Alertas de segurança – um guia de referência

Artigo
03/17/2024

Este artigo lista os alertas de segurança que você pode receber do Microsoft Defender for Cloud e de qualquer plano do Microsoft Defender habilitado. Os alertas mostrados em seu ambiente dependem dos recursos e serviços que você está protegendo, bem como a configuração personalizada.

Na parte inferior desta página, há uma tabela descrevendo a cadeia de eliminação do Microsoft Defender for Cloud alinhada com a versão 9 da matriz MITRE ATT&CK.

Saiba como responder a esses alertas.

Saiba como exportar alertas.

Observação

Alertas de fontes diferentes podem levar diferentes quantidades de tempo para serem exibidos. Por exemplo, alertas que exigem análise de tráfego de rede podem levar mais tempo para aparecer do que alertas relacionados a processos suspeitos em execução em máquinas virtuais.

Alertas para computadores Windows

O Plano 2 do Microsoft Defender para Servidores fornece detecções e alertas exclusivos, além dos fornecidos pelo Microsoft Defender para Ponto de Extremidade. Os alertas disponibilizados para computadores Windows são:

Mais detalhes e observações

Um logon de um IP mal-intencionado foi detectado. [visto várias vezes]

Descrição: ocorreu uma autenticação remota bem-sucedida para a conta [conta] e o processo [processo], no entanto, o endereço IP de logon (x.x.x.x) foi relatado anteriormente como mal-intencionado ou altamente incomum. Provavelmente ocorreu um ataque bem-sucedido. Arquivos com as extensões .scr são arquivos de proteção de tela e, normalmente, residem e são executados pelo diretório do sistema Windows.

Táticas MITRE: -

Gravidade: Alta

A violação da política de controle de aplicativo adaptável foi auditada

VM_AdaptiveApplicationControlWindowsViolationAudited

Descrição: Os usuários abaixo executaram aplicativos que estão violando a política de controle de aplicativos de sua organização nesta máquina. Isso pode expor o computador a vulnerabilidades de malware ou de aplicativo.

Táticas MITRE: Execução

Severidade: Informativo

Adição de conta de convidado ao grupo de administradores locais

Descrição: a análise dos dados do host detectou a adição da conta Convidado interna ao grupo Administradores Locais em %{Host Comprometido}, que está fortemente associada à atividade do invasor.

Táticas MITRE: -

Gravidade: Média

Um log de eventos foi limpo

Descrição: Os logs da máquina indicam uma operação suspeita de limpeza do log de eventos pelo usuário: '%{nome do usuário}' na máquina: '%{CompromisedEntity}'. O log %{canal de log} foi limpo.

Táticas MITRE: -

Severidade: Informativo

Falha na ação do Antimalware

Descrição: O Microsoft Antimalware encontrou um erro ao executar uma ação sobre malware ou outro software potencialmente indesejado.

Táticas MITRE: -

Gravidade: Média

Ação do Antimalware executada

Táticas MITRE: Evasão de Defesa

Gravidade: Média

Desabilitação temporária de antimalware na sua máquina virtual

(VM_AmTemporarilyDisablement)

Descrição: Antimalware temporariamente desativado em sua máquina virtual. Isso foi detectado pela análise das operações do Azure Resource Manager na sua assinatura. Os invasores podem desabilitar o antimalware na sua máquina virtual para evitar a detecção.

Táticas MITRE: -

Gravidade: Média

Exclusão de arquivo antimalware incomum na sua máquina virtual

(VM_UnusualAmFileExclusion)

Descrição: a exclusão de arquivo incomum da extensão antimalware foi detectada em sua máquina virtual analisando as operações do Gerenciador de Recursos do Azure em sua assinatura. Os invasores podem excluir arquivos da verificação de antimalware na sua máquina virtual para evitar a detecção durante a execução de código arbitrário ou durante a infecção do computador com um malware.

Táticas MITRE: Evasão de Defesa

Gravidade: Média

Comunicação com um domínio suspeito identificado pela inteligência contra ameaças

Descrição: A análise dos dados do host em %{Host comprometido} detectou a execução do comando "net.exe stop" que está sendo usado para interromper serviços críticos como o SharedAccess ou o aplicativo de Segurança do Windows. A interrupção de qualquer um desses serviços pode ser uma indicação de um comportamento mal-intencionado.

Táticas MITRE: -

Gravidade: Média

Descrição: A análise dos dados do host em %{Host Comprometido} detectou a execução de um processo ou comando normalmente associado à mineração de moeda digital.

Táticas MITRE: -

Gravidade: Alta

Criação de script do PS dinâmico

Descrição: a análise dos dados do host em %{Host Comprometido} detectou um script do PowerShell sendo construído dinamicamente. Os invasores algumas vezes usam essa abordagem para compilar progressivamente um script para fugir de sistemas IDS. Pode ser uma atividade legítima ou uma indicação de que um de seus computadores foi comprometido.

Táticas MITRE: -

Gravidade: Média

Executável encontrado em execução em um local suspeito

Descrição: A análise dos dados do host detectou um arquivo executável em %{Host comprometido} que está sendo executado a partir de um local comum com arquivos suspeitos conhecidos. O executável pode ser uma atividade legítima ou uma indicação de um host comprometido.

Táticas MITRE: -

Gravidade: Alta

Comportamento de ataque sem arquivos detectado

(VM_FilelessAttackBehavior.Windows)

Descrição: A memória do processo especificado contém comportamentos comumente usados por ataques sem arquivo. Os comportamentos específicos incluem:

Shellcode, que é uma pequena parte do código geralmente usada como conteúdo na exploração de uma vulnerabilidade de software.
Conexões de rede ativas. Confira NetworkConnections abaixo para obter detalhes.
Chamadas de função para interfaces de sistema operacional sensíveis à segurança. Confira Recursos abaixo para obter recursos do sistema operacional referenciados.
Contém um thread que foi iniciado em um segmento de código alocado dinamicamente. É um padrão comum para ataques de injeção de processo.

Táticas MITRE: Evasão de Defesa

Gravidade: Baixa

Técnica de ataque de sem arquivos detectada

(VM_FilelessAttackTechnique.Windows)

Descrição: A memória do processo especificado abaixo contém evidências de uma técnica de ataque sem arquivo. Ataques sem arquivo são usados por invasores para executar código e, ao mesmo tempo, escapar da detecção do software de segurança. Os comportamentos específicos incluem:

Shellcode, que é uma pequena parte do código geralmente usada como conteúdo na exploração de uma vulnerabilidade de software.
Imagem executável injetada no processo, como em um ataque de injeção de código.
Conexões de rede ativas. Confira NetworkConnections abaixo para obter detalhes.
Chamadas de função para interfaces de sistema operacional sensíveis à segurança. Confira Recursos abaixo para obter recursos do sistema operacional referenciados.
Esvaziamento de processo, que é uma técnica usada por malware em que um processo legítimo é carregado no sistema para atuar como um contêiner para código hostil.
Contém um thread que foi iniciado em um segmento de código alocado dinamicamente. É um padrão comum para ataques de injeção de processo.

Táticas MITRE: Evasão de Defesa, Execução

Gravidade: Alta

Kit de ferramentas de ataque sem arquivos detectado

(VM_FilelessAttackToolkit.Windows)

Descrição: A memória do processo especificado contém um kit de ferramentas de ataque sem arquivo: [nome do kit de ferramentas]. Os kits de ferramentas de ataque sem arquivos usam técnicas que minimizam ou eliminam rastros de malware no disco e reduzem consideravelmente as chances de detecção por soluções de verificação de malware baseadas em disco. Os comportamentos específicos incluem:

Kits de ferramentas bem conhecidos e software de mineração de criptomoedas.
Shellcode, que é uma pequena parte do código geralmente usada como conteúdo na exploração de uma vulnerabilidade de software.
Executável malicioso injetado na memória do processo.

Descrição: O processo do sistema SVCHOST foi observado executando um grupo de serviços raro. O malware geralmente usa o SVCHOST para mascarar suas atividades mal-intencionadas.

Táticas MITRE: Evasão de Defesa, Execução

Severidade: Informativo

Ataque a teclas de aderência detectado

Descrição: a análise dos dados do host indica que um invasor pode estar subvertendo um binário de acessibilidade (por exemplo, teclas adesivas, teclado na tela, narrador) para fornecer acesso backdoor ao host %{Host comprometido}.

Táticas MITRE: -

Gravidade: Média

Ataque de força bruta bem-sucedido

(VM_LoginBruteForceSuccess)

Descrição: Várias tentativas de entrada de sinal foram detectadas da mesma fonte. Algumas delas se autenticaram com êxito no host. Isso é semelhante a um ataque de intermitência, no qual um invasor realiza inúmeras tentativas de autenticação para encontrar credenciais de conta válidas.

Táticas MITRE: Exploração

Gravidade: Média/Alta

Indicação de nível de integridade suspeito de sequestro de RDP

Descrição: A análise dos dados do host detectou o tscon.exe em execução com privilégios SYSTEM - isso pode ser indicativo de um invasor abusando desse binário para alternar o contexto para qualquer outro usuário conectado neste host, é uma técnica conhecida do invasor para comprometer mais contas de usuário e mover-se lateralmente em uma rede.

Táticas MITRE: -

Gravidade: Média

Instalação de serviço suspeito

Descrição: A análise dos dados do host detectou a instalação do tscon.exe como um serviço: esse binário sendo iniciado como um serviço potencialmente permite que um invasor alterne trivialmente para qualquer outro usuário conectado neste host sequestrando conexões RDP, é uma técnica conhecida do invasor para comprometer mais contas de usuário e mover-se lateralmente em uma rede.

Táticas MITRE: -

Gravidade: Média

Parâmetros de ataque de Golden Ticket do Kerberos suspeitos observados

Descrição: a análise dos dados do host detectou parâmetros de linha de comando consistentes com um ataque Kerberos Golden Ticket.

Táticas MITRE: -

Gravidade: Média

Descrição: indica que um segmento de código foi alocado usando métodos não padrão, como injeção reflexiva e esvaziamento de processo. O alerta processa mais características do segmento de código que foram processadas para fornecer contexto para os recursos e comportamentos do segmento de código relatado.

Táticas MITRE: -

Gravidade: Média

Arquivo de extensão dupla suspeito executado

Descrição: A análise dos dados do host indica uma execução de um processo com uma extensão dupla suspeita. Esta extensão pode enganar os usuários a pensar que os arquivos são seguros para serem abertos e pode indicar a presença de malware no sistema.

Táticas MITRE: -

Gravidade: Alta

Download suspeito usando o Certutil detectado [visto várias vezes]

Descrição: A análise dos dados do host em %{Host comprometido} detectou o uso do certutil.exe, um utilitário de administrador interno, para o download de um binário em vez de sua finalidade principal relacionada à manipulação de certificados e dados de certificados. Os invasores são conhecidos por abusar da funcionalidade de ferramentas de administrador legítimas para executar ações mal-intencionadas, por exemplo, usar o certutil.exe para baixar e decodificar um executável mal-intencionado que será executado posteriormente. Esse comportamento foi visto [x] vezes hoje nos seguintes computadores: [Nomes dos computadores]

Táticas MITRE: -

Gravidade: Média

Táticas MITRE: -

Gravidade: Média

Redefinição de chave SSH de usuário incomum na sua máquina virtual

(VM_VMAccessUnusualSSHReset)

Descrição: uma redefinição de chave SSH de usuário incomum foi detectada em sua máquina virtual analisando as operações do Gerenciador de Recursos do Azure em sua assinatura. Embora essa ação possa ser legítima, os invasores podem tentar utilizar a extensão VM Access para redefinir a chave SSH de uma conta de usuário em sua máquina virtual e comprometê-la.

Táticas MITRE: Acesso a Credenciais

Gravidade: Média

Alocação de objeto VBScript HTTP detectada

Descrição: A criação de um arquivo VBScript usando o prompt de comando foi detectada. O script a seguir contém o comando de alocação de objeto HTTP. A ação pode ser usada para baixar arquivos mal-intencionados.

Instalação suspeita da extensão de GPU em sua máquina virtual (versão prévia)

(VM_GPUDriverExtensionUnusualExecution)

Descrição: a instalação suspeita de uma extensão de GPU foi detectada em sua máquina virtual analisando as operações do Gerenciador de Recursos do Azure em sua assinatura. Os invasores podem usar a extensão de driver de GPU para instalar drivers de GPU em sua máquina virtual por meio do Azure Resource Manager para executar o cryptojacking.

Táticas MITRE: Impacto

(VM_AmTempRealtimeProtectionDisablement)

Táticas MITRE: Evasão de Defesa

Gravidade: Média

A proteção em tempo real de antimalware foi desabilitada temporariamente durante a execução de código na sua máquina virtual

(VM_AmRealtimeProtectionDisablementAndCodeExec)

Táticas MITRE: -

Gravidade: Alta

Táticas MITRE: -

Gravidade: Baixa

Descrição: A análise dos dados do host em %{Host Comprometido} detectou a execução de um processo ou comando normalmente associado à mineração de moeda digital.

Táticas MITRE: -

Gravidade: Alta

Desabilitação do log de auditoria [visto várias vezes]

Descrição: O sistema Linux Audit fornece uma maneira de rastrear informações relevantes de segurança no sistema. Registra o máximo possível de informações sobre os eventos que estão ocorrendo em seu sistema. Desabilitar o log de auditoria pode dificultar a descoberta de violações de políticas de segurança usadas no sistema. Esse comportamento foi visto [x] vezes hoje nos seguintes computadores: [Nomes dos computadores]

Táticas MITRE: -

Gravidade: Baixa

Exploração da vulnerabilidade do Xorg [visto várias vezes]

Descrição: A análise dos dados do host em %{Host comprometido} detectou o usuário do Xorg com argumentos suspeitos. Os invasores podem usar essa técnica em tentativas de escalonamento de privilégios. Esse comportamento foi visto [x] vezes hoje nos seguintes computadores: [Nomes dos computadores]

Táticas MITRE: -

Gravidade: Média

Ataque de força bruta de SSH com falha

(VM_SshBruteForceFailed)

Descrição: Ataques de força bruta com falha foram detectados dos seguintes invasores: %{Atacantes}. Os invasores tentaram acessar o host com os seguintes nomes de usuário: %{Accounts used on failed sign in to host attempts}.

Táticas MITRE: Sondagem

Gravidade: Média

Comportamento de Ataque sem Arquivos Detectado

(VM_FilelessAttackBehavior.Linux)

Descrição: A memória do processo especificado abaixo contém comportamentos comumente usados por ataques sem arquivo. Os comportamentos específicos incluem: {lista de comportamentos observados}

Táticas MITRE: Execução

Gravidade: Baixa

Técnica de Ataque sem Arquivos Detectada

(VM_FilelessAttackTechnique.Linux)

Táticas MITRE: Execução

Gravidade: Alta

Kit de Ferramentas de Ataque sem Arquivos Detectado

(VM_FilelessAttackToolkit.Linux)

Descrição: A memória do processo especificado abaixo contém um kit de ferramentas de ataque sem arquivo: {ToolKitName}. Os kits de ferramentas de ataque sem arquivo normalmente não estão presentes no sistema de arquivos, dificultando a detecção pelo software antivírus tradicional. Os comportamentos específicos incluem: {lista de comportamentos observados}

Táticas MITRE: Evasão de Defesa, Execução

Gravidade: Alta

Execução de arquivo oculto detectada

Descrição: A análise dos dados do host indica que um arquivo oculto foi executado por %{nome de usuário}. A atividade pode ser legítima ou uma indicação de um host comprometido.

Táticas MITRE: -

Severidade: Informativo

Nova chave SSH adicionada [visto várias vezes]

(VM_SshKeyAddition)

Descrição: Uma nova chave SSH foi adicionada ao arquivo de chaves autorizadas. Esse comportamento foi visto [x] vezes hoje nos seguintes computadores: [Nomes dos computadores]

Táticas MITRE: Persistência

Gravidade: Baixa

Nova chave SSH adicionada

Descrição: Uma nova chave SSH foi adicionada ao arquivo de chaves autorizadas.

Táticas MITRE: -

Gravidade: Baixa

Possível backdoor detectado [visto várias vezes]

Descrição: a análise dos dados do host detectou um arquivo suspeito sendo baixado e executado em %{Host comprometido} em sua assinatura. A atividade foi associada anteriormente à instalação de um backdoor. Esse comportamento foi visto [x] vezes hoje nos seguintes computadores: [Nomes dos computadores]

Táticas MITRE: -

Gravidade: Média

Possível exploração do servidor de email detectada

(VM_MailserverExploitation )

Descrição: A análise dos dados do host em %{Host comprometido} detectou uma execução incomum na conta do servidor de email

Táticas MITRE: Exploração

Gravidade: Média

Possível web shell mal-intencionado detectado

(VM_KubernetesDashboard)

(AzureDNS_ProtocolAnomaly)

Descrição: A análise de transações DNS de %{CompromisedEntity} detectou o uso anômalo do protocolo. Esse tráfego, embora possivelmente benigno, pode indicar abuso desse protocolo comum para ignorar a filtragem de tráfego de rede. A atividade típica relacionada ao invasor inclui a cópia de ferramentas de administração remota para um host comprometido e a exfiltração de dados do usuário dela.

Táticas MITRE: Exfiltração

Gravidade: -

Atividade de rede de anonimato

(AzureDNS_DarkWeb)

Descrição: A análise de transações DNS de %{CompromisedEntity} detectou atividade de rede anônima. Essa atividade, embora seja possivelmente um comportamento de usuário legítimo, é frequentemente empregada pelos invasores para evitar o acompanhamento e a análise de impressão digital das comunicações de rede. A atividade típica relacionada ao invasor provavelmente incluirá o download e a execução de um software mal-intencionado ou de ferramentas de administração remota.

Táticas MITRE: Exfiltração

Gravidade: Baixa

Atividade de rede de anonimato usando o proxy Web

(AzureDNS_DarkWebProxy)

Táticas MITRE: Exfiltração

Gravidade: Baixa

Tentativa de comunicação com um domínio de sinkhole suspeito

(AzureDNS_SinkholedDomain)

Descrição: Análise de transações DNS de %{CompromisedEntity} detectou solicitação para domínio sinkholed. Essa atividade, embora seja possivelmente um comportamento de um usuário legítimo, é, muitas vezes, uma indicação do download ou da execução de um software mal-intencionado. A atividade típica relacionada ao invasor provavelmente incluirá o download e a execução de um software mal-intencionado adicional ou de ferramentas de administração remota.

Táticas MITRE: Exfiltração

Gravidade: Média

Comunicação com um possível domínio de phishing

(AzureDNS_PhishingDomain)

Descrição: a análise de transações DNS de %{CompromisedEntity} detectou uma solicitação para um possível domínio de phishing. Essa atividade, embora possivelmente benigna, é frequentemente executada pelos invasores para coletar credenciais de serviços remotos. A atividade típica relacionada ao invasor provavelmente incluirá a exploração das credenciais no serviço legítimo.

Táticas MITRE: Exfiltração

Severidade: Informativo

Comunicação com um domínio suspeito gerado de maneira algorítmica

(AzureDNS_DomainGenerationAlgorithm)

Descrição: A análise de transações DNS de %{CompromisedEntity} detectou o possível uso de um algoritmo de geração de domínio. Essa atividade, embora possivelmente benigna, é frequentemente executada pelos invasores para evitar o monitoramento e a filtragem de rede. A atividade típica relacionada ao invasor provavelmente incluirá o download e a execução de um software mal-intencionado ou de ferramentas de administração remota.

Táticas MITRE: Exfiltração

Severidade: Informativo

Comunicação com um domínio suspeito identificado pela inteligência contra ameaças

(AzureDNS_ThreatIntelSuspectDomain)

Táticas MITRE: Acesso Inicial

Gravidade: Média

Comunicação com um nome de domínio aleatório suspeito

(AzureDNS_RandomizedDomain)

Descrição: a análise de transações DNS de %{CompromisedEntity} detectou o uso de um nome de domínio suspeito gerado aleatoriamente. Essa atividade, embora possivelmente benigna, é frequentemente executada pelos invasores para evitar o monitoramento e a filtragem de rede. A atividade típica relacionada ao invasor provavelmente incluirá o download e a execução de um software mal-intencionado ou de ferramentas de administração remota.

Táticas MITRE: Exfiltração

Severidade: Informativo

Atividade de mineração de moeda digital

(AzureDNS_CurrencyMining)

Descrição: A análise de transações DNS de %{CompromisedEntity} detectou atividade de mineração de moeda digital. Essa atividade, embora seja possivelmente um comportamento de usuário legítimo, é frequentemente executada pelos invasores após o comprometimento dos recursos. A atividade típica relacionada ao invasor provavelmente incluirá o download e a execução de ferramentas de mineração comuns.

Táticas MITRE: Exfiltração

Gravidade: Baixa

Ativação de assinatura de detecção de intrusão de rede

(AzureDNS_SuspiciousDomain)

Descrição: a análise de transações DNS de %{CompromisedEntity} detectou uma assinatura de rede maliciosa conhecida. Essa atividade, embora seja possivelmente um comportamento de um usuário legítimo, é, muitas vezes, uma indicação do download ou da execução de um software mal-intencionado. A atividade típica relacionada ao invasor provavelmente incluirá o download e a execução de um software mal-intencionado adicional ou de ferramentas de administração remota.

Táticas MITRE: Exfiltração

Gravidade: Média

Possível download de dados por meio de túnel DNS

(AzureDNS_DataInfiltration)

Descrição: A análise das transações DNS de %{CompromisedEntity} detectou um possível túnel DNS. Essa atividade, embora seja possivelmente um comportamento de usuário legítimo, é frequentemente executada pelos invasores para evitar o monitoramento e a filtragem de rede. A atividade típica relacionada ao invasor provavelmente incluirá o download e a execução de um software mal-intencionado ou de ferramentas de administração remota.

Táticas MITRE: Exfiltração

Gravidade: Baixa

Possível infiltração de dados por meio de túnel DNS

(AzureDNS_DataExfiltration)

Táticas MITRE: Exfiltração

Gravidade: Baixa

Possível transferência de dados por meio de túnel DNS

(AzureDNS_DataObfuscation)

Táticas MITRE: Exfiltração

Gravidade: Baixa

Alertas para extensões de VM do Azure

Esses alertas se concentram na detecção de atividades suspeitas de extensões de máquina virtual do Azure e fornecem insights sobre as tentativas de invasores de comprometer e executar atividades mal-intencionadas em suas máquinas virtuais.

As extensões de máquina virtual do Azure são pequenos aplicativos que executam pós-implantação em máquinas virtuais e fornecem recursos como configuração, automação, monitoramento, segurança e muito mais. Embora as extensões sejam uma ferramenta poderosa, elas podem ser usadas por atores de ameaça para várias intenções mal-intencionadas, por exemplo:

Coleta e monitoramento de dados
Execução de código e implantação de configuração com privilégios elevados
Redefinição de credenciais e criação de usuários administrativos
Criptografia de discos

Saiba mais sobre as proteções mais recentes do Defender for Cloud contra o abuso de extensões de VM do Azure.

Falha suspeita ao instalar a extensão de GPU em sua assinatura (versão prévia)

(VM_GPUExtensionSuspiciousFailure)

Descrição: Intenção suspeita de instalar uma extensão de GPU em VMs sem suporte. Essa extensão deve ser instalada em máquinas virtuais equipadas com um processador gráfico e, nesse caso, as máquinas virtuais não estão equipadas com isso. Essas falhas podem ser vistas quando adversários mal-intencionados executam várias instalações dessa extensão para fins de mineração de criptografia.

Táticas MITRE: Impacto

Gravidade: Média

(VM_CustomScriptExtensionSuspiciousPayload)

Descrição: a extensão de script personalizada com uma carga de um repositório GitHub suspeito foi detectada em sua máquina virtual analisando as operações do Gerenciador de Recursos do Azure em sua assinatura. Os invasores podem usar extensões de script personalizadas para executar código mal-intencionado em suas máquinas virtuais por meio do Gerenciador de Recursos do Azure.

Táticas MITRE: Execução

Gravidade: Alta

Executável decodificado usando certutil

(AppServices_ExecutableDecodedUsingCertutil)

Descrição: a análise dos dados do host em [Entidade comprometida] detectou que certutil.exe, um utilitário de administrador interno, estava sendo usado para decodificar um executável em vez de sua finalidade principal relacionada à manipulação de certificados e dados de certificados. Os invasores são conhecidos por abusar da funcionalidade de ferramentas de administrador legítimas para executar ações mal-intencionadas, por exemplo, usando uma ferramenta como o certutil.exe para decodificar um executável mal-intencionado que será executado posteriormente. (Aplica-se a: Serviço de Aplicativo no Windows)

Táticas MITRE: Evasão de Defesa, Execução

Gravidade: Alta

Comportamento de Ataque sem Arquivos Detectado

(AppServices_FilelessAttackBehaviorDetection)

Táticas MITRE: Execução

Gravidade: Média

Técnica de Ataque sem Arquivos Detectada

(AppServices_FilelessAttackTechniqueDetection)

Táticas MITRE: Execução

Gravidade: Alta

Kit de Ferramentas de Ataque sem Arquivos Detectado

(AppServices_FilelessAttackToolkitDetection)

Táticas MITRE: Evasão de Defesa, Execução

Gravidade: Alta

Alerta de teste do Microsoft Defender para Nuvem para o Serviço de Aplicativo (não é uma ameaça)

(AppServices_EICAR)

Descrição: Este é um alerta de teste gerado pelo Microsoft Defender for Cloud. Nenhuma outra ação é necessária. (Aplica-se a: Serviço de Aplicativo no Windows e Serviço de Aplicativo no Linux)

Táticas MITRE: -

Gravidade: Alta

Verificação de NMap detectada

(AppServices_Nmap)

Descrição: o log de atividades do Serviço de Aplicativo do Azure indica uma possível atividade de impressão digital da Web em seu recurso do Serviço de Aplicativo. A atividade suspeita detectada está associada ao NMAP. Os invasores geralmente usam essa ferramenta a fim de investigar o aplicativo Web para encontrar vulnerabilidades. (Aplica-se a: Serviço de Aplicativo no Windows e Serviço de Aplicativo no Linux)

Táticas MITRE: PreAttack

Severidade: Informativo

Conteúdo de phishing hospedado no Azure WebApps

(AppServices_PhishingContent)

Descrição: URL usada para ataque de phishing encontrada no site do Azure AppServices. Essa URL fazia parte de um ataque de phishing enviado para clientes do Microsoft 365. O conteúdo normalmente atrai os visitantes para inserir as credenciais corporativas ou informações financeiras em um site de aparência legítima. (Aplica-se a: Serviço de Aplicativo no Windows e Serviço de Aplicativo no Linux)

Táticas MITRE: Coleção

Gravidade: Alta

Arquivo PHP na pasta de carregamento

(AppServices_PhpInUploadFolder)

Descrição: o log de atividades do Serviço de Aplicativo do Azure indica um acesso a uma página PHP suspeita localizada na pasta de carregamento. Esse tipo de pasta geralmente não contém arquivos PHP. A existência desse tipo de arquivo pode indicar uma exploração aproveitando vulnerabilidades de carregamento de arquivo arbitrárias. (Aplica-se a: Serviço de Aplicativo no Windows e Serviço de Aplicativo no Linux)

Táticas MITRE: Execução

Gravidade: Média

Possível download de Cryptocoinminer detectado

(AppServices_CryptoCoinMinerDownload)

Descrição: A análise dos dados do host detectou o download de um arquivo normalmente associado à mineração de moeda digital. (Aplica-se a: Serviço de Aplicativo no Linux)

Táticas MITRE: Evasão de Defesa, Comando e Controle, Exploração

Gravidade: Média

Possível exfiltração dos dados detectada

(AppServices_DataEgressArtifacts)

Descrição: A análise dos dados do host/dispositivo detectou uma possível condição de saída de dados. Os invasores geralmente removem dados de saída de computadores comprometidos. (Aplica-se a: Serviço de Aplicativo no Linux)

Táticas MITRE: Coleta, Exfiltração

Gravidade: Média

Potencial registro DNS pendente para um recurso do Serviço de Aplicativo detectado

(AppServices_PotentialDanglingDomain)

Descrição: foi detectado um registro DNS que aponta para um recurso do Serviço de Aplicativo excluído recentemente (também conhecido como entrada "DNS pendurado"). Isso pode deixar você suscetível a uma invasão de subdomínio. As invasões de subdomínio permitem que os atores mal-intencionados redirecionem o tráfego destinado ao domínio de uma organização a um site que executa atividades mal-intencionadas. Nesse caso, foi encontrado um registro de texto com a ID de verificação de domínio. Esses registros de texto impedem a invasão do domínio, mas ainda recomendamos remover o domínio pendente. Se deixar o registro de DNS apontando para o subdomínio, você estará correndo um risco se alguém na sua organização excluir o arquivo ou registro TXT no futuro. (Aplica-se a: Serviço de Aplicativo no Windows e Serviço de Aplicativo no Linux)

Táticas MITRE: -

Gravidade: Baixa

Possível shell reverso detectado

(AppServices_ReverseShell)

Descrição: A análise dos dados do host detectou um potencial shell reverso. São usados para que um computador comprometido faça um retorno de chamada para um computador que um invasor possui. (Aplica-se a: Serviço de Aplicativo no Linux)

Táticas MITRE: Exfiltração, Exploração

Gravidade: Média

Download de dados brutos detectado

(AppServices_DownloadCodeFromWebsite)

Descrição: a análise dos processos do Serviço de Aplicativo detectou uma tentativa de baixar código de sites de dados brutos, como o Pastebin. A ação foi executada por um processo PHP. O comportamento é associado a tentativas de download de web shells ou outros componentes mal-intencionados para o Serviço de Aplicativo. (Aplica-se a: Serviço de Aplicativo no Windows)

Táticas MITRE: Execução

Gravidade: Média

Salvamento de saída de ondulação para disco detectado

(AppServices_CurlToDisk)

Descrição: a análise dos processos do Serviço de Aplicativo detectou a execução de um comando curl no qual a saída foi salva no disco. Embora o comportamento possa ser legítimo, em aplicativos Web, esse comportamento também é observado em atividades mal-intencionadas, como tentativas de infectar sites com web shells. (Aplica-se a: Serviço de Aplicativo no Windows)

Táticas MITRE: -

Gravidade: Baixa

Referenciador de pasta de spam detectado

(AppServices_SpamReferrer)

Descrição: o log de atividades do Serviço de Aplicativo do Azure indica a atividade da Web que foi identificada como originária de um site associado à atividade de spam. Isso poderá ocorrer se o seu site for comprometido e usado para atividades de spam. (Aplica-se a: Serviço de Aplicativo no Windows e Serviço de Aplicativo no Linux)

Táticas MITRE: -

Gravidade: Baixa

Acesso suspeito detectado a uma página da Web possivelmente vulnerável

(AppServices_ScanSensitivePage)

Descrição: o log de atividades do Serviço de Aplicativo do Azure indica que uma página da Web que parece ser confidencial foi acessada. Essa atividade suspeita é originada de um endereço IP cujo padrão de acesso é semelhante ao de uma verificação da Web. Essa atividade geralmente está associada a uma tentativa de um invasor verificar sua rede para tentar obter acesso a páginas da Web sigilosas ou vulneráveis. (Aplica-se a: Serviço de Aplicativo no Windows e Serviço de Aplicativo no Linux)

Táticas MITRE: -

Gravidade: Baixa

Referência de nome de domínio suspeito

(AppServices_CommandlineSuspectDomain)

Descrição: A análise dos dados do host detectou referência a nome de domínio suspeito. Essa atividade, embora seja possivelmente um comportamento de um usuário legítimo, é, muitas vezes, uma indicação do download ou da execução de um software mal-intencionado. A atividade típica relacionada ao invasor provavelmente incluirá o download e a execução de um software mal-intencionado adicional ou de ferramentas de administração remota. (Aplica-se a: Serviço de Aplicativo no Linux)

Táticas MITRE: Exfiltração

Gravidade: Baixa

Download suspeito usando o Certutil detectado

(AppServices_DownloadUsingCertutil)

Descrição: A análise dos dados do host em {NAME} detectou o uso do certutil.exe, um utilitário de administrador interno, para o download de um binário em vez de sua finalidade principal relacionada à manipulação de certificados e dados de certificados. Os invasores são conhecidos por abusar da funcionalidade de ferramentas de administrador legítimas para executar ações mal-intencionadas, por exemplo, usar o certutil.exe para baixar e decodificar um executável mal-intencionado que será executado posteriormente. (Aplica-se a: Serviço de Aplicativo no Windows)

Táticas MITRE: Execução

Gravidade: Média

Execução de PHP suspeito detectada

(AppServices_SuspectPhp)

Descrição: Logs de máquina indicam que um processo PHP suspeito está em execução. A ação incluiu uma tentativa de executar comandos do sistema operacional ou código PHP na linha de comando usando o processo PHP. Embora o comportamento possa ser legítimo, em aplicativos Web, esse comportamento também pode indicar atividades mal-intencionadas, como tentativas de infectar sites com web shells. (Aplica-se a: Serviço de Aplicativo no Windows e Serviço de Aplicativo no Linux)

Táticas MITRE: Execução

Gravidade: Média

Cmdlets suspeitos do PowerShell executados

(AppServices_PowerShellPowerSploitScriptExecution)

Descrição: a análise de dados do host indica a execução de cmdlets PowerSploit do PowerShell mal-intencionados conhecidos. (Aplica-se a: Serviço de Aplicativo no Windows)

Táticas MITRE: Execução

Gravidade: Média

Processo suspeito executado

(AppServices_KnownCredential AccessTools)

Descrição: os logs da máquina indicam que o processo suspeito: '%{caminho do processo}' estava em execução na máquina, geralmente associado a tentativas do invasor de acessar credenciais. (Aplica-se a: Serviço de Aplicativo no Windows)

Táticas MITRE: Acesso a Credenciais

Gravidade: Alta

Nome de processo suspeito detectado

(AppServices_ProcessWithKnownSuspiciousExtension)

Descrição: a análise dos dados do host em {NAME} detectou um processo cujo nome é suspeito, por exemplo, correspondendo a uma ferramenta de invasor conhecida ou nomeado de uma forma sugestiva de ferramentas de invasor que tentam se esconder à vista de todos. O processo pode ser uma atividade legítima ou uma indicação de que um de seus computadores foi comprometido. (Aplica-se a: Serviço de Aplicativo no Windows)

Táticas MITRE: Persistência, Evasão de Defesa

Gravidade: Média

Processo SVCHOST suspeito executado

(AppServices_SVCHostFromInvalidPath)

Descrição: O processo do sistema SVCHOST foi observado em execução em um contexto anormal. O malware geralmente usa o SVCHOST para mascarar sua atividade maliciosa. (Aplica-se a: Serviço de Aplicativo no Windows)

Táticas MITRE: Evasão de Defesa, Execução

Gravidade: Alta

Agente de usuário suspeito detectado

(AppServices_UserAgentInjection)

Descrição: o log de atividades do Serviço de Aplicativo do Azure indica solicitações com agente de usuário suspeito. Esse comportamento pode indicar tentativas de exploração de uma vulnerabilidade em seu aplicativo do Serviço de Aplicativo. (Aplica-se a: Serviço de Aplicativo no Windows e Serviço de Aplicativo no Linux)

Táticas MITRE: Acesso Inicial

Severidade: Informativo

Invocação de tema do WordPress suspeita detectada

(AppServices_WpThemeInjection)

Descrição: o log de atividades do Serviço de Aplicativo do Azure indica uma possível atividade de injeção de código em seu recurso do Serviço de Aplicativo. A atividade suspeita detectada se assemelha à manipulação de tema do WordPress para dar suporte à execução de código no lado do servidor, seguida por uma solicitação direta da Web para invocar o arquivo de tema manipulado. Esse tipo de atividade foi visto no passado como parte de uma campanha de ataque no WordPress. Se não estiver hospedando um site do WordPress, o recurso do seu Serviço de Aplicativo não estará vulnerável a essa exploração de injeção de código específica e você poderá suprimir esse alerta para o recurso com segurança. Para saber como suprimir alertas de segurança, confira Suprimir alertas do Microsoft Defender para Nuvem. (Aplica-se a: Serviço de Aplicativo no Windows e Serviço de Aplicativo no Linux)

Táticas MITRE: Execução

Gravidade: Alta

Verificação de vulnerabilidades detectada

(AppServices_DrupalScanner)

Descrição: o log de atividades do Serviço de Aplicativo do Azure indica que um possível mecanismo de varredura de vulnerabilidade foi usado em seu recurso do Serviço de Aplicativo. A atividade suspeita detectada assemelha-se à de ferramentas direcionadas a um CMS (sistema de gerenciamento de conteúdo). Se não estiver hospedando um site do Drupal, o recurso do seu Serviço de Aplicativo não estará vulnerável a essa exploração de injeção de código específica e você poderá suprimir com segurança esse alerta para o recurso. Para saber como suprimir alertas de segurança, confira Suprimir alertas do Microsoft Defender para Nuvem. (Aplica-se a: Serviço de Aplicativo no Windows)

Táticas MITRE: PreAttack

Gravidade: Baixa

Verificação de vulnerabilidades detectada

(AppServices_JoomlaScanner)

Descrição: o log de atividades do Serviço de Aplicativo do Azure indica que um possível mecanismo de varredura de vulnerabilidade foi usado em seu recurso do Serviço de Aplicativo. A atividade suspeita detectada se assemelha à de ferramentas direcionadas a aplicativos Joomla. Se não estiver hospedando um site do Joomla, o recurso do Serviço de Aplicativo não estará vulnerável a essa exploração de injeção de código específica e você poderá suprimir com segurança esse alerta para o recurso. Para saber como suprimir alertas de segurança, confira Suprimir alertas do Microsoft Defender para Nuvem. (Aplica-se a: Serviço de Aplicativo no Windows e Serviço de Aplicativo no Linux)

Táticas MITRE: PreAttack

Gravidade: Baixa

Verificação de vulnerabilidades detectada

(AppServices_WpScanner)

Descrição: o log de atividades do Serviço de Aplicativo do Azure indica que um possível mecanismo de varredura de vulnerabilidade foi usado em seu recurso do Serviço de Aplicativo. A atividade suspeita detectada se assemelha à de ferramentas direcionadas a aplicativos WordPress. Se não estiver hospedando um site do WordPress, o recurso do seu Serviço de Aplicativo não estará vulnerável a essa exploração de injeção de código específica e você poderá suprimir esse alerta para o recurso com segurança. Para saber como suprimir alertas de segurança, confira Suprimir alertas do Microsoft Defender para Nuvem. (Aplica-se a: Serviço de Aplicativo no Windows e Serviço de Aplicativo no Linux)

Táticas MITRE: PreAttack

Gravidade: Baixa

Impressão digital da web detectada

(AppServices_WebFingerprinting)

Descrição: o log de atividades do Serviço de Aplicativo do Azure indica uma possível atividade de impressão digital da Web em seu recurso do Serviço de Aplicativo. A atividade suspeita detectada está associada a uma ferramenta chamada Blind Elephant. A ferramenta deixa as impressões digitais em servidores Web e tenta detectar os aplicativos instalados e as versões deles. Os invasores geralmente usam essa ferramenta a fim de investigar o aplicativo Web para encontrar vulnerabilidades. (Aplica-se a: Serviço de Aplicativo no Windows e Serviço de Aplicativo no Linux)

Táticas MITRE: PreAttack

Gravidade: Média

O site é marcado como mal-intencionado no feed de inteligência contra ameaças

(AppServices_SmartScreen)

Descrição: Seu site, conforme descrito abaixo, é marcado como um site mal-intencionado pelo Windows SmartScreen. Se você considerar que este é um falso positivo, entre em contato com o Windows SmartScreen por meio do link de comentários do relatório fornecido. (Aplica-se a: Serviço de Aplicativo no Windows e Serviço de Aplicativo no Linux)

Táticas MITRE: Coleção

(K8S.NODE_SuspectUserAddition) ¹

Descrição: A análise de processos em execução dentro de um contêiner ou diretamente em um nó do Kubernetes, detectou um uso suspeito do comando useradd.

Táticas MITRE: Persistência

Gravidade: Média

Contêiner de mineração de moeda digital detectado

(K8S_MaliciousContainerImage) ³

Descrição: a análise de log de auditoria do Kubernetes detectou um contêiner que tem uma imagem associada a uma ferramenta de mineração de moeda digital.

Táticas MITRE: Execução

Gravidade: Alta

Descrição: A análise de processos em execução dentro de um contêiner ou diretamente em um nó Kubernetes, detectou um processo suspeito. Isso é frequentemente associado ao agente MITRE 54ndc47, que pode ser usado maliciosamente para atacar outras máquinas.

Táticas MITRE: Persistência, PrivilegeEscalation, DefenseEvasion, CredentialAccess, Discovery, LateralMovement, Execução, Coleta, Exfiltração, Comando e Controle, Sondagem, Exploração

Gravidade: Média

¹: Pré-visualização para clusters não-AKS: este alerta está geralmente disponível para clusters AKS, mas está em pré-visualização para outros ambientes, como Azure Arc, EKS e GKE.

²: limitações nos clusters do GKE: o GKE usa uma política de auditoria do Kubernetes que não dá suporte a todos os tipos de alertas. Como resultado, esse alerta de segurança, que se baseia em eventos de auditoria do Kubernetes, não é compatível com clusters do GKE.

³: há suporte para esse alerta em nós/contêineres do Windows.

Alertas para o Banco de Dados SQL e o Azure Synapse Analytics

Mais detalhes e observações

Uma possível vulnerabilidade à injeção de SQL

(SQL. DB_VulnerabilityToSqlInjection SQL. VM_VulnerabilityToSqlInjection SQL.MI_VulnerabilityToSqlInjection SQL. DW_VulnerabilityToSqlInjection Synapse.SQLPool_VulnerabilityToSqlInjection)

Descrição: um aplicativo gerou uma instrução SQL defeituosa no banco de dados. Isso pode indicar uma possível vulnerabilidade a ataques de injeção de SQL. Há dois motivos possíveis para instrução com falha. Um defeito no código do aplicativo que pode ter construído a instrução SQL com falha. Ou, o código do aplicativo ou procedimentos armazenados não limpam a entrada do usuário ao construir a instrução SQL com erro, o que pode ser explorado para injeção de SQL.

Táticas MITRE: PreAttack

Gravidade: Média

Tentativa de logon por um aplicativo potencialmente prejudicial

(SQL. DB_HarmfulApplication SQL. VM_HarmfulApplication SQL.MI_HarmfulApplication SQL. DW_HarmfulApplication Synapse.SQLPool_HarmfulApplication)

Descrição: um aplicativo potencialmente prejudicial tentou acessar seu recurso.

Táticas MITRE: PreAttack

Gravidade: Alta

Logon de um Data Center do Azure incomum

(SQL. DB_DataCenterAnomaly SQL. VM_DataCenterAnomaly SQL. DW_DataCenterAnomaly SQL.MI_DataCenterAnomaly Synapse.SQLPool_DataCenterAnomaly)

Descrição: houve uma alteração no padrão de acesso a um SQL Server, em que alguém entrou no servidor de um Data Center incomum do Azure. Em alguns casos, o alerta detecta uma ação legítima (um novo aplicativo ou serviço do Azure). Em outros casos, o alerta detecta uma ação mal-intencionada (o invasor está operando pelo recurso violado no Azure).

Táticas MITRE: Sondagem

Gravidade: Baixa

Fazer logon de um local incomum

(SQL. DB_GeoAnomaly SQL. VM_GeoAnomaly SQL. DW_GeoAnomaly SQL.MI_GeoAnomaly Synapse.SQLPool_GeoAnomaly)

Descrição: houve uma alteração no padrão de acesso ao SQL Server, em que alguém entrou no servidor de um local geográfico incomum. Em alguns casos, o alerta detecta uma ação legítima (um novo aplicativo ou manutenção do desenvolvedor). Em outros casos, o alerta detecta uma ação mal-intencionada (um funcionário antigo ou invasor externo).

Táticas MITRE: Exploração

Gravidade: Média

(SQL. DB_PrincipalAnomaly SQL. VM_PrincipalAnomaly SQL. DW_PrincipalAnomaly SQL.MI_PrincipalAnomaly Synapse.SQLPool_PrincipalAnomaly)

Descrição: um usuário principal não visto nos últimos 60 dias fez logon em seu banco de dados. Se esse banco de dados for novo ou se esse for um comportamento esperado causado por alterações recentes nos usuários que acessam o banco de dados, o Defender para Nuvem identificará alterações significativas nos padrões de acesso e tentará evitar futuros falsos positivos.

Táticas MITRE: Exploração

Gravidade: Média

(SQL. DB_DomainAnomaly SQL. VM_DomainAnomaly SQL. DW_DomainAnomaly SQL.MI_DomainAnomaly Synapse.SQLPool_DomainAnomaly)

Descrição: um usuário fez logon em seu recurso a partir de um domínio do qual nenhum outro usuário se conectou nos últimos 60 dias. Se esse recurso for novo, ou se esse for um comportamento esperado causado por alterações recentes nos usuários que acessam o recurso, o Defender para Nuvem identificará alterações significativas nos padrões de acesso e tentará evitar futuros falsos positivos.

Táticas MITRE: Exploração

Gravidade: Média

(SQL.VM_PotentialSqlInjection)

Descrição: alguém iniciou uma nova carga utilizando a camada no SQL Server que se comunica com o sistema operacional enquanto oculta o comando na consulta SQL. Os invasores normalmente ocultam comandos impactantes que são popularmente monitorados como xp_cmdshell, sp_add_job e outros. As técnicas de ofuscação abusam de comandos legítimos, como concatenação de cadeia de caracteres, conversão, alteração de base e outros, para evitar a detecção de regex e prejudicar a legibilidade dos logs.

(SQL. PostgreSQL_HarmfulApplication SQL. MariaDB_HarmfulApplication SQL. MySQL_HarmfulApplication)

Descrição: um aplicativo potencialmente prejudicial tentou acessar seu recurso.

Táticas MITRE: PreAttack

Gravidade: Alta

(SQL. PostgreSQL_PrincipalAnomaly SQL. MariaDB_PrincipalAnomaly SQL. MySQL_PrincipalAnomaly)

Táticas MITRE: Exploração

Gravidade: Média

(SQL. MariaDB_DomainAnomaly SQL. PostgreSQL_DomainAnomaly SQL. MySQL_DomainAnomaly)

Táticas MITRE: Exploração

Gravidade: Média

Logon de um Data Center do Azure incomum

(SQL. PostgreSQL_DataCenterAnomaly SQL. MariaDB_DataCenterAnomaly SQL. MySQL_DataCenterAnomaly)

(ARM_OperationFromSuspiciousProxyIP)

Descrição: o Microsoft Defender for Resource Manager detectou uma operação de gerenciamento de recursos de um endereço IP associado a serviços proxy, como o TOR. Embora esse comportamento possa ser legítimo, ele geralmente é visto em atividades mal-intencionadas, quando os atores da ameaça tentam ocultar o IP de origem.

Táticas MITRE: Evasão de Defesa

Gravidade: Média

Kit de ferramentas de exploração do MicroBurst usado para enumerar recursos nas suas assinaturas

(ARM_MicroBurst.AzDomainInfo)

Descrição: um script do PowerShell foi executado em sua assinatura e executou um padrão suspeito de execução de operações de coleta de informações para descobrir recursos, permissões e estruturas de rede. Atores de ameaças usam scripts automatizados, como o MicroBurst, para coletar informações e realizar atividades mal-intencionadas. Isso foi detectado pela análise das operações do Azure Resource Manager na sua assinatura. Essa operação pode indicar que uma identidade na organização foi violada e que o ator de ameaça está tentando comprometer seu ambiente para intenções mal-intencionadas.

Táticas MITRE: -

Gravidade: Baixa

(Storage.Blob_SuspiciousApp)

Descrição: indica que um aplicativo suspeito acessou com êxito um contêiner de uma conta de armazenamento com autenticação. Isso pode indicar que um invasor obteve as credenciais necessárias para acessar a conta e está explorando-a. Isso também pode ser uma indicação de um teste de penetração realizado na sua organização. Aplica-se a: Armazenamento de Blobs do Azure, Azure Data Lake Storage Gen2

Táticas MITRE: Acesso Inicial

Gravidade: Alta/Média

Acesso de um endereço IP suspeito

(Storage.Blob_SuspiciousIp Storage.Files_SuspiciousIp)

Descrição: indica que essa conta de armazenamento foi acessada com êxito a partir de um endereço IP considerado suspeito. Esse alerta é fornecido pela Inteligência contra Ameaças da Microsoft. Saiba mais sobre as funcionalidades de inteligência contra ameaças da Microsoft. Aplica-se a: Armazenamento de Blobs do Azure, Arquivos do Azure, Azure Data Lake Storage Gen2

Táticas MITRE: Pré Ataque

Gravidade: Alta/Média/Baixa

Conteúdo de phishing hospedado em uma conta de armazenamento

(Storage.Blob_PhishingContent Storage.Files_PhishingContent)

Descrição: uma URL usada em um ataque de phishing aponta para sua conta de Armazenamento do Azure. Essa URL fazia parte de um ataque de phishing que afetou os usuários do Microsoft 365. Normalmente, o conteúdo hospedado nessas páginas é projetado para induzir os visitantes a inserir as credenciais corporativas ou informações financeiras em um formulário da Web que parece legítimo. Esse alerta é fornecido pela Inteligência contra Ameaças da Microsoft. Saiba mais sobre as funcionalidades de inteligência contra ameaças da Microsoft. Aplica-se a: Armazenamento de Blobs do Azure, Arquivos do Azure

Táticas MITRE: Coleção

Gravidade: Alta

Conta de armazenamento identificada como fonte para distribuição de malware

(Storage.Files_WidespreadeAm)

Descrição: alertas antimalware indicam que um arquivo infectado está armazenado em um compartilhamento de arquivos do Azure montado em várias VMs. Se os invasores conseguirem acessar uma VM com um compartilhamento de arquivo montado do Azure, eles poderão usá-lo para espalhar malware para outras VMs que montam o mesmo compartilhamento. Aplica-se a: Arquivos do Azure

Táticas MITRE: Execução

Gravidade: Média

O nível de acesso de um contêiner de blob possivelmente confidencial foi alterado para permitir o acesso público não autenticado

(Storage.Blob_OpenACL)

Descrição: o alerta indica que alguém alterou o nível de acesso de um contêiner de blob na conta de armazenamento, que pode conter dados confidenciais, para o nível 'Contêiner', para permitir acesso público não autenticado (anônimo). A alteração foi feita por meio do portal do Azure. Com base em análises estatísticas, o contêiner do blobs foi sinalizado como possivelmente contendo dados confidenciais. Essa análise sugere que os contêineres de blob ou contas de armazenamento com nomes semelhantes normalmente não estão expostos ao acesso público. Aplica-se às: contas de armazenamento de Blobs do Azure (Uso geral v2 Standard, Azure Data Lake Storage Gen2 ou blobs de bloco premium).

Táticas MITRE: Coleção

Gravidade: Média

Acesso autenticado de um nó de saída do Tor

(Storage.Blob_TorAnomaly Storage.Files_TorAnomaly)

Descrição: Um ou mais contêiner(es) de armazenamento/compartilhamento(s) de arquivos em sua conta de armazenamento foram acessados com êxito a partir de um endereço IP conhecido por ser um nó de saída ativo do Tor (um proxy anônimo). Os atores de ameaça usam o Tor para dificultar o rastreamento da atividade até eles. O acesso autenticado de um nó de saída do Tor é uma indicação provável de que um ator de ameaça está tentando ocultar a própria identidade. Aplica-se a: Armazenamento de Blobs do Azure, Arquivos do Azure, Azure Data Lake Storage Gen2

Táticas MITRE: Acesso Inicial / Pré-Ataque

Gravidade: Alta/Média

Acesso de um local incomum a uma conta de armazenamento

(Storage.Blob_GeoAnomaly Storage.Files_GeoAnomaly)

Descrição: indica que houve uma alteração no padrão de acesso a uma conta de Armazenamento do Azure. Alguém acessou a conta de um endereço IP considerado desconhecido quando comparado com a atividade recente. Um invasor obteve acesso à conta ou um usuário legítimo se conectou de um local geográfico novo ou incomum. Um exemplo do último é a manutenção remota de um novo aplicativo ou desenvolvedor. Aplica-se a: Armazenamento de Blobs do Azure, Arquivos do Azure, Azure Data Lake Storage Gen2

Táticas MITRE: Acesso Inicial

Gravidade: Alta/Média/Baixa

Acesso não autenticado incomum a um contêiner de armazenamento

(Storage.Blob_AnonymousAccessAnomaly)

Descrição: essa conta de armazenamento foi acessada sem autenticação, o que é uma alteração no padrão de acesso comum. O acesso de leitura a esse contêiner geralmente é autenticado. Isso pode indicar que um ator de ameaça conseguiu explorar o acesso de leitura público a contêineres de armazenamento nesta(s) conta(s) de armazenamento. Aplica-se a: Armazenamento do Blobs do Azure

Táticas MITRE: Acesso Inicial

Gravidade: Alta/Baixa

Possível malware carregado em uma conta de armazenamento

(Storage.Blob_MalwareHashReputation Storage.Files_MalwareHashReputation)

Descrição: indica que um blob contendo malware potencial foi carregado em um contêiner de blob ou em um compartilhamento de arquivos em uma conta de armazenamento. Esse alerta é baseado na análise de reputação de hash aproveitando o poder da inteligência contra ameaças da Microsoft, que inclui hashes de vírus, cavalos de Troia, spyware e ransomware. As causas potenciais podem incluir um carregamento intencional de malware por um invasor ou um carregamento não intencional de um blob potencialmente mal-intencionado por um usuário legítimo. Aplica-se a: Armazenamento de Blobs do Azure, Arquivos do Azure (Somente para transações na API REST) Saiba mais sobre os recursos de inteligência de ameaças da Microsoft.

Táticas MITRE: Movimento Lateral

Gravidade: Alta

Contêineres de armazenamento acessíveis publicamente descobertos com êxito

(Storage.Blob_OpenContainersScanning.SuccessfulDiscovery)

Descrição: uma descoberta bem-sucedida de contêiner(es) de armazenamento aberto publicamente em sua conta de armazenamento foi executada na última hora por um script ou ferramenta de varredura.

Isso geralmente indica um ataque de reconhecimento, em que o ator de ameaça tenta listar blobs adivinhando nomes de contêiner, na esperança de encontrar contêineres de armazenamento abertos configurados incorretamente com dados confidenciais neles.

O agente da ameaça pode usar seu próprio script ou usar ferramentas de varredura conhecidas, como o Microburst, para procurar contêineres abertos publicamente.

✔ Armazenamento de Blobs do Azure ✖ Arquivos do Azure ✖ Azure Data Lake Storage Gen2

Táticas MITRE: Coleção

Gravidade: Alta/Média

Falha no exame de contêineres de armazenamento acessíveis publicamente

(Storage.Blob_OpenContainersScanning.FailedAttempt)

Descrição: uma série de tentativas fracassadas de procurar contêineres de armazenamento abertos publicamente foram executadas na última hora.

Descrição: o alerta indica que um blob mal-intencionado foi baixado de uma conta de armazenamento. As causas potenciais podem incluir malware que foi carregado na conta de armazenamento e não removido ou colocado em quarentena, permitindo assim que um agente de ameaça o baixe, ou um download não intencional do malware por usuários ou aplicativos legítimos. Aplica-se a: contas de armazenamento do Blob do Azure (v2 padrão de uso geral, Azure Data Lake Storage Gen2 ou blobs de blocos premium) com o novo plano Defender para Armazenamento e o recurso Verificação de Malware habilitado.

Táticas MITRE: Movimento Lateral

Severidade: Alta, se Eicar - baixa

Alertas do Azure Cosmos DB

Mais detalhes e observações

Acesso de um nó de saída do Tor

(CosmosDB_TorAnomaly)

Descrição: essa conta do Azure Cosmos DB foi acessada com êxito de um endereço IP conhecido por ser um nó de saída ativo do Tor, um proxy anônimo. O acesso autenticado de um nó de saída do Tor é uma indicação provável de que um ator de ameaça está tentando ocultar a própria identidade.

Táticas MITRE: Acesso Inicial

Gravidade: Alta/Média

Acesso de um IP suspeito

(CosmosDB_SuspiciousIp)

Descrição: essa conta do Azure Cosmos DB foi acessada com êxito a partir de um endereço IP identificado como uma ameaça pelo Microsoft Threat Intelligence.

Táticas MITRE: Acesso Inicial

Gravidade: Média

Acesso de um local incomum

(CosmosDB_GeoAnomaly)

Descrição: essa conta do Azure Cosmos DB foi acessada de um local considerado desconhecido, com base no padrão de acesso usual.

Um ator de ameaça obteve acesso à conta ou um usuário legítimo se conectou de um local geográfico novo ou incomum

Táticas MITRE: Acesso Inicial

Gravidade: Baixa

Volume incomum de dados extraídos

(CosmosDB_DataExfiltrationAnomaly)

Descrição: um volume excepcionalmente grande de dados foi extraído dessa conta do Azure Cosmos DB. Isso pode indicar que um ator de ameaça exfiltrou dados.

Táticas MITRE: Exfiltração

Gravidade: Média

Extração de chaves de contas do Azure Cosmos DB por meio de um script possivelmente mal-intencionado

(CosmosDB_SuspiciousListKeys.MaliciousScript)

Descrição: um script do PowerShell foi executado em sua assinatura e executou um padrão suspeito de operações de listagem de chaves para obter as chaves das contas do Azure Cosmos DB em sua assinatura. Os atores da ameaça usam scripts automatizados, como o Microburst, para listar chaves e localizar as contas do Azure Cosmos DB que eles podem acessar.

Essa operação pode indicar que uma identidade na organização foi violada e que o ator da ameaça está tentando comprometer as contas do Azure Cosmos DB no seu ambiente com objetivos mal-intencionados.

Como alternativa, um insider mal-intencionado pode tentar acessar dados confidenciais e executar a movimentação lateral.

Táticas MITRE: Coleção

Gravidade: Média

Extração suspeita de chaves de conta do Azure Cosmos DB (AzureCosmosDB_SuspiciousListKeys.SuspiciousPrincipal)

Descrição: uma fonte suspeita extraiu chaves de acesso à conta do Azure Cosmos DB de sua assinatura. Se essa fonte não for uma fonte legítima, isso pode ser um problema de alto impacto. A chave de acesso extraída fornece controle total sobre os bancos de dados associados e os dados armazenados neste banco de dados. Consulte os detalhes de cada alerta específico para reconhecer por que a fonte foi sinalizada como suspeita.

Táticas MITRE: Acesso a Credenciais

Gravidade: alta

Injeção de SQL: possível exfiltração dos dados

(CosmosDB_SqlInjection.DataExfiltration)

Descrição: uma instrução SQL suspeita foi usada para consultar um contêiner nesta conta do Azure Cosmos DB.

A instrução injetada pode ter sido bem-sucedida na exfiltração de dados que o agente de ameaça não está autorizado a acessar.

Devido à estrutura e às funcionalidades das consultas do Azure Cosmos DB, muitos ataques de injeção de SQL conhecidos em contas do Azure Cosmos DB não funcionam. No entanto, a variação usada nesse ataque pode funcionar e os agentes de ameaças podem exfiltrar dados.

Táticas MITRE: Exfiltração

Gravidade: Média

Injeção de SQL: tentativa de fuzzing

(CosmosDB_SqlInjection.FailedFuzzingAttempt)

Descrição: uma instrução SQL suspeita foi usada para consultar um contêiner nesta conta do Azure Cosmos DB.

Assim como outros ataques de injeção de SQL bem conhecidos, esse ataque não conseguirá comprometer a conta do Azure Cosmos DB.

No entanto, é uma indicação de que um agente de ameaça está tentando atacar os recursos dessa conta e seu aplicativo pode estar comprometido.

Alguns ataques de injeção de SQL podem ser bem-sucedidos e usados para exfiltrar dados. Isso significa que, se o invasor continuar executando tentativas de injeção de SQL, ele poderá comprometer sua conta do Azure Cosmos DB e exfiltrar dados.

Você pode evitar essa ameaça usando consultas parametrizadas.

Gravidade: Média

Alertas da Proteção contra DDoS do Azure

Mais detalhes e observações

Ataque de DDoS detectado para IP público

(NETWORK_DDOS_DETECTED)

Descrição: Ataque DDoS detectado para IP Público (endereço IP) e sendo mitigado.

Táticas MITRE: Sondagem

Gravidade: Alta

Ataque de DDoS migrado para IP público

(NETWORK_DDOS_MITIGATED)

As listas a seguir incluem os alertas de segurança do Defender for Containers que foram preteridos.

Manipulação do firewall do host detectada

(K8S.NODE_FirewallDisabled)

Descrição: A análise de processos em execução dentro de um contêiner ou diretamente em um nó Kubernetes, detectou uma possível manipulação do firewall no host. Os invasores geralmente desabilitarão isso para exportar dados.

Táticas MITRE: DefesaEvasão, Exfiltração

Gravidade: Média

Uso suspeito de DNS sobre HTTPS

(K8S.NODE_SuspiciousDNSOverHttps)

Descrição: A análise de processos em execução dentro de um contêiner ou diretamente em um nó Kubernetes, detectou o uso de uma chamada DNS sobre HTTPS de forma incomum. Essa técnica é usada por invasores para ocultar chamadas para sites suspeitos ou mal-intencionados.

Táticas MITRE: DefesaEvasão, Exfiltração

Gravidade: Média

Uma conexão possível com um local mal-intencionado foi detectada.

(K8S.NODE_ThreatIntelCommandLineSuspectDomain)

Descrição: A análise de processos em execução dentro de um contêiner ou diretamente em um nó do Kubernetes, detectou uma conexão com um local que foi relatado como malicioso ou incomum. Este é um indicador de que pode ter ocorrido um compromisso.

Táticas MITRE: InitialAccess

Gravidade: Média

Atividade de mineração de moeda digital

(K8S. NODE_CurrencyMining)

Descrição: A análise de transações DNS detectou atividade de mineração de moeda digital. Essa atividade, embora seja possivelmente um comportamento de usuário legítimo, é frequentemente executada pelos invasores após o comprometimento dos recursos. A atividade típica relacionada ao invasor provavelmente incluirá o download e a execução de ferramentas de mineração comuns.

Táticas MITRE: Exfiltração

Nome de exibição do alerta: possível shell da Web mal-intencionado detectado

Nome de exibição do alerta: Detectada a desativação de serviços críticos

Gravidade: Média

As intenções de kill chain suportadas pelo Defender for Cloud são baseadas na versão 9 da matriz MITRE ATT&CK e descritas na tabela abaixo.

Tática	Versão ATT&CK	Descrição
PreAttack		O PreAttack pode ser uma tentativa de acessar um determinado recurso, independentemente de uma intenção mal-intencionada, ou uma tentativa com falha de obter acesso a um sistema de destino para coletar informações antes da exploração. Normalmente, a etapa é detectada como uma tentativa, proveniente de fora da rede, para verificar o sistema de destino e identificar um ponto de entrada.
Acesso inicial	V7, V9	O InitialAccess é o estágio em que um invasor consegue obter uma base no recurso atacado. Esse estágio é relevante para os hosts de computação e recursos, como contas de usuário, certificados etc. Os atores de ameaça geralmente poderão controlar o recurso após esse estágio.
Persistência	V7, V9	A persistência é qualquer acesso, ação ou alteração na configuração em um sistema que forneça a um ator de ameaças uma presença persistente nesse sistema. Os atores de ameaças geralmente precisarão manter o acesso aos sistemas por meio de interrupções, como reinicializações do sistema, perda de credenciais ou outras falhas que exijam que uma ferramenta de acesso remoto reinicie ou forneça um backdoor alternativo para que eles recuperem o acesso.
Escalonamento de Privilégios	V7, V9	A elevação de privilégio é o resultado de ações que permitem que um adversário obtenha um nível mais alto de permissões em um sistema ou uma rede. Determinadas ferramentas ou ações exigem um nível mais alto de privilégio para funcionar e provavelmente são necessárias em muitos pontos em uma operação. Contas de usuário com permissões para acessar sistemas específicos ou executar funções específicas necessárias para que os adversários atinjam seu objetivo também podem ser consideradas uma escalada de privilégio.
Evasão de defesa	V7, V9	A evasão de defesa consiste em técnicas que um adversário pode usar para evitar a detecção ou evitar outras defesas. Às vezes, essas ações são as mesmas que as técnicas (ou variações) em outras categorias que têm o benefício adicional de derrubar uma determinada defesa ou mitigação.
Acesso com credencial	V7, V9	O acesso a credenciais representa técnicas que resultam no acesso às credenciais do sistema, do domínio ou do serviço ou no controle dessas credenciais dentro de um ambiente empresarial. Os adversários provavelmente tentarão obter credenciais legítimas contas de usuários ou de administrador (administrador do sistema local ou usuários de domínio com acesso de administrador) para usar na rede. Com acesso suficiente em uma rede, um adversário pode criar contas para uso posterior no ambiente.
Discovery	V7, V9	A descoberta consiste em técnicas que permitem que o adversário obtenha conhecimento sobre o sistema e a rede interna. Quando os adversários têm acesso a um novo sistema, eles devem se orientar para o que agora têm controle e quais benefícios o sistema operacional oferece ao seu objetivo atual ou metas gerais durante a invasão. O sistema operacional fornece muitas ferramentas nativas que auxiliam nesta fase de coleta de informações após o comprometimento.
LateralMovement	V7, V9	A movimentação lateral consiste de técnicas que permitem que um adversário acesse e controle sistemas remotos em uma rede e pode incluir a execução de ferramentas em sistemas remotos, mas não necessariamente fazê-lo. As técnicas de movimento lateral podem permitir que um adversário colete informações de um sistema sem precisar de mais ferramentas, como uma ferramenta de acesso remoto. Um adversário pode usar a movimentação lateral para muitas finalidades, incluindo execução remota de ferramentas, ponto de acesso a mais sistemas, acesso a informações ou arquivos específicos, acesso mais credenciais ou causar algum efeito.
Execução	V7, V9	A tática de execução representa as técnicas que resultam na execução de código controlado por adversário em um sistema local ou remoto. Essa tática geralmente é usada em conjunto com a movimentação lateral para expandir o acesso a sistemas remotos em uma rede.
Coleção	V7, V9	A coleção consiste de técnicas usadas para identificar e coletar informações, como arquivos confidenciais, de uma rede de destino antes do vazamento. Esta categoria também abrange locais em um sistema ou rede onde o adversário pode procurar informações para exfiltrar.
Comando e controle	V7, V9	A tática de comando e controle representa como os adversários se comunicam com os sistemas que estão controlando em uma rede de destino.
Exfiltração	V7, V9	A exfiltração refere-se a técnicas e atributos que ajudam o adversário a remover arquivos e informações de uma rede de destino ou resultam nessa ação. Esta categoria também abrange locais em um sistema ou rede onde o adversário pode procurar informações para exfiltrar.
Impacto	V7, V9	Os eventos de impacto tentam principalmente reduzir diretamente a disponibilidade ou a integridade de um sistema, um serviço ou uma rede, incluindo a manipulação de dados para afetar um processo comercial ou operacional. Geralmente se refere a técnicas como ransomware, desfiguração, manipulação de dados e outros.

Observação

Para obter alertas que estão em versão prévia: os termos suplementares de versão prévia do Azure incluem termos legais adicionais que se aplicam aos recursos do Azure que estão em versão beta, versão prévia ou que, de outra forma, ainda não foram lançados em disponibilidade geral.

Alertas de segurança – um guia de referência

Alertas para computadores Windows

Um logon de um IP mal-intencionado foi detectado. [visto várias vezes]

A violação da política de controle de aplicativo adaptável foi auditada

Adição de conta de convidado ao grupo de administradores locais

Um log de eventos foi limpo

Falha na ação do Antimalware

Ação do Antimalware executada

Exclusão ampla de arquivos antimalware na sua máquina virtual

Desabilitação de antimalware e execução de código na sua máquina virtual

Desabilitação de antimalware na sua máquina virtual

Exclusão de arquivo antimalware e execução de código na sua máquina virtual

Exclusão de arquivo antimalware e execução de código na sua máquina virtual

Exclusão de arquivo antimalware na sua máquina virtual

A proteção em tempo real de antimalware foi desabilitada na sua máquina virtual

A proteção em tempo real de antimalware foi desabilitada temporariamente na sua máquina virtual

A proteção em tempo real de antimalware foi desabilitada temporariamente durante a execução de código na sua máquina virtual

Verificações de antimalware bloqueadas para arquivos potencialmente relacionados a campanhas de malware em sua máquina virtual (Versão prévia)

Desabilitação temporária de antimalware na sua máquina virtual

Exclusão de arquivo antimalware incomum na sua máquina virtual

Comunicação com um domínio suspeito identificado pela inteligência contra ameaças

Ações detectadas indicando a desativação e exclusão de arquivos de log do IIS

Mistura anormal de caracteres maiúsculos e minúsculos detectada na linha de comando

Alteração detectada em uma chave do Registro que pode ser usada por ignorar o UAC

Decodificação detectada de um executável usando a ferramenta interna certutil.exe

Habilitação detectada da chave do Registro UseLogonCredential WDigest

Executável codificado detectado em dados da linha de comando

Linha de comando ofuscada detectada

Possível execução de executável keygen detectada

Possível execução de instalação de malware detectada

Possível atividade de reconhecimento local detectada

Uso potencialmente suspeito de ferramenta Telegram detectado

Supressão de aviso legal exibido aos usuários no logon detectado

Combinação suspeita de HTA e PowerShell detectada

Argumentos da linha de comando suspeitos detectados

Linha de comando suspeita detectada usada para iniciar todos os executáveis em um diretório

Credenciais suspeitas detectadas na linha de comando

Credenciais de documento suspeitas detectadas

Execução suspeita do comando VBScript.Encode detectada

Execução suspeita via rundll32.exe detectada

Comandos de limpeza de arquivo suspeitos detectados

Criação de arquivo suspeito detectada

Comunicações de pipe nomeado suspeitas detectadas

Atividade de rede suspeita detectada

Nova regra de firewall suspeita detectada

Uso suspeito de CACLS detectado para diminuir o estado de segurança do sistema

Uso suspeito de opção de FTP -s detectado

Uso suspeito detectado de Pcalua.exe para iniciar o código executável

Desabilitação de serviços críticos detectada

Comportamento relacionado à mineração de moeda digital detectado

Criação de script do PS dinâmico

Executável encontrado em execução em um local suspeito

Comportamento de ataque sem arquivos detectado

Técnica de ataque de sem arquivos detectada

Kit de ferramentas de ataque sem arquivos detectado

Software de alto risco detectado

Os membros do grupo de administradores locais foram enumerados

Regra de firewall mal-intencionado criada pelo implante do servidor ZINC [visto várias vezes]

Atividade do SQL mal-intencionada

Várias contas de domínio consultadas

Possível despejo de credencial detectado [visto várias vezes]

Possível tentativa de ignorar o AppLocker detectada

Grupo de serviço do SVCHOST raro executado

Ataque a teclas de aderência detectado

Ataque de força bruta bem-sucedido

Indicação de nível de integridade suspeito de sequestro de RDP

Instalação de serviço suspeito

Parâmetros de ataque de Golden Ticket do Kerberos suspeitos observados

Criação de conta suspeita detectada

Atividade suspeita detectada

Atividade de autenticação suspeita

Segmento de código suspeito detectado

Arquivo de extensão dupla suspeito executado

Download suspeito usando o Certutil detectado [visto várias vezes]

Download suspeito usando o Certutil detectado

Atividade suspeita do PowerShell detectada

Cmdlets suspeitos do PowerShell executados

Processo suspeito executado [visto várias vezes]

Processo suspeito executado

Nome de processo suspeito executado [visto várias vezes]