Alerty zabezpieczeń — przewodnik informacyjny

Artykuł
03/17/2024

W tym artykule wymieniono alerty zabezpieczeń, które można uzyskać z Microsoft Defender dla Chmury i wszystkich planów usługi Microsoft Defender, które włączono. Alerty wyświetlane w środowisku zależą od chronionych zasobów i usług oraz dostosowanej konfiguracji.

W dolnej części tej strony znajduje się tabela opisująca łańcuch Microsoft Defender dla Chmury kill wyrównany do wersji 9 macierzy MITRE ATT&CK.

Dowiedz się, jak reagować na te alerty.

Dowiedz się, jak eksportować alerty.

Uwaga

Alerty z różnych źródeł mogą zająć różne czasy. Na przykład alerty wymagające analizy ruchu sieciowego mogą być wyświetlane dłużej niż alerty związane z podejrzanymi procesami uruchomionymi na maszynach wirtualnych.

Alerty dotyczące maszyn z systemem Windows

Usługa Microsoft Defender dla serwerów (plan 2) udostępnia unikatowe wykrycia i alerty oprócz tych udostępnianych przez Ochrona punktu końcowego w usłudze Microsoft Defender. Alerty udostępniane dla maszyn z systemem Windows to:

Dalsze szczegóły i uwagi

Wykryto logowanie ze złośliwego adresu IP. [widziane wiele razy]

Opis: Wystąpiło pomyślne zdalne uwierzytelnianie dla konta [konto] i proces [proces], jednak wcześniej zgłoszono jako złośliwy lub wysoce nietypowy adres IP logowania (x.x.x.x). Prawdopodobnie doszło do pomyślnego ataku. Pliki z rozszerzeniami scr są plikami wygaszacza ekranu i zwykle znajdują się i są wykonywane z katalogu systemowego systemu Windows.

Taktyka MITRE: -

Ważność: Wysoka

Naruszenie zasad adaptacyjnego sterowania aplikacjami zostało poddane inspekcji

VM_AdaptiveApplicationControlWindowsViolationAudited

(VM_AmMalwareCampaignRelatedExclusion)

Opis: Na maszynie wirtualnej wykryto regułę wykluczania, aby zapobiec skanowaniu niektórych plików, które są podejrzane o związek z kampanią złośliwego oprogramowania. Reguła została wykryta przez przeanalizowanie operacji usługi Azure Resource Manager w ramach subskrypcji. Osoby atakujące mogą wykluczyć pliki ze skanowania oprogramowania chroniącego przed złośliwym kodem, aby zapobiec wykrywaniu podczas uruchamiania dowolnego kodu lub infekowania maszyny za pomocą złośliwego oprogramowania.

Taktyka MITRE: Uchylanie się od obrony

Ważność: średni rozmiar

Oprogramowanie chroniące przed złośliwym kodem tymczasowo wyłączone na maszynie wirtualnej

(VM_AmTemporarilyDisablement)

Opis: Oprogramowanie chroniące przed złośliwym kodem tymczasowo wyłączone na maszynie wirtualnej. Wykryto to przez analizowanie operacji usługi Azure Resource Manager w ramach subskrypcji. Osoby atakujące mogą wyłączyć oprogramowanie chroniące przed złośliwym kodem na maszynie wirtualnej, aby zapobiec wykrywaniu.

Taktyka MITRE: -

Ważność: średni rozmiar

Nietypowe wykluczenie pliku ochrony przed złośliwym kodem na maszynie wirtualnej

(VM_UnusualAmFileExclusion)

Opis: Wykryto nietypowe wykluczenie pliku z rozszerzenia ochrony przed złośliwym kodem na maszynie wirtualnej, analizując operacje usługi Azure Resource Manager w ramach subskrypcji. Osoby atakujące mogą wykluczyć pliki ze skanowania przed złośliwym kodem na maszynie wirtualnej, aby zapobiec wykryciu podczas uruchamiania dowolnego kodu lub infekowania maszyny za pomocą złośliwego oprogramowania.

Taktyka MITRE: Uchylanie się od obrony

Ważność: średni rozmiar

Komunikacja z podejrzaną domeną zidentyfikowaną przez analizę zagrożeń

Opis: Analiza danych hosta na serwerze %{Host z naruszonym naruszeniem} wykryła wykonanie polecenia "net.exe stop" używanego do zatrzymywania krytycznych usług, takich jak SharedAccess lub Zabezpieczenia Windows aplikacji. Zatrzymanie jednej z tych usług może wskazywać na złośliwe zachowanie.

Taktyka MITRE: -

Ważność: średni rozmiar

Opis: Analiza danych hosta na serwerze %{Host z naruszeniem zabezpieczeń} wykryła wykonanie procesu lub polecenia zwykle skojarzonego z wyszukiwaniem walut cyfrowych.

Taktyka MITRE: -

Ważność: Wysoka

Dynamiczna konstrukcja skryptu PS

Opis: Analiza danych hosta na serwerze %{Host z naruszonym naruszeniem} wykryła dynamicznie konstruowany skrypt programu PowerShell. Osoby atakujące czasami używają tego podejścia do progresywnego tworzenia skryptu w celu uniknięcia systemów IDS. Może to być uzasadnione działanie lub wskazanie, że jeden z Twoich maszyn został naruszony.

Taktyka MITRE: -

Ważność: średni rozmiar

Znaleziono plik wykonywalny uruchomiony z podejrzanej lokalizacji

Opis: Analiza danych hosta wykryła plik wykonywalny na serwerze %{Host naruszony}, który jest uruchomiony z lokalizacji wspólnej ze znanymi podejrzanymi plikami. Ten plik wykonywalny może być legalnym działaniem lub wskazaniem naruszonego hosta.

Taktyka MITRE: -

Ważność: Wysoka

Wykryto zachowanie ataków bez plików

(VM_FilelessAttackBehavior.Windows)

Opis: Pamięć określonego procesu zawiera zachowania często używane przez ataki bez plików. Konkretne zachowania obejmują:

Kod powłoki, który jest małym fragmentem kodu, zwykle używanym jako ładunek w wykorzystaniu luki w zabezpieczeniach oprogramowania.
Aktywne połączenia sieciowe. Aby uzyskać szczegółowe informacje, zobacz Sieci Połączenie ions poniżej.
Wywołania funkcji do interfejsów systemu operacyjnego wrażliwego na zabezpieczenia. Zobacz Możliwości poniżej, aby uzyskać informacje o możliwościach systemu operacyjnego.
Zawiera wątek, który został uruchomiony w dynamicznie przydzielonym segmencie kodu. Jest to typowy wzorzec ataków polegających na wstrzyknięciu procesu.

Taktyka MITRE: Uchylanie się od obrony

Ważność: Niska

Wykryto technikę ataku bez plików

(VM_FilelessAttackTechnique.Windows)

Opis: Pamięć procesu określonego poniżej zawiera dowody na technikę ataku bez plików. Ataki bez plików są używane przez osoby atakujące do wykonywania kodu podczas unikania wykrywania przez oprogramowanie zabezpieczające. Konkretne zachowania obejmują:

Kod powłoki, który jest małym fragmentem kodu, zwykle używanym jako ładunek w wykorzystaniu luki w zabezpieczeniach oprogramowania.
Obraz wykonywalny wstrzyknięty do procesu, taki jak atak polegający na wstrzyknięciu kodu.
Aktywne połączenia sieciowe. Aby uzyskać szczegółowe informacje, zobacz Sieci Połączenie ions poniżej.
Wywołania funkcji do interfejsów systemu operacyjnego wrażliwego na zabezpieczenia. Zobacz Możliwości poniżej, aby uzyskać informacje o możliwościach systemu operacyjnego.
Wydrążenie procesów, które jest techniką używaną przez złośliwe oprogramowanie, w którym w systemie jest ładowany legalny proces do działania jako kontener dla wrogiego kodu.
Zawiera wątek, który został uruchomiony w dynamicznie przydzielonym segmencie kodu. Jest to typowy wzorzec ataków polegających na wstrzyknięciu procesu.

Taktyka MITRE: Uchylanie się od obrony, egzekucja

Ważność: Wysoka

Wykryto zestaw narzędzi do ataków bez plików

(VM_FilelessAttackToolkit.Windows)

Opis: Pamięć określonego procesu zawiera zestaw narzędzi do ataków bez plików: [nazwa zestawu narzędzi]. Zestawy narzędzi do ataków bez plików używają technik, które minimalizują lub eliminują ślady złośliwego oprogramowania na dysku i znacznie zmniejszają prawdopodobieństwo wykrycia przez rozwiązania do skanowania złośliwego oprogramowania opartego na dyskach. Konkretne zachowania obejmują:

Dobrze znane zestawy narzędzi i oprogramowanie do wyszukiwania kryptograficznego.
Kod powłoki, który jest małym fragmentem kodu, zwykle używanym jako ładunek w wykorzystaniu luki w zabezpieczeniach oprogramowania.
Wstrzyknięto złośliwy plik wykonywalny w pamięci procesu.

Opis: Zaobserwowano uruchomienie rzadkiej grupy usług w procesie systemowym SVCHOST. Złośliwe oprogramowanie często używa SVCHOST do maskowania złośliwego działania.

Taktyka MITRE: Uchylanie się od obrony, egzekucja

Ważność: informacyjna

Wykryto atak na klucze sticky

Opis: Analiza danych hosta wskazuje, że osoba atakująca może odwrócić plik binarny ułatwień dostępu (na przykład przyklejone klawisze, klawiatura ekranowa, narrator) w celu zapewnienia dostępu zaplecza do hosta %{Host naruszony bezpieczeństwo}.

Taktyka MITRE: -

Ważność: średni rozmiar

Udany atak siłowy

(VM_LoginBruteForceSuccess)

Opis: Wykryto kilka prób logowania z tego samego źródła. Niektóre pomyślnie uwierzytelnione na hoście. Przypomina to atak z serii, w którym osoba atakująca wykonuje wiele prób uwierzytelnienia w celu znalezienia prawidłowych poświadczeń konta.

Taktyka MITRE: Wyzysk

Ważność: średni/wysoki

Podejrzany poziom integralności wskazuje na porwanie RDP

Opis: Analiza danych hosta wykryła tscon.exe uruchomioną z uprawnieniami SYSTEM — może to wskazywać na to, że osoba atakująca nadużywa tego pliku binarnego w celu przełączenia kontekstu na dowolnego innego zalogowanego użytkownika na tym hoście. Jest to znana technika atakująca umożliwiająca naruszenie większej liczby kont użytkowników i przechodzenie poprzecznie przez sieć.

Taktyka MITRE: -

Ważność: średni rozmiar

Podejrzana instalacja usługi

Opis: Analiza danych hosta wykryła instalację tscon.exe jako usługi: ten plik binarny jest uruchamiany jako usługa, co potencjalnie umożliwia osobie atakującej trivially przełączenie się na dowolnego innego zalogowanego użytkownika na tym hoście przez przejęcie połączeń RDP; jest to znana technika atakująca, aby naruszyć bezpieczeństwo większej liczby kont użytkowników i przenieść się później przez sieć.

Taktyka MITRE: -

Ważność: średni rozmiar

Zaobserwowano podejrzane parametry ataku przy użyciu protokołu Kerberos Golden Ticket

Opis: Analiza danych hosta wykrytych parametrów wiersza polecenia spójnych z atakiem protokołu Kerberos Golden Ticket.

Taktyka MITRE: -

Ważność: średni rozmiar

Opis: wskazuje, że segment kodu został przydzielony przy użyciu niestandardowych metod, takich jak iniekcja refleksyjna i wydrążenie procesów. Alert zawiera więcej cech segmentu kodu, który został przetworzony w celu zapewnienia kontekstu dla możliwości i zachowań zgłaszanego segmentu kodu.

Taktyka MITRE: -

Ważność: średni rozmiar

Wykonany podejrzany plik podwójnego rozszerzenia

Opis: Analiza danych hosta wskazuje wykonanie procesu z podejrzanym podwójnym rozszerzeniem. To rozszerzenie może skłonić użytkowników do myślenia, że pliki są bezpieczne do otwarcia i mogą wskazywać na obecność złośliwego oprogramowania w systemie.

Taktyka MITRE: -

Ważność: Wysoka

Wykryto podejrzane pobieranie przy użyciu narzędzia Certutil [widziane wiele razy]

Opis: Analiza danych hosta na serwerze %{Host z naruszeniem zabezpieczeń} wykryła użycie certutil.exe, wbudowanego narzędzia administratora do pobierania pliku binarnego zamiast głównego przeznaczenia, który odnosi się do manipulowania certyfikatami i danymi certyfikatów. Osoby atakujące są znane z nadużyć funkcjonalności legalnych narzędzi administratora do wykonywania złośliwych akcji, na przykład przy użyciu certutil.exe do pobierania i dekodowania złośliwego pliku wykonywalnego, który następnie zostanie wykonany. To zachowanie było widoczne [x] razy dzisiaj na następujących maszynach: [Nazwy maszyn]

Taktyka MITRE: -

Ważność: średni rozmiar

Taktyka MITRE: -

Ważność: Wysoka

Wykryto podejrzaną nazwę procesu [widzianą wielokrotnie]

Opis: Analiza danych hosta na serwerze %{Host zagrożony} wykryła proces, którego nazwa jest podejrzana, na przykład odpowiadająca znanemu narzędziu atakującemu lub nazwana w sposób sugerujący narzędzia atakujące, które próbują ukryć się w widoku. Ten proces może być uzasadnionym działaniem lub wskazaniem, że jeden z Twoich maszyn został naruszony. To zachowanie było widoczne [x] razy dzisiaj na następujących maszynach: [Nazwy maszyn]

Taktyka MITRE: -

Ważność: średni rozmiar

(VM_SystemProcessInAbnormalContext)

Opis: Proces systemowy %{nazwa procesu} zaobserwowano uruchomienie w nietypowym kontekście. Złośliwe oprogramowanie często używa tej nazwy procesu do maskowania złośliwego działania.

Taktyka MITRE: Uchylanie się od obrony, egzekucja

Ważność: Wysoka

Podejrzane działanie kopiowania woluminów w tle

Opis: Analiza danych hosta wykryła działanie usuwania kopii w tle w zasobie. Kopiowanie woluminów w tle (VSC, Volume Shadow Copy) to ważny artefakt, który przechowuje migawki danych. Niektóre złośliwe oprogramowanie, a w szczególności oprogramowanie Wymuszanie oprogramowania wymuszającego okup, są przeznaczone dla programu VSC w celu sabotowania strategii tworzenia kopii zapasowych.

Taktyka MITRE: -

Ważność: Wysoka

Wykryto podejrzaną wartość rejestru WindowPosition

Opis: Analiza danych hosta na serwerze %{Host z naruszonymi zabezpieczeniami} wykryła próbę zmiany konfiguracji rejestru WindowPosition, która może wskazywać na ukrywanie okien aplikacji w nienadzorowanych sekcjach pulpitu. Może to być uzasadnione działanie lub wskazanie naruszonej maszyny: ten typ działania został wcześniej skojarzony ze znanym oprogramowaniem adware (lub niechcianym oprogramowaniem), takim jak Win32/OneSystemCare i Win32/SystemHealer i złośliwe oprogramowanie, takie jak Win32/Creprote. Po ustawieniu wartości WindowPosition na wartość 201329664 (Szesnastkowy: 0x0c00 0c00, co odpowiada wartościom X-axis=0c00 i Y-axis=0c00), umieszcza okno aplikacji konsolowej w niewidocznej sekcji ekranu użytkownika w obszarze ukrytym przed widocznym menu start/paskiem zadań. Znana wartość szesnastkowy obejmuje, ale nie tylko c000c000.

Taktyka MITRE: -

Ważność: Niska

Wykryto podejrzany proces o nazwie

Opis: Analiza danych hosta na serwerze %{Host z naruszonym naruszeniem} wykryła proces, którego nazwa jest bardzo podobna, ale różni się od bardzo często uruchamianego procesu (%{Podobne do nazwy procesu}). Chociaż ten proces może być łagodny dla atakujących, czasami ukrywa się w zasięgu wzroku, nazywając ich złośliwe narzędzia podobnymi do legalnych nazw procesów.

Taktyka MITRE: -

Ważność: średni rozmiar

Nietypowe resetowanie konfiguracji na maszynie wirtualnej

(VM_VMAccessUnusualConfigReset)

Opis: Wykryto nietypowe resetowanie konfiguracji na maszynie wirtualnej, analizując operacje usługi Azure Resource Manager w ramach subskrypcji. Mimo że ta akcja może być uzasadniona, osoby atakujące mogą spróbować zresetować konfigurację na maszynie wirtualnej i naruszyć jej bezpieczeństwo.

Taktyka MITRE: dostęp do poświadczeń

Ważność: średni rozmiar

Wykryto nietypowe wykonanie procesu

Opis: Analiza danych hosta na serwerze %{Host z naruszonym naruszeniem} wykryła wykonanie procesu przez użytkownika %{Nazwa użytkownika}, która była nietypowa. Konta, takie jak %{Nazwa użytkownika} mają tendencję do wykonywania ograniczonego zestawu operacji, to wykonanie zostało uznane za poza znakiem i może być podejrzane.

Taktyka MITRE: -

Ważność: Wysoka

Nietypowe resetowanie hasła użytkownika na maszynie wirtualnej

(VM_VMAccessUnusualPasswordReset)

Opis: Wykryto nietypowe resetowanie hasła użytkownika na maszynie wirtualnej przez przeanalizowanie operacji usługi Azure Resource Manager w ramach subskrypcji. Mimo że ta akcja może być uzasadniona, osoby atakujące mogą spróbować użyć rozszerzenia dostępu do maszyny wirtualnej, aby zresetować poświadczenia użytkownika lokalnego na maszynie wirtualnej i naruszyć jego bezpieczeństwo.

Taktyka MITRE: dostęp do poświadczeń

Ważność: średni rozmiar

Nietypowe resetowanie klucza SSH użytkownika na maszynie wirtualnej

(VM_VMAccessUnusualSSHReset)

Opis: Wykryto nietypowe resetowanie klucza SSH użytkownika na maszynie wirtualnej przez przeanalizowanie operacji usługi Azure Resource Manager w ramach subskrypcji. Mimo że ta akcja może być uzasadniona, osoby atakujące mogą spróbować zresetować klucz SSH konta użytkownika na maszynie wirtualnej i naruszyć jego bezpieczeństwo.

Taktyka MITRE: dostęp do poświadczeń

Ważność: średni rozmiar

Wykryto alokację obiektu HTTP w języku VBScript

Opis: wykryto tworzenie pliku VBScript przy użyciu wiersza polecenia. Poniższy skrypt zawiera polecenie alokacji obiektów HTTP. Ta akcja może służyć do pobierania złośliwych plików.

Podejrzana instalacja rozszerzenia procesora GPU na maszynie wirtualnej (wersja zapoznawcza)

(VM_GPUDriverExtensionUnusualExecution)

Opis: Wykryto podejrzaną instalację rozszerzenia procesora GPU na maszynie wirtualnej, analizując operacje usługi Azure Resource Manager w ramach subskrypcji. Osoby atakujące mogą użyć rozszerzenia sterownika procesora GPU do zainstalowania sterowników procesora GPU na maszynie wirtualnej za pośrednictwem usługi Azure Resource Manager w celu przeprowadzenia przejęcia kryptograficznego.

Taktyka MITRE: wpływ

(VM_AmTempRealtimeProtectionDisablement)

Taktyka MITRE: Uchylanie się od obrony

Ważność: średni rozmiar

Ochrona przed złośliwym kodem w czasie rzeczywistym została tymczasowo wyłączona podczas wykonywania kodu na maszynie wirtualnej

(VM_AmRealtimeProtectionDisablementAndCodeExec)

Taktyka MITRE: -

Ważność: Wysoka

Taktyka MITRE: -

Ważność: Niska

Opis: Analiza danych hosta na serwerze %{Host z naruszeniem zabezpieczeń} wykryła wykonanie procesu lub polecenia zwykle skojarzonego z wyszukiwaniem walut cyfrowych.

Taktyka MITRE: -

Ważność: Wysoka

Wyłączanie rejestrowania poddanego inspekcji [widziane wiele razy]

Opis: System inspekcji systemu Linux umożliwia śledzenie informacji dotyczących zabezpieczeń w systemie. Rejestruje jak najwięcej informacji o zdarzeniach występujących w systemie. Wyłączenie rejestrowania poddanego inspekcji może utrudnić wykrywanie naruszeń zasad zabezpieczeń używanych w systemie. To zachowanie było widoczne [x] razy dzisiaj na następujących maszynach: [Nazwy maszyn]

Taktyka MITRE: -

Ważność: Niska

Wykorzystanie luki w zabezpieczeniach Xorg [widocznej wiele razy]

Opis: Analiza danych hosta na serwerze %{Host z naruszonymi naruszeniami} wykryła użytkownika Xorg z podejrzanymi argumentami. Osoby atakujące mogą używać tej techniki w próbach eskalacji uprawnień. To zachowanie było widoczne [x] razy dzisiaj na następujących maszynach: [Nazwy maszyn]

Taktyka MITRE: -

Ważność: średni rozmiar

Niepowodzenie ataku siłowego protokołu SSH

(VM_SshBruteForceFailed)

Opis: Wykryto nieudane ataki siłowe z następujących osób atakujących: %{Osoby atakujące}. Osoby atakujące próbowały uzyskać dostęp do hosta przy użyciu następujących nazw użytkowników: %{Konta używane podczas nieudanego logowania do hostowania prób}.

Taktyka MITRE: Sondowanie

Ważność: średni rozmiar

Wykryto zachowanie ataków bez plików

(VM_FilelessAttackBehavior.Linux)

Opis: pamięć procesu określonego poniżej zawiera zachowania często używane przez ataki bez plików. Konkretne zachowania obejmują: {lista obserwowanych zachowań}

Taktyka MITRE: Wykonywanie

Ważność: Niska

Wykryto technikę ataków bez plików

(VM_FilelessAttackTechnique.Linux)

Taktyka MITRE: Wykonywanie

Ważność: Wysoka

Wykryto zestaw narzędzi do ataków bez plików

(VM_FilelessAttackToolkit.Linux)

Opis: Pamięć procesu określonego poniżej zawiera zestaw narzędzi do ataków bez plików: {ToolKitName}. Zestawy narzędzi do ataków bez plików zwykle nie mają obecności w systemie plików, co utrudnia wykrywanie tradycyjnego oprogramowania antywirusowego. Konkretne zachowania obejmują: {lista obserwowanych zachowań}

Taktyka MITRE: Uchylanie się od obrony, egzekucja

Ważność: Wysoka

Wykryto wykonywanie ukrytego pliku

Opis: Analiza danych hosta wskazuje, że ukryty plik został wykonany przez użytkownika %{nazwa użytkownika}. To działanie może być legalnym działaniem lub wskazaniem naruszonego hosta.

Taktyka MITRE: -

Ważność: informacyjna

Dodano nowy klucz SSH [widziany wiele razy]

(VM_SshKeyAddition)

Opis: Nowy klucz SSH został dodany do pliku autoryzowanych kluczy. To zachowanie było widoczne [x] razy dzisiaj na następujących maszynach: [Nazwy maszyn]

Taktyka MITRE: Trwałość

Ważność: Niska

Dodano nowy klucz SSH

Opis: Nowy klucz SSH został dodany do pliku autoryzowanych kluczy.

Taktyka MITRE: -

Ważność: Niska

Wykryto możliwe backdoor [widziane wiele razy]

Opis: Analiza danych hosta wykryła, że pobierany jest podejrzany plik, a następnie uruchamiany na serwerze %{Host z naruszeniem zabezpieczeń} w ramach subskrypcji. To działanie zostało wcześniej skojarzone z instalacją backdoor. To zachowanie było widoczne [x] razy dzisiaj na następujących maszynach: [Nazwy maszyn]

Taktyka MITRE: -

Ważność: średni rozmiar

Wykryto możliwe wykorzystanie serwera poczty

(VM_MailserverExploitation )

Opis: Analiza danych hosta na serwerze %{Naruszone bezpieczeństwo hosta} wykryła nietypowe wykonanie na koncie serwera poczty

Taktyka MITRE: Wyzysk

Ważność: średni rozmiar

Wykryto możliwą złośliwą powłokę sieci Web

(VM_KubernetesDashboard)

(AzureDNS_ProtocolAnomaly)

Opis: Analiza transakcji DNS z witryny %{CompromisedEntity} wykryła nietypowe użycie protokołu. Taki ruch, choć prawdopodobnie łagodny, może wskazywać na nadużycie tego wspólnego protokołu w celu obejścia filtrowania ruchu sieciowego. Typowe powiązane działania osoby atakujące obejmują kopiowanie narzędzi administracji zdalnej do hosta z naruszonym dostępem i eksfiltrowanie z niego danych użytkownika.

Taktyka MITRE: Eksfiltracja

Ważność: -

Działanie sieci anonimowości

(AzureDNS_DarkWeb)

Opis: Analiza transakcji DNS z witryny %{CompromisedEntity} wykryła aktywność sieci anonimowości. Takie działanie, choć prawdopodobnie uzasadnione zachowanie użytkowników, jest często stosowane przez osoby atakujące w celu uniknięcia śledzenia i odcisków palców komunikacji sieciowej. Typowe powiązane działania atakujące mogą obejmować pobieranie i wykonywanie złośliwego oprogramowania lub narzędzi administracji zdalnej.

Taktyka MITRE: Eksfiltracja

Ważność: Niska

Działanie sieci anonimowości przy użyciu internetowego serwera proxy

(AzureDNS_DarkWebProxy)

Taktyka MITRE: Eksfiltracja

Ważność: Niska

Podjęto próbę komunikacji z podejrzaną domeną sinkholed

(AzureDNS_SinkholedDomain)

Opis: Analiza transakcji DNS z witryny %{CompromisedEntity} wykryła żądanie dotyczące domeny sinkholed. Takie działanie, choć prawdopodobnie uzasadnione zachowanie użytkownika, jest często wskazaniem pobierania lub wykonywania złośliwego oprogramowania. Typowe działania związane z osobami atakującym mogą obejmować pobieranie i wykonywanie dalszych złośliwych programów lub narzędzi administracji zdalnej.

Taktyka MITRE: Eksfiltracja

Ważność: średni rozmiar

Komunikacja z możliwą domeną wyłudzania informacji

(AzureDNS_PhishingDomain)

Opis: Analiza transakcji DNS z witryny %{CompromisedEntity} wykryła żądanie dotyczące możliwej domeny wyłudzania informacji. Takie działanie, choć prawdopodobnie łagodne, jest często wykonywane przez osoby atakujące w celu zbierania poświadczeń do usług zdalnych. Typowe działanie osoby atakującej może obejmować wykorzystanie wszelkich poświadczeń w uzasadnionej usłudze.

Taktyka MITRE: Eksfiltracja

Ważność: informacyjna

Komunikacja z podejrzaną domeną wygenerowaną algorytmowo

(AzureDNS_DomainGenerationAlgorithm)

Opis: Analiza transakcji DNS z witryny %{CompromisedEntity} wykryła możliwe użycie algorytmu generowania domeny. Takie działanie, choć prawdopodobnie łagodne, jest często wykonywane przez osoby atakujące w celu uniknięcia monitorowania i filtrowania sieci. Typowe powiązane działania atakujące mogą obejmować pobieranie i wykonywanie złośliwego oprogramowania lub narzędzi administracji zdalnej.

Taktyka MITRE: Eksfiltracja

Ważność: informacyjna

Komunikacja z podejrzaną domeną zidentyfikowaną przez analizę zagrożeń

(AzureDNS_ThreatIntelSuspectDomain)

Taktyka MITRE: dostęp początkowy

Ważność: średni rozmiar

Komunikacja z podejrzaną losową nazwą domeny

(AzureDNS_RandomizedDomain)

Opis: Analiza transakcji DNS z witryny %{CompromisedEntity} wykryła użycie podejrzanej losowo wygenerowanej nazwy domeny. Takie działanie, choć prawdopodobnie łagodne, jest często wykonywane przez osoby atakujące w celu uniknięcia monitorowania i filtrowania sieci. Typowe powiązane działania atakujące mogą obejmować pobieranie i wykonywanie złośliwego oprogramowania lub narzędzi administracji zdalnej.

Taktyka MITRE: Eksfiltracja

Ważność: informacyjna

Działalność wydobywczy waluty cyfrowej

(AzureDNS_CurrencyMining)

Opis: Analiza transakcji DNS z %{CompromisedEntity} wykryła aktywność wyszukiwania walut cyfrowych. Takie działanie, choć prawdopodobnie uzasadnione zachowanie użytkowników, jest często wykonywane przez osoby atakujące po naruszeniu bezpieczeństwa zasobów. Typowe działania związane z osobami atakującym mogą obejmować pobieranie i wykonywanie typowych narzędzi do wyszukiwania.

Taktyka MITRE: Eksfiltracja

Ważność: Niska

Aktywacja podpisu wykrywania nieautoryzowanego dostępu do sieci

(AzureDNS_SuspiciousDomain)

Opis: Analiza transakcji DNS z witryny %{CompromisedEntity} wykryła znany złośliwy podpis sieciowy. Takie działanie, choć prawdopodobnie uzasadnione zachowanie użytkownika, jest często wskazaniem pobierania lub wykonywania złośliwego oprogramowania. Typowe działania związane z osobami atakującym mogą obejmować pobieranie i wykonywanie dalszych złośliwych programów lub narzędzi administracji zdalnej.

Taktyka MITRE: Eksfiltracja

Ważność: średni rozmiar

Możliwe pobieranie danych za pośrednictwem tunelu DNS

(AzureDNS_DataInfiltration)

Opis: Analiza transakcji DNS z witryny %{CompromisedEntity} wykryła możliwy tunel DNS. Takie działanie, choć prawdopodobnie uzasadnione zachowanie użytkowników, jest często wykonywane przez osoby atakujące w celu uniknięcia monitorowania i filtrowania sieci. Typowe powiązane działania atakujące mogą obejmować pobieranie i wykonywanie złośliwego oprogramowania lub narzędzi administracji zdalnej.

Taktyka MITRE: Eksfiltracja

Ważność: Niska

Możliwe eksfiltrowanie danych za pośrednictwem tunelu DNS

(AzureDNS_DataExfiltration)

Taktyka MITRE: Eksfiltracja

Ważność: Niska

Możliwe przesyłanie danych za pośrednictwem tunelu DNS

(AzureDNS_DataObfuscation)

Taktyka MITRE: Eksfiltracja

Ważność: Niska

Alerty dotyczące rozszerzeń maszyn wirtualnych platformy Azure

Te alerty koncentrują się na wykrywaniu podejrzanych działań rozszerzeń maszyn wirtualnych platformy Azure i zapewnia wgląd w próby naruszenia zabezpieczeń i wykonywania złośliwych działań na maszynach wirtualnych.

Rozszerzenia maszyn wirtualnych platformy Azure to małe aplikacje, które są uruchamiane po wdrożeniu na maszynach wirtualnych i zapewniają możliwości, takie jak konfiguracja, automatyzacja, monitorowanie, zabezpieczenia i inne. Rozszerzenia są zaawansowanym narzędziem, ale mogą być używane przez podmioty zagrożeń dla różnych złośliwych intencji, na przykład:

Zbieranie i monitorowanie danych
Wykonywanie kodu i wdrażanie konfiguracji z wysokimi uprawnieniami
Resetowanie poświadczeń i tworzenie użytkowników administracyjnych
Szyfrowanie dysków

Dowiedz się więcej na temat Defender dla Chmury najnowszych zabezpieczeń przed nadużyciami rozszerzeń maszyn wirtualnych platformy Azure.

Podejrzany błąd podczas instalowania rozszerzenia procesora GPU w ramach subskrypcji (wersja zapoznawcza)

(VM_GPUExtensionSuspiciousFailure)

Opis: Podejrzana intencja instalowania rozszerzenia procesora GPU na nieobsługiwanych maszynach wirtualnych. To rozszerzenie powinno być zainstalowane na maszynach wirtualnych wyposażonych w procesor graficzny, a w tym przypadku maszyny wirtualne nie są wyposażone w takie. Te błędy można zobaczyć, gdy złośliwi przeciwnicy wykonują wiele instalacji takiego rozszerzenia w celach kryptograficznych.

Taktyka MITRE: wpływ

Ważność: średni rozmiar

(VM_CustomScriptExtensionSuspiciousPayload)

Opis: Niestandardowe rozszerzenie skryptu z ładunkiem z podejrzanego repozytorium GitHub zostało wykryte na maszynie wirtualnej, analizując operacje usługi Azure Resource Manager w ramach subskrypcji. Osoby atakujące mogą używać niestandardowych rozszerzeń skryptów do wykonywania złośliwego kodu na maszynach wirtualnych za pośrednictwem usługi Azure Resource Manager.

Taktyka MITRE: Wykonywanie

Ważność: Wysoka

Dekodowany plik wykonywalny przy użyciu narzędzia certutil

(AppServices_ExecutableDecodedUsingCertutil)

Opis: Analiza danych hosta w [jednostce naruszonej] wykryła, że certutil.exe, wbudowane narzędzie administratora, było używane do dekodowania pliku wykonywalnego zamiast głównego przeznaczenia, który odnosi się do manipulowania certyfikatami i danymi certyfikatów. Osoby atakujące nadużywają funkcjonalności wiarygodnych narzędzi administratora w celu wykonania złośliwych akcji. Mogą na przykład użyć narzędzia, takiego jak certutil.exe, do dekodowania złośliwego pliku wykonywalnego, który następnie zostanie wykonany. (Dotyczy: App Service w systemie Windows)

Taktyka MITRE: Uchylanie się od obrony, egzekucja

Ważność: Wysoka

Wykryto zachowanie ataków bez plików

(AppServices_FilelessAttackBehaviorDetection)

Opis: pamięć procesu określonego poniżej zawiera zachowania często używane przez ataki bez plików. Konkretne zachowania obejmują: {lista obserwowanych zachowań} (dotyczy: App Service w systemie Windows i App Service dla systemu Linux)

Taktyka MITRE: Wykonywanie

Ważność: średni rozmiar

Wykryto technikę ataków bez plików

(AppServices_FilelessAttackTechniqueDetection)

Taktyka MITRE: Wykonywanie

Ważność: Wysoka

Wykryto zestaw narzędzi do ataków bez plików

(AppServices_FilelessAttackToolkitDetection)

Taktyka MITRE: Uchylanie się od obrony, egzekucja

Ważność: Wysoka

Microsoft Defender dla Chmury alert testowy dla usługi App Service (nie zagrożenie)

(AppServices_EICAR)

Opis: Jest to alert testowy wygenerowany przez Microsoft Defender dla Chmury. Nie trzeba wykonywać dalszych akcji. (Dotyczy: App Service w systemie Windows i App Service dla systemu Linux)

Taktyka MITRE: -

Ważność: Wysoka

Wykryto skanowanie NMap

(AppServices_Nmap)

Opis: aplikacja systemu Azure Dziennik aktywności usługi wskazuje możliwe działanie tworzenia odcisków palców w Internecie w zasobie usługi App Service. Wykryte podejrzane działanie jest skojarzone z NMAP. Osoby atakujące często używają tego narzędzia do sondowania aplikacji internetowej w celu znalezienia luk w zabezpieczeniach. (Dotyczy: App Service w systemie Windows i App Service dla systemu Linux)

Taktyka MITRE: PreAttack

Ważność: informacyjna

Wyłudzanie informacji hostowanej w aplikacjach internetowych platformy Azure

(AppServices_PhishingContent)

Opis: adres URL używany do ataku wyłudzania informacji w witrynie internetowej usługi aplikacja systemu Azure Services. Ten adres URL był częścią ataku wyłudzania informacji wysyłanego do klientów platformy Microsoft 365. Zawartość zwykle przyciąga odwiedzających do wprowadzania poświadczeń firmowych lub informacji finansowych w legalnej witrynie internetowej. (Dotyczy: App Service w systemie Windows i App Service dla systemu Linux)

Taktyka MITRE: Kolekcja

Ważność: Wysoka

Plik PHP w folderze przekazywania

(AppServices_PhpInUploadFolder)

Opis: aplikacja systemu Azure Dziennik aktywności usługi wskazuje dostęp do podejrzanej strony PHP znajdującej się w folderze przekazywania. Ten typ folderu zwykle nie zawiera plików PHP. Istnienie tego typu pliku może wskazywać na wykorzystanie wykorzystania dowolnych luk w zabezpieczeniach przekazywania plików. (Dotyczy: App Service w systemie Windows i App Service dla systemu Linux)

Taktyka MITRE: Wykonywanie

Ważność: średni rozmiar

Wykryto możliwe pobranie crypto bitcoinminer

(AppServices_CryptoCoinMinerDownload)

Opis: Analiza danych hosta wykryła pobieranie pliku zwykle skojarzonego z funkcją wyszukiwania walut cyfrowych. (Dotyczy: App Service dla systemu Linux)

Taktyka MITRE: Uchylanie się od obrony, dowodzenie i kontrola, wyzysk

Ważność: średni rozmiar

Wykryto możliwe eksfiltrację danych

(AppServices_DataEgressArtifacts)

Opis: Analiza danych hosta/urządzenia wykryła możliwy warunek ruchu wychodzącego danych. Osoby atakujące często wychodzą dane z maszyn, których bezpieczeństwo zostało naruszone. (Dotyczy: App Service dla systemu Linux)

Taktyka MITRE: Kolekcja, Eksfiltracja

Ważność: średni rozmiar

Wykryto potencjalny zwisając rekord DNS dla zasobu usługi App Service

(AppServices_PotentialDanglingDomain)

Opis: Wykryto rekord DNS wskazujący ostatnio usunięty zasób usługi App Service (znany również jako wpis "zwisająca dns". Może to spowodować podatność na przejęcie poddomeny. Przejęcia domen podrzędnych umożliwiają złośliwym podmiotom przekierowywanie ruchu przeznaczonego dla domeny organizacji do lokacji wykonującej złośliwe działania. W tym przypadku znaleziono rekord tekstowy z identyfikatorem weryfikacji domeny. Takie rekordy tekstowe uniemożliwiają przejęcie poddomeny, ale nadal zalecamy usunięcie domeny zwisającej. Jeśli pozostawisz rekord DNS wskazujący poddomenę, jesteś zagrożony, jeśli ktoś w organizacji usunie plik TXT lub rekord w przyszłości. (Dotyczy: App Service w systemie Windows i App Service dla systemu Linux)

Taktyka MITRE: -

Ważność: Niska

Wykryto potencjalną powłokę odwrotną

(AppServices_ReverseShell)

Opis: Analiza danych hosta wykryła potencjalną powłokę odwrotną. Są one używane do uzyskania naruszonej maszyny w celu wywołania z powrotem do maszyny, która jest właścicielem osoby atakującej. (Dotyczy: App Service dla systemu Linux)

Taktyka MITRE: Eksfiltracja, wyzysk

Ważność: średni rozmiar

Wykryto pobieranie nieprzetworzonych danych

(AppServices_DownloadCodeFromWebsite)

Opis: Analiza procesów usługi App Service wykryła próbę pobrania kodu z witryn internetowych nieprzetworzonych danych, takich jak Pastebin. Ta akcja została uruchomiona przez proces PHP. To zachowanie jest skojarzone z próbami pobrania powłok internetowych lub innych złośliwych składników do usługi App Service. (Dotyczy: App Service w systemie Windows)

Taktyka MITRE: Wykonywanie

Ważność: średni rozmiar

Zapisanie danych wyjściowych curl na dysku wykryto

(AppServices_CurlToDisk)

Opis: Analiza procesów usługi App Service wykryła uruchomienie polecenia curl, w którym dane wyjściowe zostały zapisane na dysku. Chociaż takie zachowanie może być uzasadnione, w aplikacjach internetowych takie zachowanie jest również obserwowane w złośliwych działaniach, takich jak próby zainfekowania witryn internetowych za pomocą powłok internetowych. (Dotyczy: App Service w systemie Windows)

Taktyka MITRE: -

Ważność: Niska

Wykryto odwołanie do folderu spamu

(AppServices_SpamReferrer)

Opis: aplikacja systemu Azure Dziennik aktywności usługi wskazuje działanie internetowe, które zostało zidentyfikowane jako pochodzące z witryny internetowej skojarzonej z działaniami niepożądanymi. Może się to zdarzyć, jeśli twoja witryna internetowa zostanie naruszona i użyta do działań niepożądanych. (Dotyczy: App Service w systemie Windows i App Service dla systemu Linux)

Taktyka MITRE: -

Ważność: Niska

Wykryto podejrzany dostęp do potencjalnie narażonej strony internetowej

(AppServices_ScanSensitivePage)

Opis: aplikacja systemu Azure Dziennik aktywności usługi wskazuje na stronę internetową, która wydaje się być wrażliwa. To podejrzane działanie pochodzi ze źródłowego adresu IP, którego wzorzec dostępu przypomina ten skaner internetowy. To działanie jest często kojarzone z próbą przeskanowania sieci przez osobę atakującą w celu uzyskania dostępu do poufnych lub narażonych stron internetowych. (Dotyczy: App Service w systemie Windows i App Service dla systemu Linux)

Taktyka MITRE: -

Ważność: Niska

Dokumentacja podejrzanych nazw domen

(AppServices_CommandlineSuspectDomain)

Opis: Analiza danych hosta wykrytych odwołań do podejrzanej nazwy domeny. Takie działanie, choć prawdopodobnie uzasadnione zachowanie użytkownika, jest często wskazaniem pobierania lub wykonywania złośliwego oprogramowania. Typowe działania związane z osobami atakującym mogą obejmować pobieranie i wykonywanie dalszych złośliwych programów lub narzędzi administracji zdalnej. (Dotyczy: App Service dla systemu Linux)

Taktyka MITRE: Eksfiltracja

Ważność: Niska

Wykryto podejrzane pobieranie przy użyciu narzędzia Certutil

(AppServices_DownloadUsingCertutil)

Opis: Analiza danych hosta w usłudze {NAME} wykryła użycie certutil.exe, wbudowanego narzędzia administratora do pobierania pliku binarnego zamiast głównego nurtu, który odnosi się do manipulowania certyfikatami i danymi certyfikatów. Osoby atakujące są znane z nadużyć funkcjonalności legalnych narzędzi administratora do wykonywania złośliwych akcji, na przykład przy użyciu certutil.exe do pobierania i dekodowania złośliwego pliku wykonywalnego, który następnie zostanie wykonany. (Dotyczy: App Service w systemie Windows)

Taktyka MITRE: Wykonywanie

Ważność: średni rozmiar

Wykryto podejrzane wykonywanie języka PHP

(AppServices_SuspectPhp)

Opis: Dzienniki maszyn wskazują, że jest uruchomiony podejrzany proces PHP. Akcja obejmowała próbę uruchomienia poleceń systemu operacyjnego lub kodu PHP z wiersza polecenia przy użyciu procesu PHP. Chociaż takie zachowanie może być uzasadnione, w aplikacjach internetowych takie zachowanie może wskazywać na złośliwe działania, takie jak próby zainfekowania witryn internetowych za pomocą powłok internetowych. (Dotyczy: App Service w systemie Windows i App Service dla systemu Linux)

Taktyka MITRE: Wykonywanie

Ważność: średni rozmiar

Wykonane podejrzane polecenia cmdlet programu PowerShell

(AppServices_PowerShellPowerSploitScriptExecution)

Opis: Analiza danych hosta wskazuje wykonywanie znanych złośliwych poleceń cmdlet programu PowerShell PowerSploit. (Dotyczy: App Service w systemie Windows)

Taktyka MITRE: Wykonywanie

Ważność: średni rozmiar

Wykonany podejrzany proces

(AppServices_KnownCredential AccessTools)

Opis: Dzienniki komputera wskazują, że podejrzany proces: "%{ścieżka procesu}" był uruchomiony na maszynie, często skojarzone z osobami atakującymi próbującymi uzyskać dostęp do poświadczeń. (Dotyczy: App Service w systemie Windows)

Taktyka MITRE: dostęp do poświadczeń

Ważność: Wysoka

Wykryto podejrzaną nazwę procesu

(AppServices_ProcessWithKnownSuspiciousExtension)

Opis: Analiza danych hosta w usłudze {NAME} wykryła proces, którego nazwa jest podejrzana, na przykład odpowiadająca znanemu narzędziu atakującemu lub nazwanej w sposób sugerujący narzędzia atakujące, które próbują ukryć się w zwykły widok. Ten proces może być uzasadnionym działaniem lub wskazaniem, że jeden z Twoich maszyn został naruszony. (Dotyczy: App Service w systemie Windows)

Taktyka MITRE: Trwałość, uchylanie się od obrony

Ważność: średni rozmiar

Wykonany podejrzany proces SVCHOST

(AppServices_SVCHostFromInvalidPath)

Opis: Proces systemowy SVCHOST zaobserwowano działanie w nietypowym kontekście. Złośliwe oprogramowanie często używa SVCHOST do maskowania złośliwych działań. (Dotyczy: App Service w systemie Windows)

Taktyka MITRE: Uchylanie się od obrony, egzekucja

Ważność: Wysoka

Wykryto podejrzanego agenta użytkownika

(AppServices_UserAgentInjection)

Opis: aplikacja systemu Azure Dziennik aktywności usługi wskazuje żądania z podejrzanym agentem użytkownika. To zachowanie może wskazywać na próby wykorzystania luki w zabezpieczeniach w aplikacji usługi App Service. (Dotyczy: App Service w systemie Windows i App Service dla systemu Linux)

Taktyka MITRE: dostęp początkowy

Ważność: informacyjna

Wykryto podejrzane wywołanie motywu WordPress

(AppServices_WpThemeInjection)

Opis: aplikacja systemu Azure Dziennik aktywności usługi wskazuje możliwe działanie iniekcji kodu w zasobie usługi App Service. Wykryte podejrzane działanie przypomina manipulację motywem WordPress w celu obsługi wykonywania kodu po stronie serwera, a następnie bezpośredniego żądania internetowego w celu wywołania manipulowanego pliku motywu. Ten rodzaj aktywności był postrzegany w przeszłości w ramach kampanii ataku nad WordPress. Jeśli zasób usługi App Service nie hostuje witryny WordPress, nie jest narażony na wykorzystanie tego konkretnego kodu i można bezpiecznie pominąć ten alert dla zasobu. Aby dowiedzieć się, jak pomijać alerty zabezpieczeń, zobacz Pomijanie alertów z Microsoft Defender dla Chmury. (Dotyczy: App Service w systemie Windows i App Service dla systemu Linux)

Taktyka MITRE: Wykonywanie

Ważność: Wysoka

Wykryto skaner luk w zabezpieczeniach

(AppServices_DrupalScanner)

Opis: aplikacja systemu Azure Dziennik aktywności usługi wskazuje, że w zasobie usługi App Service użyto możliwego skanera luk w zabezpieczeniach. Wykryte podejrzane działanie przypomina narzędzia przeznaczone dla systemu zarządzania zawartością (CMS). Jeśli zasób usługi App Service nie hostuje witryny Drupal, nie jest narażony na wykorzystanie tego konkretnego kodu wykorzystującego wstrzyknięcie kodu i można bezpiecznie pominąć ten alert dla zasobu. Aby dowiedzieć się, jak pomijać alerty zabezpieczeń, zobacz Pomijanie alertów z Microsoft Defender dla Chmury. (Dotyczy: App Service w systemie Windows)

Taktyka MITRE: PreAttack

Ważność: Niska

Wykryto skaner luk w zabezpieczeniach

(AppServices_JoomlaScanner)

Opis: aplikacja systemu Azure Dziennik aktywności usługi wskazuje, że w zasobie usługi App Service użyto możliwego skanera luk w zabezpieczeniach. Wykryte podejrzane działanie przypomina narzędzia przeznaczone dla aplikacji Firmy. Jeśli zasób usługi App Service nie jest hostem witryny Firmy Niżej, nie jest narażony na wykorzystanie tego konkretnego kodu wykorzystującego iniekcję kodu i można bezpiecznie pominąć ten alert dla zasobu. Aby dowiedzieć się, jak pomijać alerty zabezpieczeń, zobacz Pomijanie alertów z Microsoft Defender dla Chmury. (Dotyczy: App Service w systemie Windows i App Service dla systemu Linux)

Taktyka MITRE: PreAttack

Ważność: Niska

Wykryto skaner luk w zabezpieczeniach

(AppServices_WpScanner)

Opis: aplikacja systemu Azure Dziennik aktywności usługi wskazuje, że w zasobie usługi App Service użyto możliwego skanera luk w zabezpieczeniach. Wykryte podejrzane działanie przypomina narzędzia przeznaczone dla aplikacji WordPress. Jeśli zasób usługi App Service nie hostuje witryny WordPress, nie jest narażony na wykorzystanie tego konkretnego kodu i można bezpiecznie pominąć ten alert dla zasobu. Aby dowiedzieć się, jak pomijać alerty zabezpieczeń, zobacz Pomijanie alertów z Microsoft Defender dla Chmury. (Dotyczy: App Service w systemie Windows i App Service dla systemu Linux)

Taktyka MITRE: PreAttack

Ważność: Niska

Wykryto odciski palców sieci Web

(AppServices_WebFingerprinting)

Opis: aplikacja systemu Azure Dziennik aktywności usługi wskazuje możliwe działanie tworzenia odcisków palców w Internecie w zasobie usługi App Service. Wykryte podejrzane działanie jest skojarzone z narzędziem o nazwie Blind Elephant. Narzędzie odcisk palca serwerów internetowych i próbuje wykryć zainstalowane aplikacje i wersję. Osoby atakujące często używają tego narzędzia do sondowania aplikacji internetowej w celu znalezienia luk w zabezpieczeniach. (Dotyczy: App Service w systemie Windows i App Service dla systemu Linux)

Taktyka MITRE: PreAttack

Ważność: średni rozmiar

Witryna internetowa jest oznaczona jako złośliwa w kanale analizy zagrożeń

(AppServices_SmartScreen)

Opis: Witryna internetowa, jak opisano poniżej, jest oznaczona jako złośliwa witryna przez filtr Windows SmartScreen. Jeśli uważasz, że jest to wynik fałszywie dodatni, skontaktuj się z filtrem Windows SmartScreen za pośrednictwem podanego linku opinii o raporcie. (Dotyczy: App Service w systemie Windows i App Service dla systemu Linux)

Taktyka MITRE: Kolekcja

(K8S. NODE_SuspectUserAddition) ¹

Opis: Analiza procesów uruchomionych w kontenerze lub bezpośrednio w węźle Kubernetes wykryła podejrzane użycie polecenia useradd.

Taktyka MITRE: Trwałość

Ważność: średni rozmiar

Wykryto kontener wyszukiwania walut cyfrowych

(K8S_MaliciousContainerImage) ³

Opis: Analiza dziennika inspekcji kubernetes wykryła kontener, który ma obraz skojarzony z narzędziem do wyszukiwania walut cyfrowych.

Taktyka MITRE: Wykonywanie

Ważność: Wysoka

Opis: Analiza procesów uruchomionych w kontenerze lub bezpośrednio w węźle Kubernetes wykryła podejrzany proces. Jest to często związane z agentem MITRE 54ndc47, który może być używany złośliwie do ataku na inne maszyny.

Taktyka MITRE: Trwałość, PrivilegeEscalation, DefenseEvasion, CredentialAccess, Discovery, LateralMovement, Execution, Collection, Exfiltration, Command and Control, Sondowanie, Wykorzystywanie

Ważność: średni rozmiar

¹: Wersja zapoznawcza klastrów innych niż AKS: ten alert jest ogólnie dostępny dla klastrów usługi AKS, ale jest w wersji zapoznawczej dla innych środowisk, takich jak Azure Arc, EKS i GKE.

²: Ograniczenia dotyczące klastrów GKE: usługa GKE używa zasad inspekcji platformy Kubernetes, które nie obsługują wszystkich typów alertów. W związku z tym ten alert zabezpieczeń, który jest oparty na zdarzeniach inspekcji platformy Kubernetes, nie jest obsługiwany w przypadku klastrów GKE.

³: Ten alert jest obsługiwany w węzłach/kontenerach systemu Windows.

Alerty dotyczące usług SQL Database i Azure Synapse Analytics

Dalsze szczegóły i uwagi

Możliwa luka w zabezpieczeniach dotycząca wstrzyknięcia kodu SQL

(SQL. DB_VulnerabilityToSqlInjection SQL. VM_VulnerabilityToSqlInjection SQL.MI_VulnerabilityToSqlInjection SQL. DW_VulnerabilityToSqlInjection Synapse.SQLPool_VulnerabilityToSqlInjection)

Opis: aplikacja wygenerowała wadliwą instrukcję SQL w bazie danych. Może to wskazywać na możliwą lukę w zabezpieczeniach przed atakami polegającymi na wstrzyknięciu kodu SQL. Istnieją dwa możliwe przyczyny błędnej instrukcji. Usterka w kodzie aplikacji mogła skonstruować wadliwą instrukcję SQL. Lub kod aplikacji lub procedury składowane nie oczyszczały danych wejściowych użytkownika podczas konstruowania błędnej instrukcji SQL, która może być wykorzystywana do wstrzykiwania kodu SQL.

Taktyka MITRE: PreAttack

Ważność: średni rozmiar

Próba logowania przez potencjalnie szkodliwą aplikację

(SQL. DB_HarmfulApplication SQL. VM_HarmfulApplication SQL.MI_HarmfulApplication SQL. DW_HarmfulApplication Synapse.SQLPool_HarmfulApplication)

Opis: Potencjalnie szkodliwa aplikacja próbowała uzyskać dostęp do zasobu.

Taktyka MITRE: PreAttack

Ważność: Wysoka

Logowanie z nietypowego centrum danych platformy Azure

(SQL. DB_DataCenterAnomaly SQL. VM_DataCenterAnomaly SQL. DW_DataCenterAnomaly SQL.MI_DataCenterAnomaly Synapse.SQLPool_DataCenterAnomaly)

Opis: Nastąpiła zmiana wzorca dostępu do programu SQL Server, w którym ktoś zalogował się do serwera z nietypowego centrum danych platformy Azure. W niektórych przypadkach alert wykrywa legalną akcję (nową aplikację lub usługę platformy Azure). W innych przypadkach alert wykrywa złośliwą akcję (atakujący działa z naruszonego zasobu na platformie Azure).

Taktyka MITRE: Sondowanie

Ważność: Niska

Logowanie z nietypowej lokalizacji

(SQL. DB_GeoAnomaly SQL. VM_GeoAnomaly SQL. DW_GeoAnomaly SQL.MI_GeoAnomaly Synapse.SQLPool_GeoAnomaly)

Opis: Nastąpiła zmiana wzorca dostępu do programu SQL Server, w którym ktoś zalogował się do serwera z nietypowej lokalizacji geograficznej. W niektórych przypadkach ten alert wykrywa prawidłowe działanie (nowa aplikacja lub konserwacja przeprowadzana przez deweloperów). W innych przypadkach alert wykrywa złośliwe działanie (byłego pracownika lub zewnętrznego atakującego).

Taktyka MITRE: Wyzysk

Ważność: średni rozmiar

(SQL. DB_PrincipalAnomaly SQL. VM_PrincipalAnomaly SQL. DW_PrincipalAnomaly SQL.MI_PrincipalAnomaly Synapse.SQLPool_PrincipalAnomaly)

Opis: Główny użytkownik, który nie był widoczny w ciągu ostatnich 60 dni, zalogował się do bazy danych. Jeśli ta baza danych jest nowa lub jest to oczekiwane zachowanie spowodowane ostatnimi zmianami w użytkownikach, którzy uzyskują dostęp do bazy danych, Defender dla Chmury zidentyfikuje istotne zmiany wzorców dostępu i spróbuje zapobiec przyszłym wynikom fałszywie dodatnim.

Taktyka MITRE: Wyzysk

Ważność: średni rozmiar

(SQL. DB_DomainAnomaly SQL. VM_DomainAnomaly SQL. DW_DomainAnomaly SQL.MI_DomainAnomaly Synapse.SQLPool_DomainAnomaly)

Opis: Użytkownik zalogował się do zasobu z domeny, z którego żaden inny użytkownik nie nawiązał połączenia w ciągu ostatnich 60 dni. Jeśli ten zasób jest nowy lub jest to oczekiwane zachowanie spowodowane ostatnimi zmianami w użytkownikach, którzy uzyskują dostęp do zasobu, Defender dla Chmury zidentyfikuje istotne zmiany wzorców dostępu i spróbuje zapobiec przyszłym wynikom fałszywie dodatnim.

Taktyka MITRE: Wyzysk

Ważność: średni rozmiar

(SQL. VM_PotentialSqlInjection)

Opis: Ktoś zainicjował nowy ładunek korzystający z warstwy w programie SQL Server, która komunikuje się z systemem operacyjnym, ukrywając polecenie w zapytaniu SQL. Osoby atakujące często ukrywają mające wpływ polecenia, które są często monitorowane, takie jak xp_cmdshell, sp_add_job i inne. Techniki zaciemniania nadużywają uzasadnionych poleceń, takich jak łączenie ciągów, rzutowanie, zmiana podstawy i inne, aby uniknąć wykrywania wyrażeń regularnych i zaszkodzić czytelności dzienników.

(SQL. PostgreSQL_HarmfulApplication SQL. MariaDB_HarmfulApplication SQL. MySQL_HarmfulApplication)

Opis: Potencjalnie szkodliwa aplikacja próbowała uzyskać dostęp do zasobu.

Taktyka MITRE: PreAttack

Ważność: Wysoka

(SQL. PostgreSQL_PrincipalAnomaly SQL. MariaDB_PrincipalAnomaly SQL. MySQL_PrincipalAnomaly)

Taktyka MITRE: Wyzysk

Ważność: średni rozmiar

(SQL. MariaDB_DomainAnomaly SQL. PostgreSQL_DomainAnomaly SQL. MySQL_DomainAnomaly)

Taktyka MITRE: Wyzysk

Ważność: średni rozmiar

Logowanie z nietypowego centrum danych platformy Azure

(SQL. PostgreSQL_DataCenterAnomaly SQL. MariaDB_DataCenterAnomaly SQL. MySQL_DataCenterAnomaly)

(ARM_OperationFromSuspiciousProxyIP)

Opis: Usługa Microsoft Defender dla usługi Resource Manager wykryła operację zarządzania zasobami z adresu IP skojarzonego z usługami proxy, takimi jak TOR. Chociaż to zachowanie może być uzasadnione, często występuje w złośliwych działaniach, gdy aktorzy zagrożeń próbują ukryć źródłowy adres IP.

Taktyka MITRE: Uchylanie się od obrony

Ważność: średni rozmiar

Zestaw narzędzi do wykorzystywania mikroburst używany do wyliczania zasobów w subskrypcjach

(ARM_MicroBurst.AzDomainInfo)

Opis: Skrypt programu PowerShell został uruchomiony w ramach subskrypcji i wykonał podejrzany wzorzec wykonywania operacji zbierania informacji w celu odnajdywania zasobów, uprawnień i struktur sieciowych. Aktorzy zagrożeń używają zautomatyzowanych skryptów, takich jak MicroBurst, do zbierania informacji o złośliwych działaniach. Wykryto to przez analizowanie operacji usługi Azure Resource Manager w ramach subskrypcji. Ta operacja może wskazywać, że tożsamość w organizacji została naruszona i że aktor zagrożeń próbuje naruszyć bezpieczeństwo środowiska pod kątem złośliwych intencji.

Taktyka MITRE: -

Ważność: Niska

(Storage.Blob_SuspiciousApp)

Opis: wskazuje, że podejrzana aplikacja pomyślnie uzyskała dostęp do kontenera konta magazynu z uwierzytelnianiem. Może to oznaczać, że osoba atakująca uzyskała poświadczenia niezbędne do uzyskania dostępu do konta i wykorzystuje je. Może to być również wskazanie testu penetracyjnego przeprowadzonego w organizacji. Dotyczy: Azure Blob Storage, Azure Data Lake Storage Gen2

Taktyka MITRE: dostęp początkowy

Ważność: wysoka/średnia

Dostęp z podejrzanego adresu IP

(Storage.Blob_SuspiciousIp Storage.Files_SuspiciousIp)

Opis: wskazuje, że dostęp do tego konta magazynu został pomyślnie uzyskany z adresu IP, który jest uważany za podejrzany. Ten alert jest obsługiwany przez usługę Microsoft Threat Intelligence. Dowiedz się więcej o możliwościach analizy zagrożeń firmy Microsoft. Dotyczy: Azure Blob Storage, Azure Files, Azure Data Lake Storage Gen2

Taktyka MITRE: Atak przed atakiem

Ważność: Wysoki/Średni/Niski

Wyłudzanie informacji hostowanych na koncie magazynu

(Storage.Blob_PhishingContent Storage.Files_PhishingContent)

Opis: adres URL używany w ataku wyłudzania informacji wskazuje konto usługi Azure Storage. Ten adres URL był częścią ataku wyłudzającego informacje mającego wpływ na użytkowników platformy Microsoft 365. Zazwyczaj zawartość hostowana na takich stronach jest przeznaczona do wprowadzania poświadczeń firmowych lub informacji finansowych do formularza internetowego, który wygląda legalnie. Ten alert jest obsługiwany przez usługę Microsoft Threat Intelligence. Dowiedz się więcej o możliwościach analizy zagrożeń firmy Microsoft. Dotyczy: Azure Blob Storage, Azure Files

Taktyka MITRE: Kolekcja

Ważność: Wysoka

Konto magazynu zidentyfikowane jako źródło dystrybucji złośliwego oprogramowania

(Storage.Files_WidespreadeAm)

Opis: Alerty ochrony przed złośliwym kodem wskazują, że zainfekowane pliki są przechowywane w udziale plików platformy Azure zainstalowanym na wielu maszynach wirtualnych. Jeśli osoby atakujące uzyskają dostęp do maszyny wirtualnej z zainstalowanym udziałem plików platformy Azure, mogą użyć go do rozpowszechniania złośliwego oprogramowania na innych maszynach wirtualnych, które zainstalują ten sam udział. Dotyczy: Azure Files

Taktyka MITRE: Wykonywanie

Ważność: średni rozmiar

Poziom dostępu potencjalnie poufnego kontenera obiektów blob magazynu został zmieniony, aby umożliwić nieuwierzytelniony dostęp publiczny

(Storage.Blob_OpenACL)

Opis: Alert wskazuje, że ktoś zmienił poziom dostępu kontenera obiektów blob na koncie magazynu, który może zawierać dane poufne, na poziomie "Kontener", aby zezwolić na dostęp publiczny nieuwierzytelniony (anonimowy). Ta zmiana została wprowadzona za pośrednictwem witryny Azure Portal. Na podstawie analizy statystycznej kontener obiektów blob jest oflagowany jako prawdopodobnie zawierający poufne dane. Ta analiza sugeruje, że kontenery obiektów blob lub konta magazynu o podobnych nazwach zwykle nie są widoczne dla dostępu publicznego. Dotyczy: konta magazynu usługi Azure Blob (Standardowa ogólnego przeznaczenia w wersji 2, Azure Data Lake Storage Gen2 lub blokowych obiektów blob w warstwie Premium).

Taktyka MITRE: Kolekcja

Ważność: średni rozmiar

Uwierzytelniony dostęp z węzła zakończenia tor

(Storage.Blob_TorAnomaly Storage.Files_TorAnomaly)

Opis: Co najmniej jeden kontener magazynu/ udziały plików na koncie magazynu zostały pomyślnie udostępnione z adresu IP znanego jako aktywny węzeł wyjścia Tor (anonimizujący serwer proxy). Aktorzy zagrożeń używają platformy Tor, aby utrudnić śledzenie działania z powrotem do nich. Uwierzytelniony dostęp z węzła wyjścia Tor jest prawdopodobnie wskazaniem, że aktor zagrożeń próbuje ukryć swoją tożsamość. Dotyczy: Azure Blob Storage, Azure Files, Azure Data Lake Storage Gen2

Taktyka MITRE: wstępny dostęp / atak wstępny

Ważność: wysoka/średnia

Dostęp z nietypowej lokalizacji do konta magazynu

(Storage.Blob_GeoAnomaly Storage.Files_GeoAnomaly)

Opis: wskazuje, że nastąpiła zmiana wzorca dostępu do konta usługi Azure Storage. Ktoś uzyskał dostęp do tego konta z adresu IP uważanego za nieznane w porównaniu z ostatnim działaniem. Osoba atakująca uzyskała dostęp do konta lub uprawniony użytkownik nawiązał połączenie z nowej lub nietypowej lokalizacji geograficznej. Przykładem tej drugiej jest zdalna konserwacja z nowej aplikacji lub dewelopera. Dotyczy: Azure Blob Storage, Azure Files, Azure Data Lake Storage Gen2

Taktyka MITRE: dostęp początkowy

Ważność: Wysoki/Średni/Niski

Nieuwierzytelniony dostęp do kontenera magazynu

(Storage.Blob_AnonymousAccessAnomaly)

Opis: To konto magazynu było dostępne bez uwierzytelniania, co stanowi zmianę wspólnego wzorca dostępu. Dostęp do odczytu do tego kontenera jest zwykle uwierzytelniany. Może to wskazywać, że aktor zagrożenia mógł wykorzystać publiczny dostęp do odczytu do kontenerów magazynu na tych kontach magazynu. Dotyczy: Azure Blob Storage

Taktyka MITRE: dostęp początkowy

Ważność: Wysoka/Niska

Potencjalne złośliwe oprogramowanie przekazane na konto magazynu

(Storage.Blob_MalwareHashReputation Storage.Files_MalwareHashReputation)

Opis: wskazuje, że obiekt blob zawierający potencjalne złośliwe oprogramowanie został przekazany do kontenera obiektów blob lub udziału plików na koncie magazynu. Ten alert jest oparty na analizie reputacji skrótów wykorzystującej możliwości analizy zagrożeń firmy Microsoft, która obejmuje skróty wirusów, trojanów, programów szpiegujących i oprogramowania wymuszającego okup. Potencjalne przyczyny mogą obejmować celowe przekazywanie złośliwego oprogramowania przez osobę atakującą lub niezamierzone przekazanie potencjalnie złośliwego obiektu blob przez uprawnionego użytkownika. Dotyczy: Azure Blob Storage, Azure Files (tylko dla transakcji za pośrednictwem interfejsu API REST) Dowiedz się więcej o możliwościach analizy zagrożeń firmy Microsoft.

Taktyka MITRE: Ruch boczny

Ważność: Wysoka

Pomyślnie odnaleziono publicznie dostępne kontenery magazynu

(Storage.Blob_OpenContainersScanning.SuccessfulDiscovery)

Opis: Pomyślne odnajdywanie publicznie otwartych kontenerów magazynu na koncie magazynu zostało wykonane w ciągu ostatniej godziny przez skrypt skanowania lub narzędzie.

Zwykle wskazuje to na atak rekonesansu, w którym aktor zagrożenia próbuje wyświetlić listę obiektów blob przez odgadnięcie nazw kontenerów, w nadziei na znalezienie nieprawidłowo skonfigurowanych otwartych kontenerów magazynu z poufnymi danymi w nich.

Aktor zagrożeń może używać własnego skryptu lub używać znanych narzędzi do skanowania, takich jak Microburst, do skanowania pod kątem publicznie otwartych kontenerów.

✔ Azure Blob Storage ✖ Azure Files ✖ Azure Data Lake Storage Gen2

Taktyka MITRE: Kolekcja

Ważność: wysoka/średnia

Nie powiodło się skanowanie publicznie dostępnych kontenerów magazynu

(Storage.Blob_OpenContainersScanning.FailedAttempt)

Opis: W ciągu ostatniej godziny wykonano serię nieudanych prób skanowania pod kątem publicznie otwartych kontenerów magazynu.

Opis: Alert wskazuje, że złośliwy obiekt blob został pobrany z konta magazynu. Potencjalne przyczyny mogą obejmować złośliwe oprogramowanie, które zostało przekazane na konto magazynu, a nie zostało usunięte lub poddane kwarantannie, dzięki czemu aktor zagrożenia może go pobrać lub niezamierzone pobranie złośliwego oprogramowania przez uprawnionych użytkowników lub aplikacje. Dotyczy: konta usługi Azure Blob (Standardowa ogólnego przeznaczenia w wersji 2, Azure Data Lake Storage Gen2 lub blokowych obiektów blob w warstwie Premium) z nowym planem usługi Defender for Storage z włączoną funkcją skanowania złośliwego oprogramowania.

Taktyka MITRE: Ruch boczny

Ważność: Wysoka, jeśli Eicar - niska

Alerty dotyczące usługi Azure Cosmos DB

Dalsze szczegóły i uwagi

Dostęp z węzła zakończenia tor

(CosmosDB_TorAnomaly)

Opis: To konto usługi Azure Cosmos DB zostało pomyślnie użyte z adresu IP znanego jako aktywny węzeł wyjścia tor, anonimizujący serwer proxy. Uwierzytelniony dostęp z węzła wyjścia Tor jest prawdopodobnie wskazaniem, że aktor zagrożeń próbuje ukryć swoją tożsamość.

Taktyka MITRE: dostęp początkowy

Ważność: wysoka/średnia

Dostęp z podejrzanego adresu IP

(CosmosDB_SuspiciousIp)

Opis: To konto usługi Azure Cosmos DB zostało pomyślnie pobrane z adresu IP, który został zidentyfikowany jako zagrożenie przez usługę Microsoft Threat Intelligence.

Taktyka MITRE: dostęp początkowy

Ważność: średni rozmiar

Dostęp z nietypowej lokalizacji

(CosmosDB_GeoAnomaly)

Opis: Do tego konta usługi Azure Cosmos DB uzyskiwano dostęp z lokalizacji uważanej za nieznane na podstawie zwykłego wzorca dostępu.

Aktor zagrożenia uzyskał dostęp do konta lub uprawniony użytkownik nawiązał połączenie z nowej lub nietypowej lokalizacji geograficznej

Taktyka MITRE: dostęp początkowy

Ważność: Niska

Nietypowa ilość wyodrębnionych danych

(CosmosDB_DataExfiltrationAnomaly)

Opis: Niezwykle duża ilość danych została wyodrębniona z tego konta usługi Azure Cosmos DB. Może to wskazywać, że aktor zagrożeń eksfiltrował dane.

Taktyka MITRE: Eksfiltracja

Ważność: średni rozmiar

Wyodrębnianie kluczy kont usługi Azure Cosmos DB za pośrednictwem potencjalnie złośliwego skryptu

(CosmosDB_SuspiciousListKeys.MaliciousScript)

Opis: Skrypt programu PowerShell został uruchomiony w ramach subskrypcji i wykonał podejrzany wzorzec operacji listy kluczy, aby pobrać klucze kont usługi Azure Cosmos DB w ramach subskrypcji. Aktorzy zagrożeń używają zautomatyzowanych skryptów, takich jak Microburst, do wyświetlania listy kluczy i znajdowania kont usługi Azure Cosmos DB, do których mogą uzyskiwać dostęp.

Ta operacja może wskazywać, że tożsamość w organizacji została naruszona i że aktor zagrożeń próbuje naruszyć zabezpieczenia kont usługi Azure Cosmos DB w środowisku pod kątem złośliwych intencji.

Alternatywnie złośliwy insider może próbować uzyskać dostęp do poufnych danych i przeprowadzić przenoszenie boczne.

Taktyka MITRE: Kolekcja

Ważność: średni rozmiar

Podejrzane wyodrębnianie kluczy konta usługi Azure Cosmos DB (AzureCosmosDB_SuspiciousListKeys.SuspiciousPrincipal)

Opis: podejrzane źródło wyodrębniło klucze dostępu konta usługi Azure Cosmos DB z subskrypcji. Jeśli to źródło nie jest legalnym źródłem, może to być problem o dużym wpływie. Wyodrębniony klucz dostępu zapewnia pełną kontrolę nad skojarzonymi bazami danych i przechowywanymi w nim danymi. Zobacz szczegóły każdego konkretnego alertu, aby dowiedzieć się, dlaczego źródło zostało oznaczone jako podejrzane.

Taktyka MITRE: dostęp do poświadczeń

Ważność: wysoka

Wstrzyknięcie kodu SQL: potencjalna eksfiltracja danych

(CosmosDB_SqlInjection.DataExfiltration)

Opis: do wykonywania zapytań dotyczących kontenera na tym koncie usługi Azure Cosmos DB użyto podejrzanej instrukcji SQL.

Instrukcja wstrzykiwana mogła pomyślnie eksfiltrować dane, do których aktor zagrożenia nie ma autoryzacji dostępu.

Ze względu na strukturę i możliwości zapytań usługi Azure Cosmos DB wiele znanych ataków polegających na wstrzyknięciu kodu SQL na kontach usługi Azure Cosmos DB nie może działać. Jednak odmiana używana w tym ataku może działać, a podmioty zagrożeń mogą eksfiltrować dane.

Taktyka MITRE: Eksfiltracja

Ważność: średni rozmiar

Wstrzyknięcie kodu SQL: próba rozmycia

(CosmosDB_SqlInjection.FailedFuzzingAttempt)

Opis: do wykonywania zapytań dotyczących kontenera na tym koncie usługi Azure Cosmos DB użyto podejrzanej instrukcji SQL.

Podobnie jak w przypadku innych dobrze znanych ataków polegających na wstrzyknięciu kodu SQL, ten atak nie powiedzie się z naruszeniem konta usługi Azure Cosmos DB.

Niemniej jednak oznacza to, że aktor zagrożeń próbuje zaatakować zasoby na tym koncie, a twoja aplikacja może zostać naruszona.

Niektóre ataki polegających na wstrzyknięciu kodu SQL mogą zakończyć się powodzeniem i użyć ich do eksfiltracji danych. Oznacza to, że jeśli osoba atakująca nadal wykonuje próby wstrzyknięcia kodu SQL, może być w stanie naruszyć bezpieczeństwo konta usługi Azure Cosmos DB i eksfiltrować dane.

To zagrożenie można zapobiec przy użyciu sparametryzowanych zapytań.

Ważność: średni rozmiar

Alerty usługi Azure DDoS Protection

Dalsze szczegóły i uwagi

Wykryto atak DDoS dla publicznego adresu IP

(NETWORK_DDOS_DETECTED)

Opis: Atak DDoS wykryty dla publicznego adresu IP (adresu IP) i jest ograniczany.

Taktyka MITRE: Sondowanie

Ważność: Wysoka

Atak DDoS ograniczany dla publicznego adresu IP

(NETWORK_DDOS_MITIGATED)

Na poniższych listach znajdują się alerty zabezpieczeń usługi Defender for Containers, które zostały uznane za przestarzałe.

Wykryto manipulowanie zaporą hosta

(K8S. NODE_FirewallDisabled)

Opis: Analiza procesów uruchomionych w kontenerze lub bezpośrednio w węźle Kubernetes wykryła możliwą manipulację zaporą na hoście. Osoby atakujące często wyłączają to w celu eksfiltracji danych.

TAKTYKA MITRE: DefenseEvasion, Eksfiltracja

Ważność: średni rozmiar

Podejrzane użycie systemu DNS za pośrednictwem protokołu HTTPS

(K8S. NODE_SuspiciousDNSOverHttps)

Opis: Analiza procesów uruchomionych w kontenerze lub bezpośrednio w węźle Kubernetes wykryła użycie wywołania DNS za pośrednictwem protokołu HTTPS w nietypowy sposób. Ta technika jest używana przez osoby atakujące do ukrywania wywołań podejrzanych lub złośliwych witryn.

TAKTYKA MITRE: DefenseEvasion, Eksfiltracja

Ważność: średni rozmiar

Wykryto możliwe połączenie ze złośliwą lokalizacją.

(K8S. NODE_ThreatIntelCommandLineSuspectDomain)

Opis: Analiza procesów uruchomionych w kontenerze lub bezpośrednio w węźle Kubernetes wykryła połączenie z lokalizacją, która została zgłoszona jako złośliwa lub nietypowa. Jest to wskaźnik, że mogło dojść do naruszenia zabezpieczeń.

Taktyka MITRE: InitialAccess

Ważność: średni rozmiar

Działalność wydobywczy waluty cyfrowej

(K8S. NODE_CurrencyMining)

Opis: Analiza transakcji DNS wykryła aktywność wyszukiwania walut cyfrowych. Takie działanie, choć prawdopodobnie uzasadnione zachowanie użytkowników, jest często wykonywane przez osoby atakujące po naruszeniu bezpieczeństwa zasobów. Typowe działania związane z osobami atakującym mogą obejmować pobieranie i wykonywanie typowych narzędzi do wyszukiwania.

Taktyka MITRE: Eksfiltracja

Nazwa wyświetlana alertu: wykryto możliwą złośliwą powłokę sieci Web

Nazwa wyświetlana alertu: wykryto wyłączenie usług krytycznych

Ważność: średni rozmiar

Defender dla Chmury obsługiwane intencje łańcucha zabić są oparte na wersji 9 macierzy MITRE ATT&CK i opisane w poniższej tabeli.

Taktyka	Wersja ATT&CK	opis
Atak wstępny		Atak wstępny może być próbą uzyskania dostępu do określonego zasobu niezależnie od złośliwego zamiaru lub nieudanej próby uzyskania dostępu do systemu docelowego w celu zebrania informacji przed wykorzystaniem. Ten krok jest zwykle wykrywany jako próba, pochodząca z zewnątrz sieci, w celu skanowania systemu docelowego i identyfikowania punktu wejścia.
Dostęp początkowy	V7, V9	Początkowy dostęp to etap, w którym atakujący może uzyskać przyczółek na zaatakowany zasób. Ten etap jest istotny dla hostów obliczeniowych i zasobów, takich jak konta użytkowników, certyfikaty itp. Aktorzy zagrożeń często mogą kontrolować zasób po tym etapie.
Trwałość	V7, V9	Trwałość to każda zmiana dostępu, akcji lub konfiguracji w systemie, który zapewnia aktorowi zagrożenia trwałą obecność w tym systemie. Podmioty zagrożeń często muszą utrzymywać dostęp do systemów przez przerwy, takie jak ponowne uruchamianie systemu, utrata poświadczeń lub inne błędy, które wymagają ponownego uruchomienia narzędzia dostępu zdalnego lub zapewnienia alternatywnej bazy danych w celu odzyskania dostępu.
Eskalacja uprawnień	V7, V9	Eskalacja uprawnień jest wynikiem akcji, które umożliwiają przeciwnikowi uzyskanie wyższego poziomu uprawnień w systemie lub sieci. Niektóre narzędzia lub akcje wymagają wyższego poziomu uprawnień do pracy i są prawdopodobnie niezbędne w wielu punktach operacji. Konta użytkowników z uprawnieniami dostępu do określonych systemów lub wykonywania określonych funkcji niezbędnych dla przeciwników do osiągnięcia celu mogą być również uważane za eskalację uprawnień.
Uchylanie się od obrony	V7, V9	Uchylanie się od obrony składa się z technik, których przeciwnik może użyć do uniknięcia wykrywania lub unikania innych obrony. Czasami te akcje są takie same jak techniki (lub odmiany) w innych kategoriach, które mają dodatkową korzyść z odwrócenia konkretnej obrony lub ograniczania ryzyka.
Dostęp poświadczeń	V7, V9	Dostęp poświadczeń reprezentuje techniki, co powoduje dostęp do systemu, domeny lub poświadczeń usługi używanych w środowisku przedsiębiorstwa lub kontroli nad tym, czy nie. Przeciwnicy prawdopodobnie podejmą próbę uzyskania wiarygodnych poświadczeń od użytkowników lub kont administratorów (administrator systemu lokalnego lub użytkowników domeny z dostępem administratora) do użycia w sieci. Mając wystarczający dostęp w sieci, atakujący może utworzyć konta do późniejszego użycia w środowisku.
Odnajdywanie	V7, V9	Odnajdywanie składa się z technik, które umożliwiają przeciwnikowi uzyskanie wiedzy na temat systemu i sieci wewnętrznej. Gdy przeciwnicy uzyskują dostęp do nowego systemu, muszą zorientować się na to, co teraz mają kontrolę i jakie korzyści wynikające z działania tego systemu dają ich bieżący cel lub ogólne cele podczas włamania. System operacyjny udostępnia wiele natywnych narzędzi, które pomagają w tym etapie zbierania informacji po naruszeniu zabezpieczeń.
LateralMovement (Owement poprzeczny)	V7, V9	Ruch poprzeczny składa się z technik, które umożliwiają przeciwnikowi uzyskiwanie dostępu do systemów zdalnych i sterowanie nimi w sieci i może, ale niekoniecznie, obejmują wykonywanie narzędzi w systemach zdalnych. Techniki przenoszenia bocznego mogą umożliwić przeciwnikowi zbieranie informacji z systemu bez konieczności używania większej liczby narzędzi, takich jak narzędzie dostępu zdalnego. Przeciwnik może używać ruchu bocznego do wielu celów, w tym zdalnego wykonywania narzędzi, przestawiania do większej liczby systemów, dostępu do określonych informacji lub plików, dostępu do większej liczby poświadczeń lub spowodowania efektu.
Wykonanie	V7, V9	Taktyka wykonywania reprezentuje techniki powodujące wykonanie kodu kontrolowanego przez wroga w systemie lokalnym lub zdalnym. Ta taktyka jest często używana w połączeniu z ruchem bocznym w celu rozszerzenia dostępu do systemów zdalnych w sieci.
Kolekcja	V7, V9	Kolekcja składa się z technik używanych do identyfikowania i zbierania informacji, takich jak poufne pliki, z sieci docelowej przed eksfiltracją. Ta kategoria obejmuje również lokalizacje w systemie lub sieci, w której atakujący może szukać informacji do eksfiltracji.
Sterowanie i sterowanie	V7, V9	Taktyka poleceń i kontroli reprezentuje sposób, w jaki przeciwnicy komunikują się z systemami pod ich kontrolą w sieci docelowej.
Eksfiltracja	V7, V9	Eksfiltracja odnosi się do technik i atrybutów, które powodują lub pomagają w ataku usuwającym pliki i informacje z sieci docelowej. Ta kategoria obejmuje również lokalizacje w systemie lub sieci, w której atakujący może szukać informacji do eksfiltracji.
Wpływ	V7, V9	Zdarzenia wpływają głównie na zmniejszenie dostępności lub integralności systemu, usługi lub sieci; w tym manipulowanie danymi w celu wpływu na proces biznesowy lub operacyjny. Często odnosi się to do technik, takich jak ransomware, defacement, manipulowanie danymi i inne.

Uwaga

W przypadku alertów w wersji zapoznawczej: Dodatkowe postanowienia dotyczące wersji zapoznawczej platformy Azure obejmują dodatkowe postanowienia prawne dotyczące funkcji platformy Azure, które są dostępne w wersji beta, wersji zapoznawczej lub w inny sposób nie zostały jeszcze wydane w wersji ogólnodostępnej.

Alerty zabezpieczeń — przewodnik informacyjny

Alerty dotyczące maszyn z systemem Windows

Wykryto logowanie ze złośliwego adresu IP. [widziane wiele razy]

Naruszenie zasad adaptacyjnego sterowania aplikacjami zostało poddane inspekcji

Dodawanie konta gościa do grupy Administracja istratorów lokalnych

Dziennik zdarzeń został wyczyszczone

Akcja ochrony przed złośliwym kodem nie powiodła się

Podjęto akcję ochrony przed złośliwym kodem

Wykluczenie szerokiego oprogramowania chroniącego przed złośliwym kodem na maszynie wirtualnej

Oprogramowanie chroniące przed złośliwym kodem jest wyłączone i wykonywanie kodu na maszynie wirtualnej

Oprogramowanie chroniące przed złośliwym kodem jest wyłączone na maszynie wirtualnej

Wykluczanie plików i wykonywanie kodu ochrony przed złośliwym kodem na maszynie wirtualnej

Wykluczanie plików i wykonywanie kodu ochrony przed złośliwym kodem na maszynie wirtualnej

Wykluczenie pliku ochrony przed złośliwym kodem na maszynie wirtualnej

Ochrona przed złośliwym kodem w czasie rzeczywistym została wyłączona na maszynie wirtualnej

Ochrona przed złośliwym kodem w czasie rzeczywistym została tymczasowo wyłączona na maszynie wirtualnej

Ochrona przed złośliwym kodem w czasie rzeczywistym została tymczasowo wyłączona podczas wykonywania kodu na maszynie wirtualnej

Skanowanie chroniące przed złośliwym kodem zablokowane dla plików potencjalnie związanych z kampaniami złośliwego oprogramowania na maszynie wirtualnej (wersja zapoznawcza)

Oprogramowanie chroniące przed złośliwym kodem tymczasowo wyłączone na maszynie wirtualnej

Nietypowe wykluczenie pliku ochrony przed złośliwym kodem na maszynie wirtualnej

Komunikacja z podejrzaną domeną zidentyfikowaną przez analizę zagrożeń

Wykryte akcje wskazujące na wyłączenie i usunięcie plików dziennika usług IIS

Wykryto nietypową kombinację znaków wyższej i małej litery w wierszu polecenia

Wykryto zmianę klucza rejestru, który może być nadużywany w celu obejścia kontroli dostępu użytkownika

Wykryto dekodowanie pliku wykonywalnego przy użyciu wbudowanego narzędzia certutil.exe

Wykryto włączenie klucza rejestru WDigest UseLogonCredential

Wykryto zakodowany plik wykonywalny w danych wiersza polecenia

Wykryto zaciemniony wiersz polecenia

Wykryto możliwe wykonanie pliku wykonywalnego keygen

Wykryto możliwe wykonanie porzuconego złośliwego oprogramowania

Wykryto możliwe lokalne działanie rekonesansu

Wykryto potencjalnie podejrzane użycie narzędzia Telegram

Wykryto pomijanie powiadomienia prawnego wyświetlanego użytkownikom podczas logowania

Wykryto podejrzaną kombinację funkcji HTA i programu PowerShell

Wykryto podejrzane argumenty wiersza polecenia

Wykryto podejrzany wiersz polecenia używany do uruchamiania wszystkich plików wykonywalnych w katalogu

Wykryto podejrzane poświadczenia w wierszu polecenia

Wykryto podejrzane poświadczenia dokumentu

Wykryto podejrzane wykonanie polecenia VBScript.Encode

Wykryto podejrzane wykonywanie za pośrednictwem rundll32.exe

Wykryto podejrzane polecenia oczyszczania plików

Wykryto podejrzane tworzenie pliku

Wykryto podejrzaną komunikację nazwanego potoku

Wykryto podejrzane działanie sieci

Wykryto podejrzaną nową regułę zapory

Wykryto podejrzane użycie cacls w celu obniżenia stanu zabezpieczeń systemu

Wykryto podejrzane użycie przełącznika FTP -s

Wykryto podejrzane użycie Pcalua.exe do uruchomienia kodu wykonywalnego

Wykryto wyłączenie usług krytycznych

Wykryto zachowanie związane z wyszukiwania walutami cyfrowymi

Dynamiczna konstrukcja skryptu PS

Znaleziono plik wykonywalny uruchomiony z podejrzanej lokalizacji

Wykryto zachowanie ataków bez plików

Wykryto technikę ataku bez plików

Wykryto zestaw narzędzi do ataków bez plików

Wykryto oprogramowanie o wysokim ryzyku

Lokalne Administracja istratory grupy zostały wyliczone

Złośliwa reguła zapory utworzona przez implant serwera CYNK [widziana wiele razy]

Złośliwe działanie SQL

Zapytania o wiele kont domeny

Wykryto możliwe dumping poświadczeń [widziany wiele razy]

Wykryto potencjalną próbę obejścia funkcji AppLocker

Uruchomiona rzadka grupa usług SVCHOST

Wykryto atak na klucze sticky

Udany atak siłowy

Podejrzany poziom integralności wskazuje na porwanie RDP

Podejrzana instalacja usługi

Zaobserwowano podejrzane parametry ataku przy użyciu protokołu Kerberos Golden Ticket

Wykryto podejrzane tworzenie konta

Wykryto podejrzane działanie

Podejrzane działanie uwierzytelniania

Wykryto podejrzany segment kodu

Wykonany podejrzany plik podwójnego rozszerzenia

Wykryto podejrzane pobieranie przy użyciu narzędzia Certutil [widziane wiele razy]

Wykryto podejrzane pobieranie przy użyciu narzędzia Certutil

Wykryto podejrzane działanie programu PowerShell

Wykonane podejrzane polecenia cmdlet programu PowerShell

Wykonany podejrzany proces [widziany wiele razy]

Wykonany podejrzany proces

Wykryto podejrzaną nazwę procesu [widzianą wielokrotnie]