색되었을 수 있음

심각도: 보통

사용되지 않는 서버용 Defender Windows 경고

SCUBA_MULTIPLEACCOUNTCREATE

경고 표시 이름: 여러 호스트에서 의심스러운 계정 만들기

심각도: 보통

SCUBA_PSINSIGHT_CONTEXT

경고 표시 이름: PowerShell의 의심스러운 사용이 감지됨

심각도: 정보 제공

SCUBA_RULE_AddGuestTo관리자

경고 표시 이름: 로컬 관리istrators 그룹에 게스트 계정 추가

심각도: 보통

SCUBA_RULE_Apache_Tomcat_executing_suspicious_commands

경고 표시 이름: Apache_Tomcat_executing_suspicious_commands

심각도: 보통

SCUBA_RULE_KnownBruteForcingTools

경고 표시 이름: 의심스러운 프로세스가 실행됨

심각도: 높음

SCUBA_RULE_KnownCollectionTools

경고 표시 이름: 의심스러운 프로세스가 실행됨

심각도: 높음

SCUBA_RULE_KnownDefenseEvasionTools

경고 표시 이름: 의심스러운 프로세스가 실행됨

심각도: 높음

SCUBA_RULE_KnownExecutionTools

경고 표시 이름: 의심스러운 프로세스가 실행됨

심각도: 높음

SCUBA_RULE_KnownPassTheHashTools

경고 표시 이름: 의심스러운 프로세스가 실행됨

심각도: 높음

SCUBA_RULE_KnownSpammingTools

경고 표시 이름: 의심스러운 프로세스가 실행됨

심각도: 보통

SCUBA_RULE_Lowering_Security_설정

경고 표시 이름: 중요한 서비스의 비활성화를 감지했습니다.

심각도: 보통

SCUBA_RULE_OtherKnownHackerTools

경고 표시 이름: 의심스러운 프로세스가 실행됨

심각도: 높음

SCUBA_RULE_RDP_session_hijacking_via_tscon

경고 표시 이름: RDP 하이재킹을 나타내는 주의 무결성 수준

심각도: 보통

SCUBA_RULE_RDP_session_hijacking_via_tscon_service

경고 표시 이름: 의심 서비스 설치

심각도: 보통

SCUBA_RULE_Suppress_pesky_unauthorized_use_prohibited_notices

경고 표시 이름: 로그온 시 사용자에게 표시되는 법적 고지 표시가 감지됨

심각도: 낮음

SCUBA_RULE_WDigest_Enabling

경고 표시 이름: WDigest UseLogonCredential 레지스트리 키 사용이 감지됨

심각도: 보통

VM.Windows_ApplockerBypass

경고 표시 이름: AppLocker를 바이패스하려는 잠재적 시도가 감지됨

심각도: 높음

VM.Windows_BariumKnownSuspiciousProcessExecution

경고 표시 이름: 의심스러운 파일 생성이 감지됨

심각도: 높음

VM.Windows_Base64EncodedExecutableInCommandLineParams

경고 표시 이름: 명령줄 데이터에서 인코딩된 실행 파일이 검색됨

심각도: 높음

VM.Windows_CalcsCommandLineUse

경고 표시 이름: 시스템의 보안 상태를 낮추기 위해 Cacls의 의심스러운 사용이 감지됨

심각도: 보통

VM.Windows_CommandLineStartingAllExe

경고 표시 이름: 디렉터리에서 모든 실행 파일을 시작하는 데 사용되는 의심스러운 명령줄이 검색됨

심각도: 보통

VM.Windows_DisablingAndDeletingIISLogFiles

경고 표시 이름: IIS 로그 파일 사용 안 함을 나타내는 검색된 작업

심각도: 보통

VM.Windows_DownloadUsingCertutil

경고 표시 이름: Certutil을 사용한 의심스러운 다운로드가 감지됨

심각도: 보통

VM.Windows_EchoOverPipeOnLocalhost

경고 표시 이름: 의심스러운 명명된 파이프 통신이 검색됨

심각도: 높음

VM.Windows_EchoToConstructPowerShellScript

경고 표시 이름: 동적 PowerShell 스크립트 생성

심각도: 보통

VM.Windows_ExecutableDecodedUsingCertutil

경고 표시 이름: 기본 제공 certutil.exe 도구를 사용하여 실행 파일의 디코딩이 감지됨

심각도: 보통

VM.Windows_FileDeletionIsSospisiousLocation

경고 표시 이름: 의심스러운 파일 삭제가 검색됨

심각도: 보통

VM.Windows_KerberosGoldenTicketAttack

경고 표시 이름: 의심되는 Kerberos 골든 티켓 공격 매개 변수 관찰됨

심각도: 보통

VM.Windows_KeygenToolKnownProcessName

경고 표시 이름: keygen 실행 파일 의심스러운 프로세스가 실행될 수 있는 실행이 감지됨

심각도: 보통

VM.Windows_KnownCredentialAccessTools

경고 표시 이름: 의심스러운 프로세스가 실행됨

심각도: 높음

VM.Windows_KnownSuspiciousPowerShellScript

경고 표시 이름: PowerShell의 의심스러운 사용이 감지됨

심각도: 높음

VM.Windows_KnownSuspiciousSoftwareInstallation

경고 표시 이름: 위험 수준이 높은 소프트웨어가 검색됨

심각도: 보통

VM.Windows_MsHtaAndPowerShellCombination

경고 표시 이름: HTA와 PowerShell의 의심스러운 조합이 검색됨

심각도: 보통

VM.Windows_MultipleAccountsQuery

경고 표시 이름: 쿼리된 여러 do기본 계정

심각도: 보통

VM.Windows_NewAccountCreation

경고 표시 이름: 계정 만들기가 검색됨

심각도: 정보 제공

VM.Windows_ObfuscatedCommandLine

경고 표시 이름: 난독 제거된 명령줄이 검색되었습니다.

심각도: 높음

VM.Windows_PcaluaUseToLaunchExecutable

경고 표시 이름: 실행 코드를 시작하는 데 Pcalua.exe 의심스러운 사용이 감지됨

심각도: 보통

VM.Windows_PetyaRansomware

경고 표시 이름: 감지된 Petya 랜섬웨어 표시기

심각도: 높음

VM.Windows_PowerShellPowerSploitScriptExecution

경고 표시 이름: 의심스러운 PowerShell cmdlet이 실행됨

심각도: 보통

VM.Windows_RansomwareIndication

경고 표시 이름: 랜섬웨어 표시기가 검색됨

심각도: 높음

VM.Windows_SqlDumperUsedSuspiciously

경고 표시 이름: 가능한 자격 증명 덤프가 검색됨[여러 번 확인됨]

심각도: 보통

VM.Windows_StopCriticalServices

경고 표시 이름: 중요한 서비스의 비활성화를 감지했습니다.

심각도: 보통

VM.Windows_SubvertingAccessibilityBinary

경고 표시 이름: 고정 키 공격으로 의심스러운 계정 생성이 검색된 중간

VM.Windows_SuspiciousAccountCreation

경고 표시 이름: 의심스러운 계정 생성이 감지됨

심각도: 보통

VM.Windows_SuspiciousFirewallRuleAdded

경고 표시 이름: 의심스러운 새 방화벽 규칙이 검색됨

심각도: 보통

VM.Windows_SuspiciousFTPSSwitchUsage

경고 표시 이름: FTP -s 스위치의 의심스러운 사용이 감지됨

심각도: 보통

VM.Windows_SuspiciousSQLActivity

경고 표시 이름: 의심스러운 SQL 활동

심각도: 보통

VM.Windows_SVCHostFromInvalidPath

경고 표시 이름: 의심스러운 프로세스가 실행됨

심각도: 높음

VM.Windows_SystemEventLogCleared

경고 표시 이름: Windows 보안 로그가 지워진 경우

심각도: 정보 제공

VM.Windows_TelegramInstallation

경고 표시 이름: 잠재적으로 의심스러운 Telegram 도구 사용이 감지됨

심각도: 보통

VM.Windows_UndercoverProcess

경고 표시 이름: 의심스러운 명명된 프로세스가 검색됨

심각도: 높음

VM.Windows_UserAccountControlBypass

경고 표시 이름: UAC를 우회하기 위해 악용될 수 있는 레지스트리 키 변경이 감지됨

심각도: 보통

VM.Windows_VBScriptEncoding

경고 표시 이름: VBScript.Encode 명령의 의심스러운 실행이 감지됨

심각도: 보통

VM.Windows_WindowPositionRegisteryChange

경고 표시 이름: 의심스러운 WindowPosition 레지스트리 값이 검색됨

심각도: 낮음

VM.Windows_ZincPortOpenningUsingFirewallRule

경고 표시 이름: ZINC 서버 임플란트에서 만든 악성 방화벽 규칙

심각도: 높음

VM_DigitalCurrencyMining

경고 표시 이름: 디지털 통화 마이닝 관련 동작이 검색됨

심각도: 높음

VM_MaliciousSQLActivity

경고 표시 이름: 악의적인 SQL 작업

심각도: 높음

VM_ProcessWithDoubleExtensionExecution

경고 표시 이름: 의심스러운 이중 확장 파일이 실행됨

심각도: 높음

VM_RegistryPersistencyKey

경고 표시 이름: Windows 레지스트리 지속성 메서드가 검색됨

심각도: 낮음

VM_ShadowCopyDeletion

경고 표시 이름: 의심스러운 위치에서 실행 중인 의심스러운 볼륨 섀도 복사 작업 실행 파일

심각도: 높음

VM_SuspectExecutablePath

경고 표시 이름: 의심스러운 위치에서 실행 중인 실행 파일이 명령줄에서 대문자와 소문자의 비정상적인 혼합을 감지했습니다.

심각도: 정보 제공

중간

VM_SuspectPhp

경고 표시 이름: 의심스러운 PHP 실행이 검색됨

심각도: 보통

VM_SuspiciousCommandLineExecution

경고 표시 이름: 의심스러운 명령 실행

심각도: 높음

VM_SuspiciousScreenSaverExecution

경고 표시 이름: 의심스러운 화면 보호기 프로세스가 실행됨

심각도: 보통

VM_SvcHostRunInRareServiceGroup

경고 표시 이름: 실행된 드문 SVCHOST 서비스 그룹

심각도: 정보 제공

VM_SystemProcessInAbnormalContext

경고 표시 이름: 의심스러운 시스템 프로세스가 실행됨

심각도: 보통

VM_ThreatIntelCommandLineSuspectDo기본

경고 표시 이름: 악의적인 위치에 대한 연결이 검색되었습니다.

심각도: 보통

VM_ThreatIntelSuspectLogon

경고 표시 이름: 악성 IP의 로그온이 검색되었습니다.

심각도: 높음

VM_VbScriptHttpObjectAllocation

경고 표시 이름: VBScript HTTP 개체 할당이 검색됨

심각도: 높음

VM_TaskkillBurst

경고 표시 이름: 의심스러운 프로세스 종료 버스트

심각도: 낮음

VM_RunByPsExec

경고 표시 이름: PsExec 실행이 검색됨

심각도: 정보 제공

MITRE ATT&CK 전술

공격 의도를 파악하면 이벤트를 더욱 쉽게 조사하고 보고할 수 있습니다. 이러한 노력을 돕기 위해 클라우드용 Microsoft Defender 경고에는 많은 경고가 포함된 MITRE 전술이 있습니다.

정찰에서 데이터 반출에 이르는 사이버 공격의 진행 과정을 설명하는 일련의 단계를 종종 "킬 체인(kill chain)"이라고 합니다.

클라우드용 Defender 지원되는 킬 체인 의도는 MITRE ATT&CK 매트릭스 버전 9를 기반으로 하며 아래 표에 설명되어 있습니다.

방법 ATT&CK 버전 설명
사전 공격 사전 공격은 악의적인 의도에 관계없이 특정 리소스에 액세스하려는 시도이거나, 착취하기 전에 정보를 수집하기 위해 대상 시스템에 액세스하려는 시도가 실패한 것일 수 있습니다. 이 단계는 일반적으로 네트워크 외부에서 발생하며 대상 시스템을 검사하고 진입점을 식별하려는 시도로 감지됩니다.
Initial Access V7, V9 초기 액세스는 공격자가 공격을 받는 리소스에 대한 기반을 구축하기 위해 관리하는 단계입니다. 이 단계는 사용자 계정, 인증서 등의 컴퓨팅 호스트 및 리소스와 관련이 있습니다. 이 단계 이후에는 위협 행위자가 리소스를 제어할 수 있는 경우가 많습니다.
지속성 V7, V9 지속성은 위협 행위자에게 해당 시스템에 지속적인 현존을 제공하는 시스템에 대한 액세스, 작업 또는 구성 변경입니다. 위협 행위자는 종종 액세스 권한을 다시 얻기 위해 대체 백도어를 다시 시작하거나 제공하도록 시스템 재시작, 자격 증명 손실 또는 원격 액세스 도구가 필요한 기타 장애 등의 중단을 통해 시스템에 대한 액세스를 유지해야 합니다.
권한 상승 V7, V9 권한 상승은 악의적 사용자가 시스템 또는 네트워크에서 더 높은 수준의 권한을 얻을 수 있는 작업의 결과입니다. 특정 도구나 작업을 수행하려면 더 높은 수준의 권한이 필요하며 작업 전체의 여러 지점에서 필요할 수 있습니다. 특정 시스템에 액세스하거나 악의적 사용자가 목표를 달성하는 데 필요한 특정 기능을 수행할 수 있는 권한이 있는 사용자 계정도 권한 상승으로 간주될 수 있습니다.
방어 회피 V7, V9 방어 회피는 악의적 사용자가 탐지를 회피하거나 다른 방어를 피하기 위해 사용할 수 있는 기술로 구성됩니다. 때때로 이러한 작업은 특정 방어 또는 완화를 파괴하는 추가 이점이 있는 다른 범주의 기술과 동일(또는 변형)합니다.
자격 증명 액세스 V7, V9 자격 증명 액세스는 엔터프라이즈 환경 내에서 사용되는 시스템, do기본 또는 서비스 자격 증명에 액세스하거나 제어하는 기술을 나타냅니다. 악의적 사용자는 네트워크 내에서 사용하기 위해 사용자 또는 관리자 계정(로컬 시스템 관리자 또는 관리자 액세스 권한이 있는 도메인 사용자)으로부터 합법적인 자격 증명을 얻으려고 시도할 가능성이 높습니다. 네트워크 내에 액세스 권한이 충분하면 악의적 사용자는 나중에 환경 내에서 사용할 계정을 만들 수 있습니다.
검색 V7, V9 검색은 악의적 사용자가 시스템과 내부 네트워크에 대한 정보를 얻을 수 있는 기술로 구성됩니다. 악의적 사용자가 새 시스템에 액세스할 수 있게 되면 현재 제어할 수 있는 것과 해당 시스템에서 운영하는 혜택이 침입 중에 현재 목표 또는 전반적인 목표에 주는 이점을 지향해야 합니다. 운영 체제는 이러한 타협 후 정보 수집 단계를 지원하는 많은 기본 도구를 제공합니다.
측면 이동 V7, V9 횡적 이동은 악의적 사용자가 네트워크의 원격 시스템에 액세스하고 제어할 수 있도록 하는 기술로 구성되며, 반드시 원격 시스템에서 도구를 실행할 필요는 없습니다. 악의적 사용자는 측면 이동 기술을 이용해 원격 액세스 도구와 같은 추가 도구가 없어도 시스템에서 정보를 수집할 수 있습니다. 악의적 사용자는 원격 도구 실행, 더 많은 시스템에 대한 피벗, 특정 정보 또는 파일에 대한 액세스, 더 많은 자격 증명에 대한 액세스 또는 영향을 주는 등 여러 가지 목적으로 횡적 이동을 사용할 수 있습니다.
실행 V7, V9 실행 기법은 로컬 또는 원격 시스템에서 악의적 사용자가 제어하는 코드를 실행하게 되는 기술을 나타냅니다. 이 전술은 종종 네트워크의 원격 시스템에 대한 액세스를 확장하기 위해 횡적 이동과 함께 사용됩니다.
컬렉션 V7, V9 수집은 반출 전에 대상 네트워크에서 민감한 파일과 같은 정보를 식별하고 수집하는 데 사용되는 기술로 구성됩니다. 이 범주는 악의적 사용자가 유출할 정보를 찾을 수 있는 시스템 또는 네트워크의 위치도 다룹니다.
명령 및 제어. V7, V9 명령 및 제어 기법은 악의적 사용자가 대상 네트워크 내에서 제어되는 시스템과 통신하는 방법을 나타냅니다.
반출 V7, V9 반출은 악의적 사용자가 대상 네트워크에서 파일과 정보를 이동하게 만들거나 이동하는 데 도움이 되는 기술과 특성을 의미합니다. 이 범주는 악의적 사용자가 유출할 정보를 찾을 수 있는 시스템 또는 네트워크의 위치도 다룹니다.
영향 V7, V9 영향 이벤트는 주로 시스템, 서비스 또는 네트워크의 가용성 또는 무결성을 직접 줄이려고 합니다. 비즈니스 또는 운영 프로세스에 영향을 미치는 데이터 조작을 포함합니다. 이 이벤트는 종종 랜섬웨어, 변조, 데이터 조작 등과 같은 기술을 가리킵니다.

참고 항목

미리 보기에 있는 알림의 경우 Azure 미리 보기 추가 약관에는 베타, 미리 보기 또는 아직 일반 공급으로 릴리스되지 않은 Azure 기능에 적용되는 추가 법률 용어가 포함되어 있습니다.

다음 단계