다음을 통해 공유


Microsoft Defender for IoT 경고 참조

이 문서에서는 모든 경고 유형 및 설명 목록을 포함하여 Microsoft Defender for IoT 네트워크 센서에서 생성되는 경고에 대한 참조를 제공합니다. 또한 참조는 학습 가능한 상태로 심사할 수 있는 경고를 보여 줍니다. 학습 가능한 상태에 대한 자세한 내용은 경고 상태 및 심사 옵션을 참조 하세요. 이 참조를 사용하여 경고를 플레이북에 매핑하고, OT(운영 기술) 네트워크 센서 또는 기타 사용자 지정 활동에 대한 전달 규칙을 정의할 수 있습니다.

OT 경고는 기본적으로 꺼져 있습니다.

아래 표의 별표(*)로 표시된 대로 여러 경고가 기본적으로 꺼져 있습니다. OT 센서 관리자 사용자는 특정 OT 네트워크 센서의 지원 페이지에서 경고를 사용하거나 사용하지 않도록 설정할 수 있습니다.

경고 전달 규칙과 같은 다른 위치에서 참조되는 경고를 해제하는 경우 필요에 따라 해당 참조를 업데이트해야 합니다.

경고 심각도

Defender for IoT 경고는 다음 심각도 수준을 사용합니다.

Azure Portal OT 센서 설명
높음 위험 즉시 처리해야 하는 악의적인 공격을 나타냅니다.
중간 Major 해결해야 할 보안 위협을 나타냅니다.
낮음 Minor, Warning 보안 위협이 포함되거나 보안 위협이 포함되지 않은 기준 동작의 일부 편차를 나타냅니다.

이 페이지의 경고 심각도는 Azure Portal에 표시된 대로 심각도를 나열합니다.

지원되는 경고 유형

경고 유형 설명
정책 위반 경고 정책 위반 엔진이 이전에 학습한 트래픽의 편차를 감지할 때 트리거됩니다. 예:
- 새 디바이스가 검색됩니다.
- 디바이스에서 새 구성이 검색됩니다.
- 프로그래밍 디바이스로 정의되지 않은 디바이스가 프로그래밍 변경을 수행합니다.
- 펌웨어 버전이 변경되었습니다.
프로토콜 위반 경고 프로토콜 위반 엔진이 프로토콜 사양을 따르지 않는 패킷 구조 또는 필드 값을 감지하면 트리거됩니다.
운영 경고 운영 엔진이 네트워크 운영 인시던트 또는 디바이스 오작동을 감지하면 트리거됩니다. 예를 들어 Stop PLC 명령을 사용하여 네트워크 디바이스를 중지했거나 센서의 인터페이스가 트래픽 모니터링을 중단했습니다.
맬웨어 경고 맬웨어 엔진이 악의적인 네트워크 활동을 검색할 때 트리거됩니다. 예를 들어 엔진은 Conficker와 같은 알려진 공격을 감지합니다.
변칙 경고 변칙 엔진이 편차를 감지한 경우 트리거됩니다. 예를 들어 디바이스가 네트워크 검색을 수행하지만, 검색 디바이스로 정의되어 있지 않습니다.

Defender for IoT의 경고 검색 정책은 다양한 경고 엔진을 조정하여 비즈니스 영향 및 네트워크 컨텍스트에 따라 경고를 트리거하고 낮은 가치의 IT 관련 경고를 줄입니다. 자세한 내용은 OT/IT 환경의 집중 경고을 참조하세요.

지원되는 경고 범주

각 경고에는 다음 범주 중 하나가 있습니다.

  • 비정상적인 통신 동작
  • 비정상적인 HTTP 통신 동작
  • 인증
  • Backup
  • 대역폭 변칙
  • 버퍼 오버플로
  • 명령 실패
  • 구성 변경 내용
  • 사용자 지정 경고
  • 검색
  • 펌웨어 변경
  • 잘못된 명령
  • 인터넷 액세스
  • 작업 실패
  • 운영 문제
  • 프로그래밍
  • 원격 액세스
  • 명령 다시 시작/중지
  • 검색
  • 센서 트래픽
  • 악의적 활동이 의심됨
  • 맬웨어가 의심됨
  • 무단 통신 동작
  • 응답 없음

정책 엔진 경고

정책 엔진 경고는 학습된 기준 동작에서 검색된 편차를 설명합니다.

타이틀 설명 심각도 범주 MITRE ATT&CK
전술과 기술
학습 가능
Beckhoff Software Changed 원본 디바이스에서 펌웨어가 업데이트되었습니다. 이 작업은 권한 있는 작업(예: 계획된 유지 관리 절차)일 수 있습니다. 중간 펌웨어 변경 전술:
- 응답 함수 억제
-고집

기술:
- T0857: 시스템 펌웨어
학습 가능
데이터베이스 로그인 실패 원본 디바이스에서 대상 서버로 로그인 시도가 실패한 것이 감지되었습니다. 이는 사용자 오류의 결과일 수 있지만 서버 또는 해당 서버의 데이터를 손상시키려는 악의적인 시도를 나타낼 수도 있습니다.

- 임계값: 5분 내 로그인 실패 2회
중간 인증 전술:
- 횡적 이동
-수집

기술:
- T0812: 기본 자격 증명
- T0811: 정보 리포지토리의 데이터
학습할 수 없음
Emerson ROC 펌웨어 버전이 변경됨 원본 디바이스에서 펌웨어가 업데이트되었습니다. 이 작업은 권한 있는 작업(예: 계획된 유지 관리 절차)일 수 있습니다. 중간 펌웨어 변경 전술:
- 응답 함수 억제
-고집

기술:
- T0857: 시스템 펌웨어
학습 가능
인터넷과 통신하는 네트워크 내의 외부 주소 네트워크의 일부로 정의된 원본 디바이스가 인터넷 주소와 통신하고 있습니다. 원본에 인터넷 주소와 통신할 수 있는 권한이 없습니다. 높음 인터넷 액세스 전술:
- 초기 액세스

기술:
- T0883: 인터넷에 액세스할 수 있는 디바이스
학습 가능
필드 디바이스가 예기치 않게 검색됨 네트워크에서 새 원본 디바이스가 검색되었지만 권한이 부여되지 않았습니다. 중간 검색 전술:
-발견

기술:
- T0842: 네트워크 스니핑
학습할 수 없음
펌웨어 변경이 감지됨 원본 디바이스에서 펌웨어가 업데이트되었습니다. 이 작업은 권한 있는 작업(예: 계획된 유지 관리 절차)일 수 있습니다. 중간 펌웨어 변경 전술:
- 응답 함수 억제
-고집

기술:
- T0857: 시스템 펌웨어
학습할 수 없음
펌웨어 버전 변경됨 원본 디바이스에서 펌웨어가 업데이트되었습니다. 이 작업은 권한 있는 작업(예: 계획된 유지 관리 절차)일 수 있습니다. 중간 펌웨어 변경 전술:
- 응답 함수 억제
-고집

기술:
- T0857: 시스템 펌웨어
학습 가능
Foxboro I/A 권한 없는 작업 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
- 프로세스 제어 손상

기술:
- T0855: 권한 없는 명령 메시지
- T0836: 매개 변수 수정
학습 가능
FTP 로그인 실패 원본 디바이스에서 대상 서버로 로그인 시도가 실패한 것이 감지되었습니다. 이 경고는 사람의 실수로 인한 결과일 수 있지만 서버나 서버에 있는 데이터를 손상시키려는 악의적인 시도를 나타낼 수도 있습니다. 중간 인증 전술:
- 횡적 이동
- 명령 및 제어

기술:
- T0812: 기본 자격 증명
- T0869: 표준 애플리케이션 레이어 프로토콜
학습할 수 없음
함수 코드에서 권한 없는 예외 발생 * 원본 디바이스(보조)가 대상 디바이스(기본)에 예외를 반환했습니다. 중간 명령 실패 전술:
- 응답 함수 억제

기술:
- T0835: I/O 이미지 조작
학습 가능
GOOSE 메시지 유형 설정 원본 디바이스에서 메시지(프로토콜 ID로 식별됨) 설정이 변경되었습니다. 낮음 무단 통신 동작 전술:
- 프로세스 제어 손상

기술:
- T0836: 매개 변수 수정
학습 가능
Honeywell 펌웨어 버전이 변경됨 원본 디바이스에서 펌웨어가 업데이트되었습니다. 이 작업은 권한 있는 작업(예: 계획된 유지 관리 절차)일 수 있습니다. 중간 펌웨어 변경 전술:
- 응답 함수 억제
-고집

기술:
- T0857: 시스템 펌웨어
학습 가능
잘못된 HTTP 통신 * 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 비정상적인 HTTP 통신 동작 전술:
-발견

기술:
- T0846: 원격 시스템 검색
학습 가능
인터넷 액세스가 검색됨 네트워크의 일부로 정의된 원본 디바이스가 인터넷 주소와 통신하고 있습니다. 원본에 인터넷 주소와 통신할 수 있는 권한이 없습니다. 중간 인터넷 액세스 전술:
- 초기 액세스

기술:
- T0883: 인터넷에 액세스할 수 있는 디바이스
학습 가능
미쓰비시 펌웨어 버전이 변경됨 원본 디바이스에서 펌웨어가 업데이트되었습니다. 이 작업은 권한 있는 작업(예: 계획된 유지 관리 절차)일 수 있습니다. 중간 펌웨어 변경 전술:
- 응답 함수 억제
-고집

기술:
- T0857: 시스템 펌웨어
학습 가능
Modbus 주소 범위 위반 기본 디바이스가 새 보조 메모리 주소에 대한 액세스를 요청했습니다. 중간 무단 통신 동작 전술:
-발견

기술:
- T0842: 네트워크 스니핑
학습 가능
Modbus 펌웨어 버전이 변경됨 원본 디바이스에서 펌웨어가 업데이트되었습니다. 이 작업은 권한 있는 작업(예: 계획된 유지 관리 절차)일 수 있습니다. 중간 펌웨어 변경 전술:
- 응답 함수 억제
-고집

기술:
- T0857: 시스템 펌웨어
학습 가능
검색된 새 활동 - CIP 클래스 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
-발견

기술:
- T0888: 원격 시스템 정보 검색
학습 가능
검색된 새 활동 - CIP 클래스 서비스 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
- 응답 함수 억제

기술:
- T0836: 매개 변수 수정
학습 가능
검색된 새 활동 - CIP PCCC 명령 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
- 응답 함수 억제

기술:
- T0836: 매개 변수 수정
학습 가능
검색된 새 활동 - CIP 기호 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
- 프로세스 제어 손상
- 응답 함수 억제

기술:
- T0855: 권한 없는 명령 메시지
- T0836: 매개 변수 수정
학습 가능
검색된 새 활동 - 이더넷/IP I/O 연결 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
-발견
- 응답 함수 억제

기술:
- T0846: 원격 시스템 검색
- T0835: I/O 이미지 조작
학습 가능
검색된 새 활동 - 이더넷/IP 프로토콜 명령 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
- 응답 함수 억제

기술:
- T0836: 매개 변수 수정
학습 가능
검색된 새 활동 - GSM 메시지 코드 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
- CommandAndControl

기술:
- T0869: 표준 애플리케이션 레이어 프로토콜
학습 가능
검색된 새 활동 - LonTalk 명령 코드 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
-수집
- 프로세스 제어 손상

기술:
- T0861 - 지점 및 태그 식별
- T0855: 권한 없는 명령 메시지
학습 가능
새 포트 검색 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 낮음 검색 전술:
- 횡적 이동

기술:
- T0867: 수평 도구 전송
학습 가능
검색된 새 활동 - LonTalk 네트워크 변수 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
- 프로세스 제어 손상

기술:
- T0855: 권한 없는 명령 메시지
학습 가능
검색된 새 활동 - 박수 데이터 요청 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
-수집
-발견

기술:
- T0801: 프로세스 상태 모니터링
- T0888: 원격 시스템 정보 검색
학습 가능
검색된 새 활동 - 읽기/쓰기 명령(AMS 인덱스 그룹) 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 구성 변경 전술:
- 프로세스 제어 손상
- 응답 함수 억제

기술:
- T0855: 권한 없는 명령 메시지
- T0836: 매개 변수 수정
학습 가능
새 활동 검색됨 - 읽기/쓰기 명령(AMS 인덱스 오프셋) 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 구성 변경 전술:
- 프로세스 제어 손상
- 응답 함수 억제

기술:
- T0855: 권한 없는 명령 메시지
- T0836: 매개 변수 수정
학습 가능
새 활동 검색됨 - 권한이 없는 DeltaV 메시지 유형 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
- 프로세스 제어 손상
-실행

기술:
- T0855: 권한 없는 명령 메시지
- T0821: 컨트롤러 작업 수정
학습 가능
새 활동 검색됨 - 권한 없는 DeltaV ROC 작업 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
- 프로세스 제어 손상
-실행

기술:
- T0855: 권한 없는 명령 메시지
- T0821: 컨트롤러 작업 수정
학습 가능
새 활동 검색됨 - 권한이 없는 RPC 메시지 유형 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
- 프로세스 제어 손상

기술:
- T0855: 권한 없는 명령 메시지
학습 가능
검색된 새 활동 - AMS 프로토콜 명령 사용 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
- 프로세스 제어 손상
- 응답 함수 억제
-실행

기술:
- T0855: 권한 없는 명령 메시지
- T0836: 매개 변수 수정
- T0821: 컨트롤러 작업 수정
학습 가능
감지된 새 활동 - Siemens SICAM 명령 사용 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
- 프로세스 제어 손상
- 응답 함수 억제

기술:
- T0855: 권한 없는 명령 메시지
- T0836: 매개 변수 수정
학습 가능
검색된 새 활동 - Suitelink 프로토콜 명령 사용 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
- 프로세스 제어 손상
- 응답 함수 억제

기술:
- T0855: 권한 없는 명령 메시지
- T0836: 매개 변수 수정
학습 가능
검색된 새 활동 - Suitelink 프로토콜 세션 사용 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
- 프로세스 제어 손상

기술:
- T0836: 매개 변수 수정
학습 가능
검색된 새 활동 - Yokogawa VNetIP 명령 사용 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
- 프로세스 제어 손상
-실행

기술:
- T0855: 권한 없는 명령 메시지
- T0821: 컨트롤러 작업 수정
학습 가능
새 자산이 탐지됨 네트워크에서 새 원본 디바이스가 검색되었지만 권한이 부여되지 않았습니다.

이 경고는 OT 서브넷에서 검색된 디바이스에 적용됩니다. IT 서브넷에서 검색된 새 디바이스는 경고를 트리거하지 않습니다.
중간 검색 전술:
-발견

기술:
- T0842: 네트워크 스니핑
학습 가능
새 LLDP 디바이스 구성 네트워크에서 새 원본 디바이스가 검색되었지만 권한이 부여되지 않았습니다. 중간 구성 변경 전술:
-발견

기술:
- T0842: 네트워크 스니핑
학습 가능
Omron FINS 권한 없음 명령 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
- 프로세스 제어 손상

기술:
- T0855: 권한 없는 명령 메시지
- T0836: 매개 변수 수정
학습 가능
S7 Plus PLC 펌웨어 변경됨 원본 디바이스에서 펌웨어가 업데이트되었습니다. 이 작업은 권한 있는 작업(예: 계획된 유지 관리 절차)일 수 있습니다. 중간 펌웨어 변경 전술:
- 응답 함수 억제
-고집

기술:
- T0857: 시스템 펌웨어
학습 가능
샘플링된 값 메시지 유형 설정 원본 디바이스에서 메시지(프로토콜 ID로 식별됨) 설정이 변경되었습니다. 낮음 무단 통신 동작 전술:
- 프로세스 제어 손상

기술:
- T0836: 매개 변수 수정
학습할 수 없음
불법 무결성 검사 의혹 * DNP3 원본 디바이스(아웃스테이션)에서 검색이 검색되었습니다. 이 검사는 네트워크에서 학습된 트래픽으로 권한이 부여되지 않았습니다. 중간 검색 전술:
-발견

기술:
- T0842: 네트워크 스니핑
학습 가능
도시바 컴퓨터 링크 권한 없음 명령 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 낮음 무단 통신 동작 전술:
- 프로세스 제어 손상
-실행

기술:
- T0855: 권한 없는 명령 메시지
- T0821: 컨트롤러 작업 수정
학습 가능
권한 없는 ABB Totalflow 파일 작업 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
- 프로세스 제어 손상
-실행

기술:
- T0855: 권한 없는 명령 메시지
- T0821: 컨트롤러 작업 수정
학습할 수 없음
권한 없는 ABB Totalflow 레지스터 작업 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
- 프로세스 제어 손상
-실행

기술:
- T0855: 권한 없는 명령 메시지
- T0821: 컨트롤러 작업 수정
학습할 수 없음
Siemens S7 데이터 블록에 대한 무단 액세스 원본 디바이스가 다른 디바이스에 있는 리소스에 액세스하려고 했습니다. 이 두 디바이스 간의 이 리소스에 대한 액세스 시도는 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 낮음 무단 통신 동작 전술:
- 프로세스 제어 손상
- 초기 액세스

기술:
- T0855: 권한 없는 명령 메시지
- T0811: 정보 리포지토리의 데이터
학습 가능
Siemens S7 Plus 개체에 대한 무단 액세스 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
- 프로세스 제어 손상
-실행
- 응답 함수 억제

기술:
- T0855: 권한 없는 명령 메시지
- T0821: 컨트롤러 작업 수정
- T0809: 데이터 파기
학습 가능
Wonderware 태그에 대한 무단 액세스 원본 디바이스가 다른 디바이스에 있는 리소스에 액세스하려고 했습니다. 이 두 디바이스 간의 이 리소스에 대한 액세스 시도는 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 중간 무단 통신 동작 전술:
-수집
- 프로세스 제어 손상

기술:
- T0861: 지점 및 태그 식별
- T0855: 권한 없는 명령 메시지
학습 가능
권한 없는 BACNet 개체 액세스 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
- 프로세스 제어 손상
-실행

기술:
- T0855: 권한 없는 명령 메시지
- T0821: 컨트롤러 작업 수정
학습 가능
권한 없는 BACNet 경로 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
- 프로세스 제어 손상
-실행

기술:
- T0855: 권한 없는 명령 메시지
- T0821: 컨트롤러 작업 수정
학습 가능
권한 없는 데이터베이스 로그인 * 원본 클라이언트와 대상 서버 간의 로그인 시도가 감지되었습니다. 이러한 디바이스 간의 통신은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 중간 인증 전술:
- 횡적 이동
-고집
-수집

기술:
- T0859: 유효한 계정
- T0811: 정보 리포지토리의 데이터
학습 가능
권한 없는 데이터베이스 작업 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 비정상적인 통신 동작 전술:
- 프로세스 제어 손상
- 초기 액세스

기술:
- T0855: 권한 없는 명령 메시지
- T0811: 정보 리포지토리의 데이터
학습 가능
권한 없는 에머슨 ROC 작업 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
- 프로세스 제어 손상
-실행

기술:
- T0855: 권한 없는 명령 메시지
- T0821: 컨트롤러 작업 수정
학습 가능
권한 없는 GE SRTP 파일 액세스 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
-수집
- LateralMovement
-고집

기술:
- T0801: 프로세스 상태 모니터링
- T0859: 유효한 계정
학습 가능
권한 없는 GE SRTP 프로토콜 명령 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
- 프로세스 제어 손상

기술:
- T0855: 권한 없는 명령 메시지
- T0821: 컨트롤러 작업 수정
학습 가능
권한 없는 GE SRTP 시스템 메모리 작업 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
-발견
- 프로세스 제어 손상

기술:
- T0846: 원격 시스템 검색
- T0855: 권한 없는 명령 메시지
학습 가능
권한 없는 HTTP 활동 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 비정상적인 HTTP 통신 동작 전술:
- 초기 액세스
- 명령 및 제어

기술:
- T0822: 외부 원격 서비스
- T0869: 표준 애플리케이션 레이어 프로토콜
학습 가능
권한 없는 HTTP SOAP 작업 * 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 비정상적인 HTTP 통신 동작 전술:
- 명령 및 제어
-실행

기술:
- T0869: 표준 애플리케이션 계층 프로토콜
- T0871: API를 통한 실행
학습 가능
권한 없는 HTTP 사용자 에이전트* 원본 디바이스에서 권한이 없는 애플리케이션이 감지되었습니다. 애플리케이션은 네트워크에서 학습된 애플리케이션으로 권한이 부여되지 않습니다. 중간 비정상적인 HTTP 통신 동작 전술:
- 명령 및 제어

기술:
- T0869: 표준 애플리케이션 레이어 프로토콜
학습 가능
무단 인터넷 연결이 감지됨 네트워크의 일부로 정의된 원본 디바이스가 인터넷 주소와 통신하고 있습니다. 원본에 인터넷 주소와 통신할 수 있는 권한이 없습니다. 높음 인터넷 액세스 전술:
- 초기 액세스

기술:
- T0883: 인터넷에 액세스할 수 있는 디바이스
학습 가능
권한 없는 미쓰비시 MELSEC 명령 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
- 프로세스 제어 손상
-실행

기술:
- T0855: 권한 없는 명령 메시지
- T0821: 컨트롤러 작업 수정
학습 가능
권한 없는 MMS 프로그램 액세스 원본 디바이스가 다른 디바이스에 있는 리소스에 액세스하려고 했습니다. 이 두 디바이스 간의 이 리소스에 대한 액세스 시도는 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 중간 프로그래밍 전술:
- 프로세스 제어 손상
-실행

기술:
- T0855: 권한 없는 명령 메시지
- T0821: 컨트롤러 작업 수정
학습 가능
권한 없는 MMS 서비스 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
- 프로세스 제어 손상
-실행

기술:
- T0855: 권한 없는 명령 메시지
- T0821: 컨트롤러 작업 수정
학습 가능
권한 없는 멀티캐스트/브로드캐스트 연결 원본 디바이스와 다른 디바이스 간에 멀티캐스트/브로드캐스트 연결이 검색되었습니다. 멀티캐스트/브로드캐스트 통신에는 권한이 부여되지 않았습니다. 높음 비정상적인 통신 동작 전술:
-발견

기술:
- T0842: 네트워크 스니핑
학습 가능
권한 없는 이름 쿼리 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 비정상적인 통신 동작 전술:
- 프로세스 제어 손상

기술:
- T0836: 매개 변수 수정
학습할 수 없음
권한 없는 OPC UA 작업 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
- 프로세스 제어 손상

기술:
- T0836: 매개 변수 수정
학습 가능
권한 없는 OPC UA 요청/응답 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
- 프로세스 제어 손상

기술:
- T0836: 매개 변수 수정
학습 가능
사용자 정의 규칙에 의해 권한 없는 작업이 검색됨 두 디바이스 간에 트래픽이 감지되었습니다. 사용자가 정의한 사용자 지정 경고 규칙에 따라 이 작업은 권한이 없습니다. 중간 사용자 지정 경고 전술:
-발견

기술:
- T0842: 네트워크 스니핑
학습할 수 없음
권한 없는 PLC 구성 읽기 원본 디바이스가 프로그래밍 디바이스로 정의되어 있지 않은데 대상 컨트롤러에서 읽기/쓰기 작업을 수행했습니다. 프로그래밍 변경은 프로그래밍 디바이스에서만 수행해야 합니다. 프로그래밍 애플리케이션이 이 디바이스에 설치되었을 수 있습니다. 낮음 구성 변경 전술:
-수집

기술:
- T0801: 프로세스 상태 모니터링
학습 가능
권한 없는 PLC 구성 쓰기 원본 디바이스가 대상 컨트롤러의 프로그램을 읽고 쓰기 위한 명령을 보냈습니다. 이전에는 이런 활동이 보이지 않았습니다. 중간 구성 변경 전술:
- 프로세스 제어 손상
-고집
-영향

기술:
- T0839: 모듈 펌웨어
- T0831: 제어 조작
- T0889: 프로그램 수정
학습 가능
권한 없는 PLC 프로그램 업로드 원본 디바이스가 대상 컨트롤러의 프로그램을 읽고 쓰기 위한 명령을 보냈습니다. 이전에는 이런 활동이 보이지 않았습니다. 중간 프로그래밍 전술:
- 프로세스 제어 손상
-고집
-수집

기술:
- T0839: 모듈 펌웨어
- T0845: 프로그램 업로드
학습 가능
권한 없는 PLC 프로그래밍 원본 디바이스가 프로그래밍 디바이스로 정의되어 있지 않은데 대상 컨트롤러에서 읽기/쓰기 작업을 수행했습니다. 프로그래밍 변경은 프로그래밍 디바이스에서만 수행해야 합니다. 프로그래밍 애플리케이션이 이 디바이스에 설치되었을 수 있습니다. 높음 프로그래밍 전술:
- 프로세스 제어 손상
-고집
- 횡적 이동

기술:
- T0839: 모듈 펌웨어
- T0889: 프로그램 수정
- T0843: 프로그램 다운로드
학습 가능
권한 없는 Profinet 프레임 형식 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
- 프로세스 제어 손상

기술:
- T0836: 매개 변수 수정
학습 가능
권한 없는 SAIA S-Bus 명령 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
- 프로세스 제어 손상

기술:
- T0855: 권한 없는 명령 메시지
학습 가능
제어 함수의 권한 없는 Siemens S7 실행 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
- 프로세스 제어 손상
- 응답 함수 억제

기술:
- T0855: 권한 없는 명령 메시지
- T0809: 데이터 파기
학습 가능
사용자 정의 함수의 권한이 없는 Siemens S7 실행 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
- 프로세스 제어 손상
-실행

기술:
- T0836: 매개 변수 수정
- T0863: 사용자 실행
학습 가능
권한 없는 Siemens S7 Plus 블록 액세스 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
- 응답 함수 억제
-고집
-실행

기술:
- T0803 - 명령 메시지 차단
- T0889: 프로그램 수정
- T0821: 컨트롤러 작업 수정
학습 가능
권한 없는 지멘스 S7 Plus 작업 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
- 프로세스 제어 손상
-실행

기술:
- T0855: 권한 없는 명령 메시지
- T0863: 사용자 실행
학습 가능
권한 없는 SMB 로그인 원본 클라이언트와 대상 서버 간의 로그인 시도가 감지되었습니다. 이러한 디바이스 간의 통신은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 중간 인증 전술:
- 초기 액세스
- 횡적 이동
-고집

기술:
- T0886: 원격 서비스
- T0859: 유효한 계정
학습 가능
권한 없는 SNMP 작업 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 비정상적인 통신 동작 전술:
-발견
- 명령 및 제어

기술:
- T0842: 네트워크 스니핑
- T0885: 일반적으로 사용되는 포트
학습 가능
권한 없는 SSH 액세스 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 원격 액세스 전술:
- InitialAccess
- 횡적 이동
- 명령 및 제어

기술:
- T0886: 원격 서비스
- T0869: 표준 애플리케이션 레이어 프로토콜
학습 가능
권한 없는 Windows 프로세스 원본 디바이스에서 권한이 없는 애플리케이션이 감지되었습니다. 애플리케이션은 네트워크에서 학습된 애플리케이션으로 권한이 부여되지 않습니다. 중간 비정상적인 통신 동작 전술:
-실행
- 권한 에스컬레이션
- 명령 및 제어

기술:
- T0841: 후킹
- T0885: 일반적으로 사용되는 포트
학습 가능
권한 없는 Windows 서비스 원본 디바이스에서 권한이 없는 애플리케이션이 감지되었습니다. 애플리케이션은 네트워크에서 학습된 애플리케이션으로 권한이 부여되지 않습니다. 중간 비정상적인 통신 동작 전술:
- 초기 액세스
- 횡적 이동

기술:
- T0866: 원격 서비스 악용
학습 가능
사용자 정의 규칙에 의해 권한 없는 작업이 검색됨 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 사용자 정의 규칙을 위반합니다. 중간 전술:
-발견

기술:
- T0842: 네트워크 스니핑
학습할 수 없음
허용되지 않는 모드버스 슈나이더 일렉트릭 확장 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
- 프로세스 제어 손상

기술:
- T0855: 권한 없는 명령 메시지
학습 가능
ASDU 형식의 허용되지 않은 사용 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
- 프로세스 제어 손상

기술:
- T0855: 권한 없는 명령 메시지
학습 가능
DNP3 함수 코드의 허용되지 않은 사용 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
- 프로세스 제어 손상

기술:
- T0836: 매개 변수 수정
학습 가능
IIN(내부 표시의 허용되지 않은 사용) * DNP3 원본 디바이스(Outstation)가 네트워크에서 학습된 트래픽으로 권한이 부여되지 않은 IIN(Internal Indication)을 보고했습니다. 중간 잘못된 명령 전술:
-발견

기술:
- T0842: 네트워크 스니핑
학습 가능
Modbus 함수 코드의 허용되지 않은 사용 새 트래픽 매개 변수가 감지되었습니다. 이 매개 변수 조합은 네트워크에서 학습된 트래픽으로 권한이 부여되지 않습니다. 다음 조합은 권한이 없습니다. 중간 무단 통신 동작 전술:
- 프로세스 제어 손상

기술:
- T0836: 매개 변수 수정
학습 가능

변칙 엔진 경고

참고 항목

이 문서에는 Microsoft에서 더 이상 사용하지 않는 용어인 슬레이브라는 용어에 대한 참조가 포함되어 있습니다. 소프트웨어에서 용어가 제거되면 이 문서에서 해당 용어가 제거됩니다.

변칙 엔진 경고는 네트워크 활동에서 검색된 변칙을 설명합니다.

타이틀 설명 심각도 범주 MITRE ATT&CK
전술과 기술
학습 가능
슬레이브의 비정상적인 예외 패턴 * 원본 디바이스에서 과도한 수의 오류가 검색되었습니다. 이 경고는 운영 문제의 결과일 수 있습니다.

임계값: 1시간 내 예외 20개
낮음 비정상적인 통신 동작 전술:
- 프로세스 제어 손상

기술:
- T0806: 무차별 암호 대입 I/O
학습할 수 없음
비정상적인 HTTP 헤더 길이 * 원본 디바이스가 비정상적인 메시지를 보냈습니다. 이 경고는 대상 디바이스를 공격하려는 시도를 나타낼 수 있습니다. 높음 비정상적인 HTTP 통신 동작 전술:
- 초기 액세스
- 횡적 이동
- 명령 및 제어

기술:
- T0866: 원격 서비스 악용
- T0869: 표준 애플리케이션 레이어 프로토콜
학습 가능
HTTP 헤더의 비정상적인 매개 변수 수 * 원본 디바이스가 비정상적인 메시지를 보냈습니다. 이 경고는 대상 디바이스를 공격하려는 시도를 나타낼 수 있습니다. 높음 비정상적인 HTTP 통신 동작 전술:
- 초기 액세스
- 횡적 이동
- 명령 및 제어

기술:
- T0866: 원격 서비스 악용
- T0869: 표준 애플리케이션 레이어 프로토콜
학습 가능
통신 채널의 비정상적인 주기적 동작 원본 디바이스와 대상 디바이스 간의 통신 빈도 변경이 감지되었습니다. 낮음 비정상적인 통신 동작 전술:
-발견

기술:
- T0842: 네트워크 스니핑
학습 가능
애플리케이션의 비정상적인 종료 * 원본 디바이스에서 과도한 수의 중지 명령이 감지되었습니다. 이 경고는 작동 문제 또는 디바이스 조작 시도의 결과일 수 있습니다.

임계값: 3시간 내 중지 명령 20개
중간 비정상적인 통신 동작 전술:
-고집
-영향

기술:
- T0889: 프로그램 수정
- T0831: 제어 조작
학습 가능
비정상적인 트래픽 대역폭 * 채널에서 비정상적인 대역폭이 감지되었습니다. 대역폭이 이전에 감지된 것 보다 훨씬 더 낮거나 높은 것으로 보입니다. 자세한 내용은 총 대역폭 위젯을 사용하여 참조하세요. 낮음 대역폭 변칙 전술:
-발견

기술:
- T0842: 네트워크 스니핑
학습 가능
디바이스 간 비정상적인 트래픽 대역폭 * 채널에서 비정상적인 대역폭이 감지되었습니다. 대역폭이 이전에 감지된 것 보다 훨씬 더 낮거나 높은 것으로 보입니다. 자세한 내용은 총 대역폭 위젯을 사용하여 참조하세요. 낮음 대역폭 변칙 전술:
-발견

기술:
- T0842: 네트워크 스니핑
학습할 수 없음
주소 검색이 검색됨 네트워크 디바이스를 검색하는 원본 디바이스가 검색되었습니다. 이 디바이스는 네트워크 검사 디바이스로 권한이 부여되지 않습니다.

임계값: 2분 내 동일한 B 클래스 서브넷에 대한 연결 50개
높음 검색 전술:
-발견

기술:
- T0842: 네트워크 스니핑
학습 가능
ARP 주소 검색이 검색됨 * ARP(주소 확인 프로토콜)를 사용하여 네트워크 디바이스를 검색하는 원본 디바이스가 검색되었습니다. 이 디바이스 주소는 유효한 ARP 검사 주소로 권한이 부여되지 않습니다.

임계값: 6분 내 검사 40회
높음 검색 전술:
-발견
-수집

기술:
- T0842: 네트워크 스니핑
- T0830: 메시지 가로채기(Man in the Middle)
학습 가능
ARP 스푸핑 * 네트워크에서 비정상적인 양의 패킷이 감지되었습니다. 이 경고는 ARP 스푸핑 또는 ICMP 플러드(flood) 공격과 같은 공격을 나타내는 것일 수 있습니다.

임계값: 1분 내 패킷 60개
낮음 비정상적인 통신 동작 전술:
-수집

기술:
- T0830: 메시지 가로채기(Man in the Middle)
학습할 수 없음
과도한 로그인 시도 원본 디바이스가 대상 서버에 대한 과도한 로그인 시도를 수행하는 것으로 나타났습니다. 이 경고는 무차별 암호 대입 공격을 나타낼 수 있습니다. 악의적인 행위자가 서버를 손상할 수 있습니다.

임계값: 1분 내 로그인 시도 20회
높음 인증 전술:
- LateralMovement
- 프로세스 제어 손상

기술:
- T0812: 기본 자격 증명
- T0806: 무차별 암호 대입 I/O
학습할 수 없음
과도한 세션 수 원본 디바이스가 대상 서버에 대한 과도한 로그인 시도를 수행하는 것으로 나타났습니다. 이는 무차별 암호 대입 공격을 나타낼 수 있습니다. 악의적인 행위자가 서버를 손상할 수 있습니다.

임계값: 1분 내 세션 50개
높음 비정상적인 통신 동작 전술:
- 횡적 이동
- 프로세스 제어 손상

기술:
- T0812: 기본 자격 증명
- T0806: 무차별 암호 대입 I/O
학습할 수 없음
아웃스테이션의 과도한 다시 시작 속도 * 원본 디바이스에서 과도한 수의 다시 시작 명령이 감지되었습니다. 이러한 경고는 작동 문제 또는 디바이스 조작 시도의 결과일 수 있습니다.

임계값: 1시간 내 다시 시작 10회
중간 명령 다시 시작/중지 전술:
- 응답 함수 억제
- 프로세스 제어 손상

기술:
- T0814: 서비스 거부
- T0806: 무차별 암호 대입 I/O
학습할 수 없음
과도한 SMB 로그인 시도 원본 디바이스가 대상 서버에 대한 과도한 로그인 시도를 수행하는 것으로 나타났습니다. 이는 무차별 암호 대입 공격을 나타낼 수 있습니다. 악의적인 행위자가 서버를 손상할 수 있습니다.

임계값: 10분 내 로그인 시도 10회
높음 인증 전술:
-고집
-실행
- LateralMovement

기술:
- T0812: 기본 자격 증명
- T0853: 스크립팅
- T0859: 유효한 계정
학습할 수 없음
ICMP 홍수 * 네트워크에서 비정상적인 양의 패킷이 감지되었습니다. 이 경고는 ARP 스푸핑 또는 ICMP 플러드(flood) 공격과 같은 공격을 나타내는 것일 수 있습니다.

임계값: 1분 내 패킷 60개
낮음 비정상적인 통신 동작 전술:
-발견
-수집

기술:
- T0842: 네트워크 스니핑
- T0830: 메시지 가로채기(Man in the Middle)
학습할 수 없음
잘못된 HTTP 헤더 콘텐츠 * 원본 디바이스가 잘못된 요청을 시작했습니다. 높음 비정상적인 HTTP 통신 동작 전술:
- 초기 액세스
- LateralMovement

기술:
- T0866: 원격 서비스 악용
학습할 수 없음
비활성 통신 채널 * 두 디바이스 간의 통신 채널이 일반적으로 활동이 보이는 기간 동안 비활성 상태였습니다. 이 트래픽을 생성하는 프로그램이 변경되었거나 프로그램을 사용할 수 없음을 나타낼 수 있습니다. 설치된 프로그램의 구성을 검토하고 제대로 구성되었는지 확인하는 것이 좋습니다.

임계값: 1분
낮음 응답 없음 전술:
- 응답 함수 억제

기술:
- T0881: 서비스 중지
lernable이 아님
장기 주소 검색이 검색됨 * 네트워크 디바이스를 검색하는 원본 디바이스가 검색되었습니다. 이 디바이스는 네트워크 검사 디바이스로 권한이 부여되지 않습니다.

임계값: 10분 내 동일한 B 클래스 서브넷에 대한 연결 50개
높음 검색 전술:
-발견

기술:
- T0842: 네트워크 스니핑
학습 가능
암호 추측 시도가 감지됨 원본 디바이스가 대상 서버에 대한 과도한 로그인 시도를 수행하는 것으로 나타났습니다. 이는 무차별 암호 대입 공격을 나타낼 수 있습니다. 악의적인 행위자가 서버를 손상할 수 있습니다.

임계값: 1분 내 시도 100회
높음 인증 전술:
- 횡적 이동

기술:
- T0812: 기본 자격 증명
- T0806: 무차별 암호 대입 I/O
학습할 수 없음
PLC 검사 검색됨 네트워크 디바이스를 검색하는 원본 디바이스가 검색되었습니다. 이 디바이스는 네트워크 검사 디바이스로 권한이 부여되지 않습니다.

임계값: 2분 내 검사 10회
높음 검색 전술:
-발견

기술:
- T0842: 네트워크 스니핑
학습 가능
포트 검색이 검색됨 네트워크 디바이스를 검색하는 원본 디바이스가 검색되었습니다. 이 디바이스는 네트워크 검사 디바이스로 권한이 부여되지 않습니다.

임계값: 2분 내 검사 25회
높음 검색 전술:
-발견

기술:
- T0842: 네트워크 스니핑
학습 가능
예기치 않은 메시지 길이 원본 디바이스가 비정상적인 메시지를 보냈습니다. 이 경고는 대상 디바이스를 공격하려는 시도를 나타낼 수 있습니다.

임계값: 텍스트 길이 - 32768
높음 비정상적인 통신 동작 전술:
- InitialAccess
- LateralMovement

기술:
- T0869: 원격 서비스 악용
학습할 수 없음
표준 포트에 대한 예기치 않은 트래픽 * 다른 프로토콜용으로 예약된 포트를 사용하여 디바이스에서 트래픽이 검색되었습니다. 중간 비정상적인 통신 동작 전술:
- 명령 및 제어
-발견

기술:
- T0869: 표준 애플리케이션 계층 프로토콜
- T0842: 네트워크 스니핑
학습할 수 없음

프로토콜 위반 엔진 경고

프로토콜 엔진 경고는 패킷 구조에서 감지된 편차 또는 프로토콜 사양에 비해 필드 값을 설명합니다.

타이틀 설명 심각도 범주 MITRE ATT&CK
전술과 기술
학습 가능
단일 세션에서 잘못된 형식의 패킷 * 원본 디바이스에서 대상 디바이스로 잘못된 형식의 패킷을 비정상적으로 많이 보냈습니다. 이 경고는 잘못된 통신 또는 대상 디바이스를 조작하려는 시도를 나타내는 것일 수 있습니다.

임계값: 10분 내 형식이 잘못된 패킷 2개
중간 잘못된 명령 전술:
- 프로세스 제어 손상

기술:
- T0806: 무차별 암호 대입 I/O
학습할 수 없음
펌웨어 업데이트 원본 디바이스는 대상 디바이스에서 펌웨어를 업데이트하는 명령을 보냈습니다. 대상 디바이스에 대한 최근 프로그래밍, 구성, 펌웨어 업그레이드가 유효한지 확인합니다. 낮음 펌웨어 변경 전술:
- 응답 함수 억제
-고집

기술:
- T0857: 시스템 펌웨어
학습 가능
아웃스테이션에서 지원되지 않는 함수 코드 대상 디바이스가 잘못된 요청을 받았습니다. 중간 잘못된 명령 전술:
- 프로세스 제어 손상

기술:
- T0855: 권한 없는 명령 메시지
학습할 수 없음
잘못된 BACNet 메시지 원본 디바이스가 잘못된 요청을 시작했습니다. 중간 잘못된 명령 전술:
- 프로세스 제어 손상

기술:
- T0855: 권한 없는 명령 메시지
- T0836: 매개 변수 수정
학습할 수 없음
포트 0에서 잘못된 연결 시도 원본 디바이스가 포트 번호 0(0)에서 대상 디바이스에 연결하려고 했습니다. TCP의 경우 포트 0이 예약되어 있어서 사용할 수 없습니다. UDP의 경우 포트는 선택 사항이며 값이 0이면 포트가 없음을 의미합니다. 일반적으로 포트 0에서 수신 대기하는 시스템에는 서비스가 없습니다. 이 이벤트는 대상 디바이스를 공격하려는 시도를 나타내거나 애플리케이션이 잘못 프로그래밍되었음을 나타낼 수 있습니다. 낮음 잘못된 명령 전술:
- 프로세스 제어 손상

기술:
- T0855: 권한 없는 명령 메시지
- T0836: 매개 변수 수정
학습할 수 없음
잘못된 DNP3 작업 원본 디바이스가 잘못된 요청을 시작했습니다. 중간 잘못된 명령 전술:
- 초기 액세스
- 횡적 이동

기술:
- T0866: 원격 서비스 악용
학습할 수 없음
잘못된 MODBUS 작업(마스터에서 발생한 예외) 원본 디바이스가 잘못된 요청을 시작했습니다. 중간 잘못된 명령 전술:
- 초기 액세스
- 횡적 이동

기술:
- T0866: 원격 서비스 악용
학습할 수 없음
잘못된 MODBUS 작업(함수 코드 0) * 원본 디바이스가 잘못된 요청을 시작했습니다. 중간 잘못된 명령 전술:
- 초기 액세스
- 횡적 이동

기술:
- T0866: 원격 서비스 악용
학습할 수 없음
잘못된 프로토콜 버전 * 원본 디바이스가 잘못된 요청을 시작했습니다. 중간 잘못된 명령 전술:
- 초기 액세스
- LateralMovement
- 프로세스 제어 손상

기술:
- T0820: 원격 서비스
- T0836: 매개 변수 수정
학습할 수 없음
잘못된 매개 변수가 아웃스테이션으로 전송됨 대상 디바이스가 잘못된 요청을 받았습니다. 중간 잘못된 명령 전술:
- 프로세스 제어 손상

기술:
- T0855: 권한 없는 명령 메시지
- T0836: 매개 변수 수정
학습할 수 없음
사용되지 않는 함수 코드 시작(데이터 초기화) 원본 디바이스가 잘못된 요청을 시작했습니다. 낮음 잘못된 명령 전술:
- 프로세스 제어 손상

기술:
- T0855: 권한 없는 명령 메시지
학습할 수 없음
사용되지 않는 함수 코드 시작(구성 저장) 원본 디바이스가 잘못된 요청을 시작했습니다. 낮음 잘못된 명령 전술:
- 프로세스 제어 손상

기술:
- T0855: 권한 없는 명령 메시지
학습할 수 없음
마스터가 애플리케이션 계층 확인을 요청했습니다. 원본 디바이스가 잘못된 요청을 시작했습니다. 낮음 잘못된 명령 전술:
- 명령 및 제어

기술:
- T0869: 표준 애플리케이션 레이어 프로토콜
학습할 수 없음
Modbus 예외 원본 디바이스(보조)가 대상 디바이스(기본)에 예외를 반환했습니다. 중간 잘못된 명령 전술:
- 응답 함수 억제

기술:
- T0814: 서비스 거부
학습할 수 없음
슬레이브 디바이스가 잘못된 ASDU 유형을 수신했습니다. 대상 디바이스가 잘못된 요청을 받았습니다. 중간 잘못된 명령 전술:
- 프로세스 제어 손상

기술:
- T0836: 매개 변수 수정
학습할 수 없음
슬레이브 디바이스가 잘못된 전송 명령 원인을 수신했습니다. 대상 디바이스가 잘못된 요청을 받았습니다. 중간 잘못된 명령 전술:
- 프로세스 제어 손상

기술:
- T0855: 권한 없는 명령 메시지
- T0836: 매개 변수 수정
학습할 수 없음
슬레이브 디바이스가 잘못된 일반 주소를 받았습니다. 대상 디바이스가 잘못된 요청을 받았습니다. 중간 잘못된 명령 전술:
- 프로세스 제어 손상

기술:
- T0855: 권한 없는 명령 메시지
- T0836: 매개 변수 수정
학습할 수 없음
슬레이브 디바이스가 잘못된 데이터 주소 매개 변수를 수신했습니다. * 대상 디바이스가 잘못된 요청을 받았습니다. 중간 잘못된 명령 전술:
- 프로세스 제어 손상

기술:
- T0855: 권한 없는 명령 메시지
- T0836: 매개 변수 수정
학습할 수 없음
슬레이브 디바이스에서 잘못된 데이터 값 매개 변수를 받았습니다. * 대상 디바이스가 잘못된 요청을 받았습니다. 중간 잘못된 명령 전술:
- 프로세스 제어 손상

기술:
- T0855: 권한 없는 명령 메시지
- T0836: 매개 변수 수정
학습할 수 없음
슬레이브 디바이스가 잘못된 함수 코드를 받았습니다. * 대상 디바이스가 잘못된 요청을 받았습니다. 중간 잘못된 명령 전술:
- 프로세스 제어 손상

기술:
- T0855: 권한 없는 명령 메시지
- T0836: 매개 변수 수정
학습할 수 없음
슬레이브 디바이스에서 잘못된 정보 개체 주소를 받았습니다. 대상 디바이스가 잘못된 요청을 받았습니다. 중간 잘못된 명령 전술:
- 프로세스 제어 손상

기술:
- T0855: 권한 없는 명령 메시지
- T0836: 매개 변수 수정
학습할 수 없음
아웃스테이션으로 전송된 알 수 없는 개체 대상 디바이스가 잘못된 요청을 받았습니다. 중간 잘못된 명령 전술:
- 프로세스 제어 손상

기술:
- T0855: 권한 없는 명령 메시지
학습할 수 없음
예약 함수 코드 사용 원본 디바이스가 잘못된 요청을 시작했습니다. 중간 잘못된 명령 전술:
- 프로세스 제어 손상

기술:
- T0836: 매개 변수 수정
학습할 수 없음
아웃스테이션별 부적절한 서식 사용 * 원본 디바이스가 잘못된 요청을 시작했습니다. 낮음 잘못된 명령 전술:
- 프로세스 제어 손상

기술:
- T0855: 권한 없는 명령 메시지
학습할 수 없음
IIN(예약 상태 플래그) 사용 DNP3 원본 디바이스(Outstation)가 예약된 Internal Indicator 2.6을 사용했습니다. 디바이스의 구성을 확인하는 것이 좋습니다. 낮음 잘못된 명령 전술:
- 프로세스 제어 손상

기술:
- T0836: 매개 변수 수정
학습할 수 없음

맬웨어 엔진 경고

맬웨어 엔진 경고는 검색된 악성 네트워크 활동을 설명합니다.

타이틀 설명 심각도 범주 MITRE ATT&CK
전술과 기술
학습 가능
알려진 악성 IP에 연결 시도 의심스러운 네트워크 활동이 감지되었습니다. 이 활동은 알려진 맬웨어에서 사용하는 방법을 악용하는 공격과 관련이 있을 수 있습니다.

OT 및 Enterprise IoT 네트워크 센서에 의해 트리거됩니다.
높음 악의적 활동이 의심됨 전술:
- 초기 액세스
- 명령 및 제어

기술:
- T0883: 인터넷 액세스 가능 디바이스
- T0884: 연결 프록시
학습할 수 없음
잘못된 SMB 메시지(DoublePulsar Backdoor Implant) 의심스러운 네트워크 활동이 감지되었습니다. 이 활동은 알려진 맬웨어에서 사용하는 방법을 악용하는 공격과 관련이 있을 수 있습니다. 높음 맬웨어가 의심됨 전술:
- 초기 액세스
- LateralMovement

기술:
- T0866: 원격 서비스 악용
학습할 수 없음
악의적인 도메인 이름 요청 의심스러운 네트워크 활동이 감지되었습니다. 이 활동은 알려진 맬웨어에서 사용하는 방법을 악용하는 공격과 관련이 있을 수 있습니다.

OT 및 Enterprise IoT 네트워크 센서에 의해 트리거됩니다.
높음 악의적 활동이 의심됨 전술:
- 초기 액세스
- 명령 및 제어

기술:
- T0883: 인터넷 액세스 가능 디바이스
- T0884: 연결 프록시
학습 가능
악의적인 URL 경로 알려진 악성 URL 경로에 대한 요청이 수행되었습니다. 이 URL 경로에 대한 요청은 요청을 만드는 원본이 손상되었음을 나타낼 수 있습니다. 높음 악의적 활동이 의심됨 전술:
- 초기 액세스
- 명령 및 제어

기술:
- T0883: 인터넷 액세스 가능 디바이스
- T0884: 연결 프록시
학습할 수 없음
맬웨어 테스트 파일 검색됨 - EICAR AV 성공 두 디바이스 간의 트래픽에서 EICAR AV 테스트 파일이 검색되었습니다(모든 전송을 통해 TCP 또는 UDP). 파일이 맬웨어가 아닙니다. 이는 바이러스 백신 소프트웨어가 올바르게 설치되었는지 확인하는 데 사용됩니다. 바이러스가 발견되면 어떤 일이 발생하는지 보여주고 바이러스 발견 시 내부 절차와 반응을 확인합니다. 바이러스 백신 소프트웨어는 실제 바이러스인 것처럼 EICAR를 감지해야 합니다. 높음 악의적 활동이 의심됨 전술:
-발견

기술:
- T0842: 네트워크 스니핑
학습할 수 없음
Conficker 맬웨어 의심 의심스러운 네트워크 활동이 감지되었습니다. 이 활동은 알려진 맬웨어에서 사용하는 방법을 악용하는 공격과 관련이 있을 수 있습니다. 중간 맬웨어가 의심됨 전술:
- 초기 액세스
-영향

기술:
- T0826: 가용성 손실
- T0828: 생산성 및 수익 손실
- T0847: 이동식 미디어를 통한 복제
학습할 수 없음
서비스 거부 공격 의혹 원본 디바이스가 대상 디바이스에 대한 과도한 수의 새 연결을 시작하려고 했습니다. 이는 대상 디바이스에 대한 DOS(서비스 거부) 공격을 나타내고, 디바이스 기능을 중단하거나, 성능 및 서비스 가용성에 영향을 주거나, 복구할 수 없는 오류를 일으킬 수 있습니다.

임계값: 1분 내 시도 3,000회
높음 악의적 활동이 의심됨 전술:
- 응답 함수 억제

기술:
- T0814: 서비스 거부
학습 가능
악의적인 활동 의심 의심스러운 네트워크 활동이 감지되었습니다. 이 활동은 알려진 IOC('손상 지표')를 트리거한 공격과 연결될 수 있습니다. 경고 메타데이터는 보안 팀에서 검토해야 합니다. 높음 악의적 활동이 의심됨 전술:
- 횡적 이동

기술:
- T0867: 수평 도구 전송
학습할 수 없음
악의적인 활동 의심(BlackEnergy) 의심스러운 네트워크 활동이 감지되었습니다. 이 활동은 알려진 맬웨어에서 사용하는 방법을 악용하는 공격과 관련이 있을 수 있습니다. 높음 맬웨어가 의심됨 전술:
- 명령 및 제어

기술:
- T0869: 표준 애플리케이션 레이어 프로토콜
학습할 수 없음
악의적인 활동 의심(DarkComet) 의심스러운 네트워크 활동이 감지되었습니다. 이 활동은 알려진 맬웨어에서 사용하는 방법을 악용하는 공격과 관련이 있을 수 있습니다. 높음 맬웨어가 의심됨 전술:
-영향

기술:
- T0882: 운영 정보 도용
학습할 수 없음
악의적인 활동 의심(Duqu) 의심스러운 네트워크 활동이 감지되었습니다. 이 활동은 알려진 맬웨어에서 사용하는 방법을 악용하는 공격과 관련이 있을 수 있습니다. 높음 맬웨어가 의심됨 전술:
-영향

기술:
- T0882: 운영 정보 도용
학습할 수 없음
악의적인 활동 의심(화염) 의심스러운 네트워크 활동이 감지되었습니다. 이 활동은 알려진 맬웨어에서 사용하는 방법을 악용하는 공격과 관련이 있을 수 있습니다. 높음 맬웨어가 의심됨 전술:
-수집
-영향

기술:
- T0882: 운영 정보 도난
- T0811: 정보 리포지토리의 데이터
학습할 수 없음
악의적인 활동 의심(Havex) 의심스러운 네트워크 활동이 감지되었습니다. 이 활동은 알려진 맬웨어에서 사용하는 방법을 악용하는 공격과 관련이 있을 수 있습니다. 높음 맬웨어가 의심됨 전술:
-수집
-발견
- 응답 함수 억제

기술:
- T0861: 지점 및 태그 식별
- T0846: 원격 시스템 검색
- T0814: 서비스 거부
학습할 수 없음
악의적인 활동 의심(Karagany) 의심스러운 네트워크 활동이 감지되었습니다. 이 활동은 알려진 맬웨어에서 사용하는 방법을 악용하는 공격과 관련이 있을 수 있습니다. 높음 맬웨어가 의심됨 전술:
-영향

기술:
- T0882: 운영 정보 도용
학습할 수 없음
악의적인 활동 의심(LightsOut) 의심스러운 네트워크 활동이 감지되었습니다. 이 활동은 알려진 맬웨어에서 사용하는 방법을 악용하는 공격과 관련이 있을 수 있습니다. 높음 맬웨어가 의심됨 전술:
-회피

기술:
- T0849: 가장
학습할 수 없음
악의적인 활동 의심(이름 쿼리) 의심스러운 네트워크 활동이 감지되었습니다. 이 활동은 알려진 맬웨어에서 사용하는 방법을 악용하는 공격과 관련이 있을 수 있습니다.

임계값: 1분 내 이름 쿼리 25개
높음 악의적 활동이 의심됨 전술:
- 명령 및 제어

기술:
- T0884: 연결 프록시
학습할 수 없음
악의적인 활동 의심(포이즌 아이비) 의심스러운 네트워크 활동이 감지되었습니다. 이 활동은 알려진 맬웨어에서 사용하는 방법을 악용하는 공격과 관련이 있을 수 있습니다. 높음 맬웨어가 의심됨 전술:
- 초기 액세스
- 횡적 이동

기술:
- T0866: 원격 서비스 악용
학습할 수 없음
악의적인 활동 의심(Regin) 의심스러운 네트워크 활동이 감지되었습니다. 이 활동은 알려진 맬웨어에서 사용하는 방법을 악용하는 공격과 관련이 있을 수 있습니다. 높음 맬웨어가 의심됨 전술:
- 초기 액세스
- 횡적 이동
-영향

기술:
- T0866: 원격 서비스 악용
- T0882: 운영 정보 도용
학습할 수 없음
악의적인 활동 의심(Stuxnet) 의심스러운 네트워크 활동이 감지되었습니다. 이 활동은 알려진 맬웨어에서 사용하는 방법을 악용하는 공격과 관련이 있을 수 있습니다. 높음 맬웨어가 의심됨 전술:
- 초기 액세스
- 횡적 이동
-영향

기술:
- T0818: 엔지니어링 워크스테이션 손상
- T0866: 원격 서비스 악용
- T0831: 제어 조작
학습할 수 없음
악의적인 활동 의심(WannaCry) * 의심스러운 네트워크 활동이 감지되었습니다. 이 활동은 알려진 맬웨어에서 사용하는 방법을 악용하는 공격과 관련이 있을 수 있습니다. 중간 맬웨어가 의심됨 전술:
- 초기 액세스
- 횡적 이동

기술:
- T0866: 원격 서비스 악용
- T0867: 수평 도구 전송
학습할 수 없음
NotPetya 맬웨어 의심 - 잘못된 SMB 매개 변수 검색됨 의심스러운 네트워크 활동이 감지되었습니다. 이 활동은 알려진 맬웨어에서 사용하는 방법을 악용하는 공격과 관련이 있을 수 있습니다. 높음 맬웨어가 의심됨 전술:
- 초기 액세스
- 횡적 이동

기술:
- T0866: 원격 서비스 악용
학습할 수 없음
NotPetya 맬웨어 의심 - 잘못된 SMB 트랜잭션이 감지됨 의심스러운 네트워크 활동이 감지되었습니다. 이 활동은 알려진 맬웨어에서 사용하는 방법을 악용하는 공격과 관련이 있을 수 있습니다. 높음 맬웨어가 의심됨 전술:
- 횡적 이동

기술:
- T0867: 수평 도구 전송
학습할 수 없음
PsExec를 사용하여 원격 코드 실행 의심 의심스러운 네트워크 활동이 감지되었습니다. 이 활동은 알려진 맬웨어에서 사용하는 방법을 악용하는 공격과 관련이 있을 수 있습니다. 높음 악의적 활동이 의심됨 전술:
- 횡적 이동
- 초기 액세스

기술:
- T0866: 원격 서비스 악용
학습할 수 없음
원격 Windows 서비스 관리의 의심 * 의심스러운 네트워크 활동이 감지되었습니다. 이 활동은 알려진 맬웨어에서 사용하는 방법을 악용하는 공격과 관련이 있을 수 있습니다. 높음 악의적 활동이 의심됨 전술:
- 초기 액세스

기술:
- T0822: 네트워크 외부 원격 서비스
학습할 수 없음
엔드포인트에서 의심스러운 실행 파일 검색됨 의심스러운 네트워크 활동이 감지되었습니다. 이 활동은 알려진 맬웨어에서 사용하는 방법을 악용하는 공격과 관련이 있을 수 있습니다. 높음 악의적 활동이 의심됨 전술:
-회피
- 응답 함수 억제

기술:
- T0851: 루트킷
학습 가능
의심스러운 트래픽이 감지됨 * 의심스러운 네트워크 활동이 감지되었습니다. 이 활동은 알려진 IOC('손상 지표')를 트리거한 공격과 연결될 수 있습니다. 경고 메타데이터는 보안 팀에서 검토해야 합니다. 높음 악의적 활동이 의심됨 전술:
-발견

기술:
- T0842: 네트워크 스니핑
학습할 수 없음
바이러스 백신 서명을 사용한 백업 작업 원본 디바이스와 대상 백업 서버 간에 검색된 트래픽이 이 경고를 트리거했습니다. 트래픽에는 맬웨어 서명을 포함할 수 있는 바이러스 백신 소프트웨어의 백업이 포함됩니다. 이는 합법적인 백업 작업일 가능성이 큽니다. 낮음 Backup 전술:
-영향

기술:
- T0882: 운영 정보 도용
학습할 수 없음

운영 엔진 경고

운영 엔진 경고는 검색된 운영 인시던트 또는 오작동하는 엔터티를 설명합니다.

타이틀 설명 심각도 범주 MITRE ATT&CK
전술과 기술
학습 가능
S7 PLC 중지 명령이 전송됨 원본 디바이스가 대상 컨트롤러에 중지 명령을 보냈습니다. 컨트롤러는 시작 명령이 전송될 때까지 작동을 중지합니다. 낮음 명령 다시 시작/중지 전술:
- 횡적 이동
- 방어 회피
-실행
- 응답 함수 억제

기술:
- T0843: 프로그램 다운로드
- T0858: 운영 모드 변경
- T0814: 서비스 거부
학습할 수 없음
BACNet 작업 실패 서버가 오류 코드를 반환했습니다. 이 경고는 서버 오류 또는 클라이언트의 잘못된 요청을 나타냅니다. 중간 명령 실패 전술:
- 프로세스 제어 손상

기술:
- T0855: 권한 없는 명령 메시지
학습할 수 없음
잘못된 MMS 디바이스 상태 MMS VMD(가상 제조 디바이스)에서 상태 메시지를 보냈습니다. 메시지는 서버가 올바르게 구성되지 않았거나, 부분적으로 작동하거나, 전혀 작동하지 않을 수 있음을 나타냅니다. 중간 운영 문제 전술:
- 응답 함수 억제

기술:
- T0814: 서비스 거부
학습할 수 없음
디바이스 구성 변경 * 원본 디바이스에서 구성 변경이 감지되었습니다. 낮음 구성 변경 전술:
- 프로세스 제어 손상

기술:
- T0836: 매개 변수 수정
학습할 수 없음
아웃스테이션의 연속 이벤트 버퍼 오버플로 * 원본 디바이스에서 버퍼 오버플로 이벤트가 검색되었습니다. 이 이벤트는 데이터 손상, 프로그램 충돌 또는 악성 코드 실행을 일으킬 수 있습니다.

임계값: 10분 내 발생 3개
중간 버퍼 오버플로 전술:
- 응답 함수 억제
- 프로세스 제어 손상
-고집

기술:
- T0814: 서비스 거부
- T0806: 무차별 암호 대입 I/O
- T0839: 모듈 펌웨어
학습할 수 없음
컨트롤러 재설정 원본 디바이스가 대상 컨트롤러에 재설정 명령을 보냈습니다. 컨트롤러가 일시적으로 작동을 중지하고 자동으로 다시 시작했습니다. 낮음 명령 다시 시작/중지 전술:
- 방어 회피
-실행
- 응답 함수 억제

기술:
- T0858: 운영 모드 변경
- T0814: 서비스 거부
학습할 수 없음
컨트롤러 중지 원본 디바이스가 대상 컨트롤러에 중지 명령을 보냈습니다. 컨트롤러는 시작 명령이 전송될 때까지 작동을 중지합니다. 낮음 명령 다시 시작/중지 전술:
- 횡적 이동
- 방어 회피
-실행
- 응답 함수 억제

기술:
- T0843: 프로그램 다운로드
- T0858: 운영 모드 변경
- T0814: 서비스 거부
학습할 수 없음
디바이스가 동적 IP 주소를 수신하지 못했습니다. 원본 디바이스가 DHCP 서버에서 동적 IP 주소를 받도록 구성되었지만 주소를 받지 못했습니다. 디바이스의 구성 오류 또는 DHCP 서버의 작동 오류를 나타냅니다. 네트워크 관리자에게 인시던트를 알리는 것이 좋습니다. 중간 명령 실패 전술:
-발견

기술:
- T0842: 네트워크 스니핑
학습할 수 없음
디바이스 연결이 끊어진 것으로 의심됨(응답하지 않는) 원본 디바이스가 전송된 명령에 응답하지 않았습니다. 명령이 전송되었을 때 연결이 끊어졌을 수 있습니다.

임계값: 5분 내 시도 8회
중간 응답 없음 전술:
- 응답 함수 억제

기술:
- T0881: 서비스 중지
학습할 수 없음
EtherNet/IP CIP 서비스 요청 실패 서버가 오류 코드를 반환했습니다. 이는 서버 오류 또는 클라이언트의 잘못된 요청을 나타냅니다. 중간 명령 실패 전술:
- 프로세스 제어 손상

기술:
- T0855: 권한 없는 명령 메시지
학습할 수 없음
EtherNet/IP 캡슐화 프로토콜 명령 실패 서버가 오류 코드를 반환했습니다. 이는 서버 오류 또는 클라이언트의 잘못된 요청을 나타냅니다. 중간 명령 실패 전술:
-수집

기술:
- T0801: 프로세스 상태 모니터링
학습할 수 없음
아웃스테이션의 이벤트 버퍼 오버플로 원본 디바이스에서 버퍼 오버플로 이벤트가 검색되었습니다. 이 이벤트는 데이터 손상, 프로그램 충돌 또는 악성 코드 실행을 일으킬 수 있습니다. 중간 버퍼 오버플로 전술:
- 응답 함수 억제
- 프로세스 제어 손상
-고집

기술:
- T0814: 서비스 거부
- T0839: 모듈 펌웨어
학습할 수 없음
예상 백업 작업이 수행되지 않음 예상한 백업/파일 전송 활동이 두 디바이스 간에 발생하지 않았습니다. 이 경고는 백업/파일 전송 프로세스의 오류를 나타낼 수 있습니다.

임계값: 100초
중간 Backup 전술:
- 응답 함수 억제

기술:
- T0809: 데이터 파기
학습 가능
GE SRTP 명령 실패 서버가 오류 코드를 반환했습니다. 이 경고는 서버 오류 또는 클라이언트의 잘못된 요청을 나타냅니다. 중간 명령 실패 전술:
- 프로세스 제어 손상

기술:
- T0855: 권한 없는 명령 메시지
학습할 수 없음
GE SRTP STOP PLC 명령이 전송됨 원본 디바이스가 대상 컨트롤러에 중지 명령을 보냈습니다. 컨트롤러는 시작 명령이 전송될 때까지 작동을 중지합니다. 낮음 명령 다시 시작/중지 전술:
- 횡적 이동
- 방어 회피
-실행
- 응답 함수 억제

기술:
- T0843: 프로그램 다운로드
- T0858: 운영 모드 변경
- T0814: 서비스 거부
학습할 수 없음
GOOSE 제어 블록에 추가 구성 필요 원본 디바이스는 디바이스에 시운전이 필요하다는 GOOSE 메시지를 보냈습니다. GOOSE 제어 블록에 추가 구성이 필요하고 GOOSE 메시지가 부분적으로 또는 완전히 작동하지 않음을 의미합니다. 중간 구성 변경 전술:
- 프로세스 제어 손상
- 응답 함수 억제

기술:
- T0803: 명령 메시지 차단
- T0821: 컨트롤러 작업 수정
학습할 수 없음
GOOSE 데이터 세트 구성이 변경되었습니다. * 원본 디바이스에서 메시지(프로토콜 ID로 식별됨) 데이터 세트가 변경되었습니다. 즉, 디바이스가 이 메시지에 대해 다른 데이터 세트를 보고합니다. 낮음 구성 변경 전술:
- 프로세스 제어 손상

기술:
- T0836: 매개 변수 수정
학습할 수 없음
Honeywell 컨트롤러 예기치 않은 상태 Honeywell 컨트롤러가 상태 변경을 나타내는 예기치 않은 진단 메시지를 보냈습니다. 낮음 운영 문제 전술:
-회피
-실행

기술:
- T0858: 운영 모드 변경
학습할 수 없음
HTTP 클라이언트 오류 * 원본 디바이스가 잘못된 요청을 시작했습니다. 낮음 비정상적인 HTTP 통신 동작 전술:
- 명령 및 제어

기술:
- T0869: 표준 애플리케이션 레이어 프로토콜
학습할 수 없음
잘못된 IP 주소 원본 디바이스와 잘못된 주소인 IP 주소 간의 트래픽이 시스템에서 감지되었습니다. 잘못된 구성 또는 잘못된 트래픽을 생성하려는 시도를 나타낼 수 있습니다. 낮음 비정상적인 통신 동작 전술:
-발견
- 프로세스 제어 손상

기술:
- T0842: 네트워크 스니핑
- T0836: 매개 변수 수정
학습할 수 없음
마스터-슬레이브 인증 오류 DNP3 원본 디바이스(기본)와 대상 디바이스(Outstation) 간의 인증 프로세스가 실패했습니다. 낮음 인증 전술:
- 횡적 이동
-고집

기술:
- T0859: 유효한 계정
학습할 수 없음
MMS 서비스 요청 실패 서버가 오류 코드를 반환했습니다. 이는 서버 오류 또는 클라이언트의 잘못된 요청을 나타냅니다. 중간 명령 실패 전술:
- 프로세스 제어 손상

기술:
- T0855: 권한 없는 명령 메시지
학습할 수 없음
센서 인터페이스에서 트래픽이 검색되지 않음 센서가 네트워크 인터페이스에서 네트워크 트래픽 검색을 중지했습니다. 높음 센서 트래픽 전술:
- 응답 함수 억제

기술:
- T0881: 서비스 중지
학습할 수 없음
OPC UA 서버가 사용자의 주의가 필요한 이벤트를 발생시켰습니다. OPC UA 서버가 클라이언트에 이벤트 알림을 보냈습니다. 이 유형의 이벤트에는 사용자의 주의가 필요합니다. 중간 운영 문제 전술:
- 응답 함수 억제

기술:
- T0838: 경보 설정 수정
학습할 수 없음
OPC UA 서비스 요청 실패 서버가 오류 코드를 반환했습니다. 이는 서버 오류 또는 클라이언트의 잘못된 요청을 나타냅니다. 중간 명령 실패 전술:
- 프로세스 제어 손상

기술:
- T0855: 권한 없는 명령 메시지
학습할 수 없음
아웃스테이션 다시 시작됨 원본 디바이스에서 콜드 다시 시작이 검색되었습니다. 즉, 디바이스가 물리적으로 꺼져 다시 켜져 있습니다. 낮음 명령 다시 시작/중지 전술:
- 응답 함수 억제

기술:
- T0816: 디바이스 다시 시작/종료
학습할 수 없음
아웃스테이션이 자주 다시 시작됩니다. 원본 디바이스에서 과도한 수의 콜드 다시 시작이 감지되었습니다. 즉, 디바이스가 물리적으로 꺼져 있고 다시 과도한 횟수만큼 다시 켜져 있습니다.

임계값: 10분 내 다시 시작 2회
낮음 명령 다시 시작/중지 전술:
- 응답 함수 억제

기술:
- T0814: 서비스 거부
- T0816: 디바이스 다시 시작/종료
학습할 수 없음
아웃스테이션의 구성이 변경됨 원본 디바이스에서 구성 변경이 감지되었습니다. 중간 구성 변경 전술:
- 응답 함수 억제
-고집

기술:
- T0857: 시스템 펌웨어
학습할 수 없음
아웃스테이션의 손상된 구성이 검색됨 DNP3 원본 디바이스(Outstation)가 손상된 구성을 보고했습니다. 중간 구성 변경 전술:
- 응답 함수 억제

기술:
- T0809: 데이터 파기
학습할 수 없음
Profinet DCP 명령 실패 서버가 오류 코드를 반환했습니다. 이는 서버 오류 또는 클라이언트의 잘못된 요청을 나타냅니다. 중간 명령 실패 전술:
- 프로세스 제어 손상

기술:
- T0855: 권한 없는 명령 메시지
학습할 수 없음
Profinet Device Factory Reset 원본 디바이스는 Profinet 대상 디바이스에 공장 재설정 명령을 보냈습니다. Reset 명령은 Profinet 디바이스 구성을 지우고 해당 작업을 중지합니다. 낮음 명령 다시 시작/중지 전술:
- 방어 회피
-실행
- 응답 함수 억제

기술:
- T0858: 운영 모드 변경
- T0814: 서비스 거부
학습할 수 없음
RPC 작업 실패 * 서버가 오류 코드를 반환했습니다. 이 경고는 서버 오류 또는 클라이언트의 잘못된 요청을 나타냅니다. 중간 명령 실패 전술:
- 프로세스 제어 손상

기술:
- T0855: 권한 없는 명령 메시지
학습할 수 없음
샘플링된 값 메시지 데이터 세트 구성이 변경됨 * 원본 디바이스에서 메시지(프로토콜 ID로 식별됨) 데이터 세트가 변경되었습니다. 즉, 디바이스가 이 메시지에 대해 다른 데이터 세트를 보고합니다. 낮음 구성 변경 전술:
- 프로세스 제어 손상

기술:
- T0836: 매개 변수 수정
학습할 수 없음
슬레이브 디바이스 복구할 수 없음 오류 * 원본 디바이스에서 복구할 수 없는 조건 오류가 감지되었습니다. 이러한 종류의 오류는 일반적으로 하드웨어 오류 또는 특정 명령을 수행하지 못했음을 나타냅니다. 중간 명령 실패 전술:
- 응답 함수 억제

기술:
- T0814: 서비스 거부
학습할 수 없음
아웃스테이션의 하드웨어 문제 의심 원본 디바이스에서 복구할 수 없는 조건 오류가 감지되었습니다. 이러한 종류의 오류는 일반적으로 하드웨어 오류 또는 특정 명령을 수행하지 못했음을 나타냅니다. 중간 운영 문제 전술:
- 응답 함수 억제

기술:
- T0814: 서비스 거부
- T0881: 서비스 중지
학습할 수 없음
응답하지 않는 MODBUS 디바이스 의심 원본 디바이스가 전송된 명령에 응답하지 않았습니다. 명령이 전송되었을 때 연결이 끊어졌을 수 있습니다.

임계값: 5분 내 최소 3개의 요청에 대한 유효 응답 1개 이상
낮음 응답 없음 전술:
- 응답 함수 억제

기술:
- T0881: 서비스 중지
학습할 수 없음
센서 인터페이스에서 검색된 트래픽 센서가 네트워크 인터페이스에서 네트워크 트래픽 감지를 재개했습니다. 낮음 센서 트래픽 전술:
-발견

기술:
- T0842: 네트워크 스니핑
학습할 수 없음
PLC 운영 모드 변경됨 이 PLC의 운영 모드가 변경되었습니다. 새 모드는 PLC가 안전하지 않음을 나타낼 수 있습니다. PLC를 안전하지 않은 운영 모드로 두면 악의적 사용자가 프로그램 다운로드와 같은 악의적인 활동을 수행할 수 있습니다. PLC가 손상된 경우 해당 PLC와 상호 작용하는 디바이스 및 프로세스가 영향을 받을 수 있습니다. 이는 전반적인 시스템 보안 및 안전에 영향을 줄 수 있습니다. 낮음 구성 변경 내용 전술:
-실행
-회피

기술:
- T0858: 운영 모드 변경
학습할 수 없음

다음 단계

자세한 내용은 다음을 참조하세요.