Microsoft Sentinel makine öğrenmesi altyapısı tarafından algılanan anomaliler

Microsoft Sentinel, belirli bir süre boyunca bir ortamdaki kullanıcıların davranışını analiz ederek ve meşru etkinlik temeli oluşturarak anomalileri algılar. Temel oluşturulduktan sonra, normal parametrelerin dışındaki tüm etkinlikler anormal ve dolayısıyla şüpheli olarak kabul edilir.

Microsoft Sentinel, taban çizgileri oluşturmak ve anomalileri algılamak için iki model kullanır.

Bu makalede, Microsoft Sentinel çeşitli makine öğrenmesi modellerini kullanarak algılayan anomaliler listelenir.

Anomaliler tablosunda:

  • sütun, rulename her anomaliyi tanımlamak için kullanılan kural Sentinel gösterir.
  • Sütun, score beklenen davranıştan sapma derecesini ölçen 0 ile 1 arasında bir sayısal değer içerir. Yüksek puanlar taban çizgisinden daha fazla sapma olduğunu ve gerçek anomali olma olasılığının daha yüksek olduğunu gösterir. Düşük puanlar yine de anormal olabilir, ancak anlamlı veya eyleme dönüştürülebilir olma olasılığı daha düşüktür.

Not

Bu anomali algılamaları, düşük sonuç kalitesi nedeniyle 8 Mart 2026'da sona erer:

  • DNS etki alanlarında etki alanı oluşturma algoritması (DGA)
  • Üst düzey DNS Etki Alanlarında olası etki alanı oluşturma algoritması (DGA)

UEBA ve makine öğrenmesi tabanlı anomalileri karşılaştırma

UEBA ve makine öğrenmesi (ML) tabanlı anomaliler, anomali algılamaya yönelik tamamlayıcı yaklaşımlardır. Her ikisi de tabloyu doldurur Anomalies ancak farklı amaçlara hizmet eder:

Yönü UEBA anomalileri ML anomali algılama kuralları
Odak Kim alışılmadık davranıyor? Hangi etkinlik olağan dışıdır?
Algılama yaklaşımı Geçmiş etkinlik, eş davranışı ve kuruluş genelindeki desenlerle karşılaştırıldığında varlık odaklı davranış taban çizgileri Belirli veri desenleri üzerinde eğitilen istatistiksel ve ML modellerini kullanan özelleştirilebilir kural şablonları
Temel kaynak Her varlığın kendi geçmişi, eş grubu ve kuruluşu Belirli olay türlerinde eğitim dönemi (genellikle 7-21 gün)
Özelleştirme UEBA ayarları kullanılarak etkinleştirildi/devre dışı bırakıldı Analiz kuralı kullanıcı arabirimini kullanarak ayarlanabilir eşikler ve parametreler
Örnekler Anormal oturum açma, anormal hesap oluşturma, anormal ayrıcalık değişikliği Deneme yanılma girişimi, aşırı indirme, ağ işaretleyici

Daha fazla bilgi için bkz.:

UEBA anomalileri

Not

Bu bölümde listelenen UEBA anomalileri tabloda Anomalies saklanmaktadır. Tablodaki BehaviorInfo UEBA davranış kayıtlarına doğrudan eklenen anomali içgörüleri için bkz. UEBA davranışlarında anomalileri araştırın.

Sentinel UEBA, çeşitli veri girişlerinde her varlık için oluşturulan dinamik taban çizgilerini temel alan anomalileri algılar. Her varlığın temel davranışı kendi geçmiş etkinliklerine, eşlerinin ve kuruluşun bütün olarak sahip olduğu etkinliklere göre ayarlanır. Anomaliler eylem türü, coğrafi konum, cihaz, kaynak, ISS ve daha fazlası gibi farklı özniteliklerin bağıntısı ile tetiklenebilir.

UEBA anomalilerini algılamak için Sentinel çalışma alanınızda UEBA ve anomali algılamayı etkinleştirmeniz gerekir.

UEBA anomalileri şu anomali kurallarına göre algılar:

Sentinel, kiracınıza ve kaynağınıza özgü güvenilirlik puanına sahip UEBA anomalilerini tanımlamak için BehaviorAnalytics tablosundan zenginleştirilmiş verileri kullanır.

UEBA Anormal Hesap Erişimini Kaldırma

Açıklama: Saldırgan, geçerli kullanıcılar tarafından kullanılan hesaplara erişimi engelleyerek sistem ve ağ kaynaklarının kullanılabilirliğini kesintiye uğratabilir. Saldırgan, erişimi kaldırmak için hesabı silebilir, kilitlayabilir veya değiştirebilir (örneğin, kimlik bilgilerini değiştirerek).

Öznitelik Değer
Anomali türü: UEBA
Veri kaynakları: Azure Etkinlik günlükleri
MITRE ATT&CK taktikleri: Etki
MITRE ATT&CK teknikleri: T1531 - Hesap Erişimini Kaldırma
Etkinlik: Microsoft.Authorization/roleAssignments/delete
Oturumu Kapat

UEBA anomalileri listesine | geri dönBaşa dön

UEBA Anormal Hesap Oluşturma

Açıklama: Saldırganlar, hedeflenen sistemlere erişimi korumak için bir hesap oluşturabilir. Yeterli erişim düzeyiyle, bu tür hesapları oluşturmak, sistemde kalıcı uzaktan erişim araçlarının dağıtılması gerekmeden ikincil kimlik bilgilerine sahip erişim oluşturmak için kullanılabilir.

Öznitelik Değer
Anomali türü: UEBA
Veri kaynakları: Denetim günlüklerini Microsoft Entra
MITRE ATT&CK taktikleri: Kalıcılık
MITRE ATT&CK teknikleri: T1136 - Hesap Oluştur
MITRE ATT&CK alt teknikleri: Bulut Hesabı
Etkinlik: Core Directory/UserManagement/Kullanıcı ekle

UEBA anomalileri listesine | geri dönBaşa dön

UEBA Anomalous CheckPoint Anomalous VPN Login

Açıklama: Kamuya açık (özel olmayan) kaynak IP adreslerinden Check Point geçidisine alışılmadık şekilde başarılı VPN girişleri. Anormallikler, her girişin kaynak IP adresi, çözülen ülke/bölge ve ISP'si kullanıcının kendi geçmişi ve organizasyon genelindeki kalıplarla karşılaştırılarak belirlenir. Yeni bir IP adresinden veya ülke/bölgeden ilk kez giriş yapmak, ya da kiracıda daha önce hiç görülmemiş bir ülke/bölgeden girişler, imkansız seyahat, tehlikede kimlik bilgileri veya yetkisiz uzaktan erişim anlamına gelebilir.

Öznitelik Değer
Anomali türü: UEBA
Veri kaynakları: CommonSecurityLog (Kontrol Noktası)
MITRE ATT&CK taktikleri: İlk Erişim, Kalıcılık
MITRE ATT&CK teknikleri: T1078 - Geçerli Hesaplar, T1133 - Dış Uzaktan Hizmetler
Etkinlik: AnomalousVpnLogin - Nüfuslu SourceUserName ve halka açık bir Check Point VPN girişi SourceIP

UEBA anomalileri listesine | geri dönBaşa dön

UEBA Anormal Kontrol Noktası Cihazı Sızdırıldı

Açıklama: Tek bir cihazda alışılmadık bir Check Point IPS, Anti-Bot veya Anti-Virüs önleme algılamaları. Anomaliler, cihazın günlük algılama hacmi ile kendi 30 günlük geçmişi karşılaştırılarak belirlenir ve hacim bu başlangıç seviyesinden önemli ölçüde saptığında yükselir. Bu tür patlamalar, cihaza yönelik istismar girişimlerini veya zararlı yazılımın yayıldığını gösterebilir.

Öznitelik Değer
Anomali türü: UEBA
Veri kaynakları: CommonSecurityLog (Kontrol Noktası)
MITRE ATT&CK taktikleri: Yürütme, İlk Erişim
MITRE ATT&CK teknikleri: T1059 - Komut ve Script Yorumlayıcısı, T1203 - İstemci Çalıştırma İçin Sömürü
Etkinlik: DeviceCompromised- IPS, Anti-Bot, Anti-Virüs veya Antivirüs Medium (şiddet veya daha yüksek şiddette) tespit edilmek, önleyici DeviceAction (Prevent, Block, DropReject, ), bağlantılı kullanıcısı olmayan bir cihazda

UEBA anomalileri listesine | geri dönBaşa dön

UEBA Anormal CheckPoint VPN Girişi Başarısız

Açıklama: Check Point VPN-1 ve FireWall-1 geçitlerine karşı başarısız VPN giriş girişimlerinin alışılmadık kalıpları. Anormallikler, kaynak IP adresi, çözülen coğrafi konum ve başarısız girişlerin ISP'si ile kullanıcının geçmiş bazını karşılaştırarak belirlenir. Yeni bir IP adresinden ilk kez oluşan bir arıza veya alışılmadık bir arıza yoğunluğu, brute-force saldırıları, kimlik bilgilerinin doldurulması veya VPN geçidine yönelik yetkisiz erişim girişimlerine işaret edebilir.

Öznitelik Değer
Anomali türü: UEBA
Veri kaynakları: CommonSecurityLog (Kontrol Noktası)
MITRE ATT&CK taktikleri: Kimlik Bilgisi Erişimi, İlk Erişim
MITRE ATT&CK teknikleri: T1110 - Kaba Kuvvet, T1078 - Geçerli Hesaplar
Etkinlik: FailedVpnLogin - DeviceProduct VPN-1 & FireWall-1, SourceUserName doldurulmuş, Activity bir giriş veya kimlik doğrulama belirteci içerir ve DeviceAction , DropReject, veyaBlock

UEBA anomalileri listesine | geri dönBaşa dön

UEBA Anormal Kontrol Noktası Olağan Web Erişimi

Açıklama: Check Point URL Filtreleme yoluyla yüksek riskli web kategorilerine alışılmadık cihaz erişimi; örneğin oltalama, kötü amaçlı yazılım, botnet, komut-kontrol, kriptomadencilik ve anonimleştirme siteleri. Anomaliler, erişilen web kategorisi cihazın kendi geçmişiyle ve organizasyonun herhangi bir yerinde daha önce gözlemlenen kategorilerle karşılaştırılarak belirlenir. Yüksek riskli bir kategoriye ilk kez erişim, kötü amaçlı yazılım aşaması, sosyal mühendislik veya politika ihlali anlamına gelebilir.

Öznitelik Değer
Anomali türü: UEBA
Veri kaynakları: CommonSecurityLog (Kontrol Noktası)
MITRE ATT&CK taktikleri: Komuta ve Kontrol, İlk Erişim
MITRE ATT&CK teknikleri: T1071 - Uygulama Katmanı Protokolü, T1189 - Drive-by Tehlikalı
Etkinlik: UnusualWebAccess - DeviceProduct, URL FilteringComputer ilişkisi SourceUserNameolmayan bir şekilde doldurulur ve DeviceCustomString5 yüksek riskli bir web kategorisi içerir

UEBA anomalileri listesine | geri dönBaşa dön

UEBA Anomalous Fortinet Anomalous VPN Authentication

Açıklama: Fortinet FortiGate cihazına kamuya açık (özel olmayan) kaynak IP adreslerinden alışılmadık ve başarılı VPN kimlik doğrulamaları. Anomaliler, her kimlik doğrulamanın kaynak IP adresi, çözülen ülke/bölge ve ISP ile kullanıcının kendi geçmişi ve organizasyon genelinde kalıplarla karşılaştırılarak belirlenir. Yeni bir IP adresi veya ülke/bölgeden ilk kez kimlik doğrulama yapılması imkansız seyahat, ele geçirilmiş kimlik bilgileri veya yetkisiz uzaktan erişim anlamına gelebilir.

Öznitelik Değer
Anomali türü: UEBA
Veri kaynakları: CommonSecurityLog (Fortinet)
MITRE ATT&CK taktikleri: İlk Erişim, Kalıcılık
MITRE ATT&CK teknikleri: T1078 - Geçerli Hesaplar, T1133 - Dış Uzaktan Hizmetler
Etkinlik: AnomalousVpnAuthentication - başarılı bir FortiGate VPN doğrulaması (event:vpn, vpn success, vpn event success) ile nüfuslu SourceUserName ve halka açık bir SourceIP

UEBA anomalileri listesine | geri dönBaşa dön

UEBA Anomalous Fortinet Suspicious Firewall Policy Change

Açıklama: Fortinet FortiGate cihazında alışılmadık bir yönetici güvenlik duvarı politikası değişikliği. Anormallikler, cihazın günlük konfigürasyon değişikliği hacmi kendi 30 günlük geçmişiyle karşılaştırılarak belirlenir. Bu temel çizgiden önemli bir sapma, savunma kaçamayı, güvenlik duvarı kurallarına müdahale veya tehlikesiz bir yönetici hesap tarafından yetkilendirilen politika değişikliği anlamına gelebilir.

Öznitelik Değer
Anomali türü: UEBA
Veri kaynakları: CommonSecurityLog (Fortinet)
MITRE ATT&CK taktikleri: Savunma Kaçışı, Israr
MITRE ATT&CK teknikleri: T1562 - Savunmaları Bozmak, T1098 - Hesap Manipülasyonu
Etkinlik: SuspiciousFirewallPolicyChange- FortiGate sistem olayları (event:system) , DeviceEventClassID3712437127, 3712837129, , veya 37134, ve eylemi add, create, update, modifyeditdeleteset, veyaunset

UEBA anomalileri listesine | geri dönBaşa dön

UEBA Anormal Fortinet Sıra Dışı Web Kategorisi Taraması

Açıklama: Fortinet FortiGate web filtreleme yoluyla yüksek riskli URL kategorilerine alışılmadık bir cihaz erişimi; örneğin phishing, kötü amaçlı yazılım, casus yazılım, botnet, komut-and-control ve fidye yazılımı siteleri. Anomaliler, erişilen URL kategorisini cihazın kendi geçmişiyle ve organizasyonun herhangi bir yerinde daha önce gözlemlenen kategorilerle karşılaştırarak belirlenir. Yüksek riskli bir kategoriye ilk kez erişim, kötü amaçlı yazılım aşaması, sosyal mühendislik veya politika ihlali anlamına gelebilir.

Öznitelik Değer
Anomali türü: UEBA
Veri kaynakları: CommonSecurityLog (Fortinet)
MITRE ATT&CK taktikleri: Komuta ve Kontrol, İlk Erişim
MITRE ATT&CK teknikleri: T1071 - Uygulama Katmanı Protokolü, T1189 - Drive-by Tehlikalı
Etkinlik: UnusualWebCategoryBrowsing - FortiGate webfilter olayları, Computer burada ilişkili SourceUserNameolmayan ve DeviceCustomString2 yüksek riskli URL kategorisi içeren

UEBA anomalileri listesine | geri dönBaşa dön

UEBA Anormal Koruma AWS'de Görev Bulma Etkinliği (Önizleme)

Açıklama: Olağandışı AWS GuardKimlik ve kaynaklarla ilgili bulma etkinliği. Anormallikler arasında ilk kez bulma türleri, alışılmadık sıklık veya patlamalar ve bulma şiddeti veya hacimindeki tarihsel ve akran faaliyetlerine kıyasla artışlar bulunur; bu da ortaya çıkan bir uzlaşma veya saldırgan ilerlemesini gösterebilir.

Öznitelik Değer
Anomali türü: UEBA
Veri kaynakları: AWS GuardDuty bulguları
MITRE ATT&CK taktikleri: İlk Erişim, Kimlik Bilgisi Erişimi, Keşif, Çıkarma
MITRE ATT&CK teknikleri: T1078, T1078.004 - Geçerli Hesaplar; T1110 - Kaba Kuvvet; T1087.004 - Hesap Keşfi: Bulut Hesabı; T1567.002 - Web Servisi Üzerinden Çıkarma: Bulut Depolamaya Çıkış
Etkinlik: Nöbet bulma faaliyeti

UEBA anomalileri listesine | geri dönBaşa dön

UEBA Anormal Zscaler Anormal VPN Authentication

Açıklama: Kamuya açık (özel olmayan) kaynak IP adreslerinden alışılmadık Zscaler Özel Erişim VPN doğrulamaları. Anomaliler, her kimlik doğrulamanın kaynak IP adresi, çözülen ülke/bölge ve ISP ile kullanıcının kendi geçmişi ve organizasyon genelinde kalıplarla karşılaştırılarak belirlenir. Sapmalar, güvenlik bilgilerinin ele geçirildiğini, oturum kaçırılmasını veya yetkisiz uzaktan erişimi gösterebilir.

Öznitelik Değer
Anomali türü: UEBA
Veri kaynakları: CommonSecurityLog (Zscaler)
MITRE ATT&CK taktikleri: İlk Erişim, Kalıcılık
MITRE ATT&CK teknikleri: T1078 - Geçerli Hesaplar, T1133 - Dış Uzaktan Hizmetler
Etkinlik: AnomalousVpnAuthentication- veya NSSWeblogdışında NSSDNSlog bir Zscaler ürününde giriş veya kimlik doğrulama etkinliği, içinde SourceUserNamebulunan, halka açık SourceIPve yönetici olmayan bir madde ileDeviceAction

UEBA anomalileri listesine | geri dönBaşa dön

UEBA Anormal Zscaler Şüpheli İdari Değişiklik

Açıklama: Zscaler portalında politika düzenlemeleri, kullanıcı ekleme ve yönetici giriş ve çıkış etkinlikleri gibi atipik yönetici değişiklikleri. Anormallikler, her idari eylemi kullanıcının daha önce gerçekleştirdiği eylemlerle ve organizasyonun herhangi bir yerinde gözlemlenen eylemlerle karşılaştırılarak belirlenir. İlk kez veya nadir yönetici işlemler, ayrıcalıklı hesap tehlikesi veya güvenlik kontrollerini zayıflatan kötü niyetli içeriden faaliyet gösterebilir.

Öznitelik Değer
Anomali türü: UEBA
Veri kaynakları: CommonSecurityLog (Zscaler)
MITRE ATT&CK taktikleri: Azim, Savunma Kaçışı
MITRE ATT&CK teknikleri: T1098 - Hesap Manipülasyonu, T1562 - Savunmaları Zayıflatma
Etkinlik: SuspiciousAdministrativeChange - SIGN_IN, SIGN_OUT, CREATE, UPDATE, veya DELETE içinde DeviceAction, Zscaler çarpımında, veya NSSWeblogdışındaNSSDNSlog, içinde , doldurulmuş bir Zscaler çarpımı ileSourceUserName

UEBA anomalileri listesine | geri dönBaşa dön

UEBA Anormal Zscaler Alışılmadık Yüksek Riskli Web Kategorisi Erişimi

Açıklama: Zscaler proxy aracılığıyla kötü amaçlı yazılım, oltalama, casus yazılım, komut-kontrol, anonimleştirici ve proxy-kaçınma siteleri gibi yüksek riskli web kategorilerine kullanıcı erişimi alışılmadık şekilde sağlanıyor. Anomaliler, erişilen kategorinin kullanıcının kendi geçmişiyle ve organizasyonun herhangi bir yerinde daha önce gözlemlenen kategorilerle karşılaştırılarak belirlenir. Yüksek riskli bir kategoriye ilk kez erişim, kötü amaçlı yazılım aşamalaması, oltalama veya web güvenlik politikasından kasıtlı olarak kaçınma anlamına gelebilir.

Öznitelik Değer
Anomali türü: UEBA
Veri kaynakları: CommonSecurityLog (Zscaler)
MITRE ATT&CK taktikleri: Komuta ve Kontrol, Çıkarma
MITRE ATT&CK teknikleri: T1071 - Uygulama Katmanı Protokolü, T1567 - Web Servisi Üzerinden Çıkarma
Etkinlik: UnusualHighRiskWebCategoryAccess - DeviceProduct NSSWeblog, SourceUserName ve RequestURL doldurulur ve DeviceCustomString2 yüksek riskli bir web kategorisi içerir

UEBA anomalileri listesine | geri dönBaşa dön

UEBA Anormal Hesap Silme

Açıklama: Saldırganlar, geçerli kullanıcılar tarafından kullanılan hesaplara erişimi engelleyerek sistem ve ağ kaynaklarının kullanılabilirliğini kesintiye uğratabilir. Hesaplara erişimi kaldırmak için hesaplar silinebilir, kilitlenebilir veya işlenebilir (ör. kimlik bilgileri değiştirilmiş).

Öznitelik Değer
Anomali türü: UEBA
Veri kaynakları: Denetim günlüklerini Microsoft Entra
MITRE ATT&CK taktikleri: Etki
MITRE ATT&CK teknikleri: T1531 - Hesap Erişimini Kaldırma
Etkinlik: Core Directory/UserManagement/Delete kullanıcısı
Çekirdek Dizin/Cihaz/Kullanıcı silme
Core Directory/UserManagement/Delete kullanıcısı

UEBA anomalileri listesine | geri dönBaşa dön

UEBA Anormal Hesap Düzenlemesi

Açıklama: Saldırganlar, hedef sistemlere erişimi korumak için hesapları işleyebilecektir. Bu eylemler, yüksek ayrıcalıklı gruplara yeni hesaplar eklemeyi içerir. Örneğin Dragonfly 2.0, yükseltilmiş erişimi korumak için yöneticiler grubuna yeni oluşturulan hesaplar ekledi. Aşağıdaki sorgu, ayrıcalıklı role "Kullanıcıyı güncelleştir" (ad değişikliği) gerçekleştiren tüm high-Blast Radius kullanıcılarının veya kullanıcıları ilk kez değiştiren kullanıcıların çıkışını oluşturur.

Öznitelik Değer
Anomali türü: UEBA
Veri kaynakları: Denetim günlüklerini Microsoft Entra
MITRE ATT&CK taktikleri: Kalıcılık
MITRE ATT&CK teknikleri: T1098 - Hesap Düzenleme
Etkinlik: Core Directory/UserManagement/Update kullanıcısı

UEBA anomalileri listesine | geri dönBaşa dön

GCP Denetim Günlüklerinde UEBA Anormal Etkinliği

Açıklama: GCP Denetim Günlüklerindeki IAM ile ilgili girdileri temel alarak Google Cloud Platform (GCP) kaynaklarına başarısız erişim denemeleri. Bu hatalar yanlış yapılandırılmış izinleri, yetkisiz hizmetlere erişme girişimlerini veya hizmet hesapları aracılığıyla ayrıcalık yoklama veya kalıcılık gibi erken aşama saldırgan davranışlarını yansıtabilir.

Öznitelik Değer
Anomali türü: UEBA
Veri kaynakları: GCP Denetim Günlükleri
MITRE ATT&CK taktikleri: Keşif
MITRE ATT&CK teknikleri: T1087 – Hesap Bulma, T1069 – İzin Grupları Bulma
Etkinlik: iam.googleapis.com

UEBA anomalileri listesine | geri dönBaşa dön

Okta_CL'de UEBA Anormal Etkinliği

Açıklama: Okta'da oturum açma kurallarında yapılan değişiklikler, çok faktörlü kimlik doğrulaması (MFA) zorlaması veya yönetim ayrıcalıkları gibi beklenmeyen kimlik doğrulama etkinliği veya güvenlikle ilgili yapılandırma değişiklikleri. Bu tür etkinlikler, kimlik güvenlik denetimlerini değiştirme veya ayrıcalıklı değişiklikler aracılığıyla erişimi koruma girişimlerini gösterebilir.

Öznitelik Değer
Anomali türü: UEBA
Veri kaynakları: Okta Bulut Günlükleri (Okta_CL ve OktaV2_CL)
MITRE ATT&CK taktikleri: Kalıcılık, Ayrıcalık Yükseltme
MITRE ATT&CK teknikleri: T1098 - Hesap Düzenleme, T1556 - Kimlik Doğrulama İşlemini Değiştirme
Etkinlik: user.session.impersonation.grant
user.session.impersonation.initiate
user.session.start
app.oauth2.admin.consent.grant_success
app.oauth2.authorize.code_success
device.desktop_mfa.recovery_pin.generate
user.authentication.auth_via_mfa
user.mfa.attempt_bypass
user.mfa.factor.deactivate
user.mfa.factor.reset_all
user.mfa.factor.suspend
user.mfa.okta_verify

UEBA anomalileri listesine | geri dönBaşa dön

UEBA Anormal Kimlik Doğrulaması

Açıklama: Cihaz oturum açma işlemleri, yönetilen kimlik oturum açma işlemleri ve Microsoft Entra ID hizmet sorumlusu kimlik doğrulamaları dahil olmak üzere Uç Nokta için Microsoft Defender ve Microsoft Entra ID sinyalleri arasında olağan dışı kimlik doğrulama etkinliği. Bu anomaliler kimlik bilgilerinin kötüye kullanılmasını, insan kimliğinin kötüye kullanılmaması veya tipik erişim desenlerinin dışında yanal hareket denemelerini önerebilir.

Öznitelik Değer
Anomali türü: UEBA
Veri kaynakları: Uç Nokta için Microsoft Defender, Microsoft Entra ID
MITRE ATT&CK taktikleri: İlk Erişim
MITRE ATT&CK teknikleri: T1078 - Geçerli Hesaplar
Etkinlik:

UEBA anomalileri listesine | geri dönBaşa dön

UEBA Anormal Kod Yürütme

Açıklama: Saldırganlar komutları, betikleri veya ikili dosyaları yürütmek için komut ve betik yorumlayıcılarını kötüye kullanabilir. Bu arabirimler ve diller, bilgisayar sistemleriyle etkileşim kurmanın yollarını sağlar ve birçok farklı platformda ortak bir özelliktir.

Öznitelik Değer
Anomali türü: UEBA
Veri kaynakları: Azure Etkinlik günlükleri
MITRE ATT&CK taktikleri: Yürütme
MITRE ATT&CK teknikleri: T1059 - Komut ve Betik Yorumlayıcısı
MITRE ATT&CK alt teknikleri: PowerShell
Etkinlik: Microsoft.Compute/virtualMachines/runCommand/action

UEBA anomalileri listesine | geri dönBaşa dön

UEBA Anormal Veri Yok Etme

Açıklama: Saldırganlar, sistemlere, hizmetlere ve ağ kaynaklarına yönelik kullanılabilirliği kesintiye uğratmak için belirli sistemlerdeki veya bir ağdaki çok sayıdaki verileri ve dosyaları yok edebilir. Verilerin yok edilmesi, yerel ve uzak sürücülerdeki dosyaların veya verilerin üzerine yazılması yoluyla depolanan verileri adli tekniklerle geri alınamaz hale getirir.

Öznitelik Değer
Anomali türü: UEBA
Veri kaynakları: Azure Etkinlik günlükleri
MITRE ATT&CK taktikleri: Etki
MITRE ATT&CK teknikleri: T1485 - Veri Yok Etme
Etkinlik: Microsoft.Compute/disks/delete
Microsoft.Compute/galeriler/görüntüler/silme
Microsoft.Compute/hostGroups/delete
Microsoft.Compute/hostGroups/hosts/delete
Microsoft.Compute/images/delete
Microsoft.Compute/virtualMachines/delete
Microsoft.Compute/virtualMachineScaleSets/delete
Microsoft.Compute/virtualMachineScaleSets/virtualMachines/delete
Microsoft.Devices/digitalTwins/Delete
Microsoft.Devices/iotHubs/Delete
Microsoft.KeyVault/vaults/delete
Microsoft.Logic/integrationAccounts/delete
Microsoft.Logic/integrationAccounts/maps/delete
Microsoft.Logic/integrationAccounts/schemas/delete
Microsoft.Logic/integrationAccounts/partners/delete
Microsoft.Logic/integrationServiceEnvironments/delete
Microsoft.Logic/workflows/delete
Microsoft.Resources/subscriptions/resourceGroups/delete
Microsoft.Sql/instancePools/delete
Microsoft.Sql/managedInstances/delete
Microsoft.Sql/managedInstances/administrators/delete
Microsoft.Sql/managedInstances/databases/delete
Microsoft.Storage/storageAccounts/delete
Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete
Microsoft.Storage/storageAccounts/fileServices/fileshares/files/delete
Microsoft.Storage/storageAccounts/blobServices/containers/delete
Microsoft.AAD/domainServices/delete

UEBA anomalileri listesine | geri dönBaşa dön

Amazon S3'ten UEBA Anormal Veri Aktarımı

Açıklama: Amazon Simple Storage Service'ten (S3) veri erişimi veya indirme desenlerindeki sapmalar. Anomali, her kullanıcı, hizmet ve kaynak için davranış taban çizgileri kullanılarak belirlenir, veri aktarım hacmi, sıklığı ve erişilen nesne sayısı geçmiş normlarla karşılaştırılır. İlk kez toplu erişim, olağan dışı şekilde büyük veri alma işlemleri veya yeni konumlardan veya uygulamalardan etkinlik gibi önemli sapmalar olası veri sızdırma, ilke ihlalleri veya güvenliği aşılmış kimlik bilgilerinin kötüye kullanıldığına işaret edebilir.

Öznitelik Değer
Anomali türü: UEBA
Veri kaynakları: AWS CloudTrail günlükleri
MITRE ATT&CK taktikleri: Sızdırma
MITRE ATT&CK teknikleri: T1567 - Web Hizmeti Üzerinden Sızdırma
Etkinlik: PutObject, CopyObject, UploadPart, UploadPartCopy, CreateJob, CompleteMultipartUpload

UEBA anomalileri listesine | geri dönBaşa dön

UEBA Anormal Savunma Mekanizması Değişikliği

Açıklama: Saldırganlar, araçlarının ve etkinliklerinin olası algılanmasından kaçınmak için güvenlik araçlarını devre dışı bırakabilir.

Öznitelik Değer
Anomali türü: UEBA
Veri kaynakları: Azure Etkinlik günlükleri
MITRE ATT&CK taktikleri: Savunma Kaçamak
MITRE ATT&CK teknikleri: T1562 - Zayıf Savunmalar
MITRE ATT&CK alt teknikleri: Araçları Devre Dışı Bırakma veya Değiştirme
Bulut Güvenlik Duvarı'nı devre dışı bırakma veya değiştirme
Etkinlik: Microsoft.Sql/managedInstances/databases/vulnerabilityAssessments/rules/baselines/delete
Microsoft.Sql/managedInstances/databases/vulnerabilityAssessments/delete
Microsoft.Network/networkSecurityGroups/securityRules/delete
Microsoft.Network/networkSecurityGroups/delete
Microsoft.Network/ddosProtectionPlans/delete
Microsoft.Network/ApplicationGatewayWebApplicationFirewallPolicies/delete
Microsoft.Network/applicationSecurityGroups/delete
Microsoft.Authorization/policyAssignments/delete
Microsoft.Sql/servers/firewallRules/delete
Microsoft.Network/firewallİlkeler/silme
Microsoft.Network/azurefirewalls/delete

UEBA anomalileri listesine | geri dönBaşa dön

UEBA Anormal Oturum Açma Başarısız Oldu

Açıklama: Sistem veya ortamda geçerli kimlik bilgileri hakkında önceden bilgi sahibi olmayan saldırganlar, hesaplara erişim girişiminde bulunmaları için parolaları tahmin edebilir.

Öznitelik Değer
Anomali türü: UEBA
Veri kaynakları: Oturum açma günlüklerini Microsoft Entra
günlükleri Windows Güvenliği
MITRE ATT&CK taktikleri: Kimlik Bilgisi Erişimi
MITRE ATT&CK teknikleri: T1110 - Deneme Yanılma
Etkinlik: Microsoft Entra ID: Oturum açma etkinliği
Windows Güvenliği: Başarısız oturum açma (Olay Kimliği 4625)

UEBA anomalileri listesine | geri dönBaşa dön

AwsCloudTrail'de UEBA Anormal Federasyon veya SAML Kimlik Etkinliği

Açıklama: Federasyon veya Güvenlik Onaylama İşaretleme Dili (SAML) tabanlı kimlikler tarafından ilk kez yapılan eylemler, tanınmayan coğrafi konumlar veya aşırı API çağrıları içeren olağan dışı etkinlik. Bu tür anomaliler oturum ele geçirmeyi veya federasyon kimlik bilgilerinin yanlış kullanımını gösterebilir.

Öznitelik Değer
Anomali türü: UEBA
Veri kaynakları: AWS CloudTrail günlükleri
MITRE ATT&CK taktikleri: İlk Erişim, Kalıcılık
MITRE ATT&CK teknikleri: T1078 - Geçerli Hesaplar, T1550 - Alternatif Kimlik Doğrulama Malzemelerini Kullanma
Etkinlik: KullanıcıDoğrulama (EXTERNAL_IDP)

UEBA anomalileri listesine | geri dönBaşa dön

AwsCloudTrail'de UEBA Anormal IAM Ayrıcalık Değişikliği

Açıklama: Kimlik ve Erişim Yönetimi (IAM) yönetim davranışındaki, rollerin, kullanıcıların ve grupların ilk kez oluşturulması, değiştirilmesi veya silinmesi ya da yeni satır içi veya yönetilen ilkelerin eki gibi sapmalar. Bunlar ayrıcalık yükseltme veya ilke kötüye kullanımına işaret edebilir.

Öznitelik Değer
Anomali türü: UEBA
Veri kaynakları: AWS CloudTrail günlükleri
MITRE ATT&CK taktikleri: Ayrıcalık Yükseltme, Kalıcılık
MITRE ATT&CK teknikleri: T1136 - Hesap Oluştur, T1098 - Hesap Düzenleme
Etkinlik: iam.amazonaws.com üzerinde Oluşturma, Ekleme, Ekleme, Silme, Devre Dışı Bırakma, Yerleştirme ve Güncelleştirme işlemleri sso-directory.amazonaws.com

UEBA anomalileri listesine | geri dönBaşa dön

GCP Denetim Günlüklerinde UEBA Anormal Altyapı Kullanımı

Açıklama: Google Cloud Platform'da (GCP) kullanıcının IP adresi, kullanıcı aracısı, ISS ve hizmet erişim desenleri geçmiş davranışlarıyla karşılaştırılarak tanımlanan olağan dışı altyapı işlemleri desenleri. Altyapı hizmetlerine ilk kez erişim, yaygın olmayan araçlar veya uygulamalar veya olağan dışı operasyonel desenler gibi anomaliler yanal hareket, kaynak kötüye kullanımı veya yetkisiz altyapı değişikliklerine işaret edebilir.

Öznitelik Değer
Anomali türü: UEBA
Veri kaynakları: GCP Denetim Günlükleri
MITRE ATT&CK taktikleri: Bulma, Etki
MITRE ATT&CK teknikleri: T1580 – Bulut Altyapısı Keşfi, T1496 – Kaynak Ele Geçirme
Etkinlik: iamcredentials.googleapis.com, cloudresourcemanager.googleapis.com, container.googleapis.com, bigquerydatapolicy.googleapis.com, autoscaling.googleapis.com, run.googleapis.com, redis.googleapis.com, securitycenter.googleapis.com, compute.googleapis.com, storage.googleapis.com, k8s.io, cloudsql.googleapis.com, bigquery.googleapis.com, bigquerydatatransfer.googleapis.com, cloudfunctions.googleapis.com, appengine.googleapis.com, dns.googleapis.com

UEBA anomalileri listesine | geri dönBaşa dön

GCP Denetim Günlüklerinde UEBA Anormal Oturum Açma

Açıklama: GCP Denetim Günlüklerindeki oturum açma bilgileriyle ilgili girişler aracılığıyla algılanan Google Bulut Platformu'ndaki (GCP) olağan dışı kimlik doğrulama etkinliği. Anomaliler, coğrafi konum, IP adresi, ISS ve kullanıcı aracısı gibi özniteliklere göre kullanıcının geçmiş oturum açma desenleriyle karşılaştırıldığında kullanıcı davranışındaki sapmalarla belirlenir. Bu tür sapmalar yetkisiz erişim girişimlerini, güvenliği aşılmış kimlik bilgilerini veya imkansız seyahat senaryolarını gösterebilir.

Öznitelik Değer
Anomali türü: UEBA
Veri kaynakları: GCP Denetim Günlükleri
MITRE ATT&CK taktikleri: İlk Erişim
MITRE ATT&CK teknikleri: T1078 – Geçerli Hesaplar
Etkinlik: login.googleapis.com

UEBA anomalileri listesine | geri dönBaşa dön

AwsCloudTrail'de UEBA Anormal Oturum Açma

Açıklama: ConsoleLogin gibi CloudTrail olaylarını ve kimlik doğrulamasıyla ilgili diğer öznitelikleri temel alan Amazon Web Services (AWS) hizmetlerinde olağan dışı oturum açma etkinliği. Anomaliler coğrafi konum, cihaz parmak izi, ISS ve erişim yöntemi gibi özniteliklere göre kullanıcı davranışındaki sapmalarla belirlenir ve yetkisiz erişim girişimlerine veya olası ilke ihlallerine işaret edebilir.

Öznitelik Değer
Anomali türü: UEBA
Veri kaynakları: AWS CloudTrail günlükleri
MITRE ATT&CK taktikleri: İlk Erişim
MITRE ATT&CK teknikleri: T1078 - Geçerli Hesaplar
Etkinlik: ConsoleLogin

UEBA anomalileri listesine | geri dönBaşa dön

Okta_CL'de UEBA Anormal MFA Hataları

Açıklama: Okta'da başarısız MFA girişimlerinin olağan dışı desenleri. Bu anomaliler hesabın yanlış kullanılması, kimlik bilgilerinin dolması veya güvenilir cihaz mekanizmalarının yanlış kullanılmasından kaynaklanabilir ve genellikle çalınan kimlik bilgilerini test etme veya kimlik korumalarını yoklama gibi erken aşama saldırgan davranışları yansıtır.

Öznitelik Değer
Anomali türü: UEBA
Veri kaynakları: Okta Bulut Günlükleri (Okta_CL ve OktaV2_CL)
MITRE ATT&CK taktikleri: Kalıcılık, Ayrıcalık Yükseltme
MITRE ATT&CK teknikleri: T1078 - Geçerli Hesaplar, T1556 - Kimlik Doğrulama İşlemlerini Değiştirme
Etkinlik: app.oauth2.admin.consent.grant_success
app.oauth2.authorize.code_success
device.desktop_mfa.recovery_pin.generate
user.authentication.auth_via_mfa
user.mfa.attempt_bypass
user.mfa.factor.deactivate
user.mfa.factor.reset_all
user.mfa.factor.suspend
user.mfa.okta_verify

UEBA anomalileri listesine | geri dönBaşa dön

UEBA Anormal Parola Sıfırlama

Açıklama: Saldırganlar, geçerli kullanıcılar tarafından kullanılan hesaplara erişimi engelleyerek sistem ve ağ kaynaklarının kullanılabilirliğini kesintiye uğratabilir. Hesaplara erişimi kaldırmak için hesaplar silinebilir, kilitlenebilir veya işlenebilir (ör. kimlik bilgileri değiştirilmiş).

Öznitelik Değer
Anomali türü: UEBA
Veri kaynakları: Denetim günlüklerini Microsoft Entra
MITRE ATT&CK taktikleri: Etki
MITRE ATT&CK teknikleri: T1531 - Hesap Erişimini Kaldırma
Etkinlik: Core Directory/UserManagement/Kullanıcı parolası sıfırlama

UEBA anomalileri listesine | geri dönBaşa dön

UEBA Anormal Ayrıcalığı Verildi

Açıklama: Saldırganlar, kurban Azure hesaplarına kalıcı erişimi sürdürmek için mevcut yasal kimlik bilgilerine ek olarak Azure Hizmet Sorumluları için saldırgan denetimli kimlik bilgileri ekleyebilir.

Öznitelik Değer
Anomali türü: UEBA
Veri kaynakları: Denetim günlüklerini Microsoft Entra
MITRE ATT&CK taktikleri: Kalıcılık
MITRE ATT&CK teknikleri: T1098 - Hesap Düzenleme
MITRE ATT&CK alt teknikleri: Ek Azure Hizmet Sorumlusu Kimlik Bilgileri
Etkinlik: Hesap sağlama/Uygulama Yönetimi/Hizmet sorumlusuna uygulama rolü ataması ekleme

UEBA anomalileri listesine | geri dönBaşa dön

GCP Denetim Günlüklerinde UEBA Anormal Ayrıcalıklı Eylemi

Açıklama: Google Bulut Platformu'nda (GCP) Kimlik ve Erişim Yönetimi (IAM) yönetim davranışındaki sapmalar; örneğin, verilebilir rollerin ilk kez sorgulanması, hizmet hesaplarının ve anahtarlarının alınması veya oluşturulması ya da IAM ilkelerinde yapılan değişiklikler. Kullanıcının geçmiş davranışına kıyasla çok daha yüksek bir ayrıcalıklı veya yönetici eylemi hacmi, ayrıcalık yükseltme, hizmet hesapları aracılığıyla kalıcılık veya kullanılabilir izinlerin keşfini gösterebilir.

Öznitelik Değer
Anomali türü: UEBA
Veri kaynakları: GCP Denetim Günlükleri
MITRE ATT&CK taktikleri: Ayrıcalık Yükseltme, Kalıcılık
MITRE ATT&CK teknikleri: T1098 – Hesap Düzenleme, T1078 – Geçerli Hesaplar
Etkinlik: QueryGrantableRoles, GetServiceAccount, ListServiceAccountKeys, CreateServiceAccount, GetIAMPolicy, ListApplicablePolicies, GetPolicy, CreateServiceAccountKey ve iam.googleapis.com, firestore.googleapis.com, bigtableadmin.googleapis.com, alloydb.googleapis.com, admin.googleapis.com üzerinde yöneticiyle ilgili işlemler

UEBA anomalileri listesine | geri dönBaşa dön

GCP Denetim Günlüklerinde UEBA Anormal Kaynak Dağıtımı

Açıklama: İşlem örneklerinin, depolama demetlerinin, Kubernetes kümelerinin, Bulut İşlevlerinin veya diğer altyapı kaynaklarının ilk kez sağlanması dahil olmak üzere Google Cloud Platform'da (GCP) olağan dışı kaynak oluşturma veya dağıtım etkinliği. Kullanıcının geçmiş davranışına kıyasla kaynak dağıtımlarının oranı önemli ölçüde daha yüksekse, ortamda şifreleme, veri hazırlama veya kalıcı yer oluşturma için yetkisiz kaynak dağıtımına işaret edebilir.

Öznitelik Değer
Anomali türü: UEBA
Veri kaynakları: GCP Denetim Günlükleri
MITRE ATT&CK taktikleri: Yürütme, Kalıcılık
MITRE ATT&CK teknikleri: T1610 – Kapsayıcı Dağıtma, T1578 – Bulut İşlem Altyapısını Değiştirme
Etkinlik: apigee.googleapis.com, appengine.googleapis.com, bigquery.googleapis.com, bigquerydatatransfer.googleapis.com, cloudfunctions.googleapis.com, cloudsql.googleapis.com, compute.googleapis.com, container.googleapis.com, dataproc.googleapis.com, datastore.googleapis.com, dns.googleapis.com, firestore.googleapis.com, k8s.io, osconfig.googleapis.com, run.googleapis.com, storage.googleapis.com

UEBA anomalileri listesine | geri dönBaşa dön

AwsCloudTrail'de UEBA Anormal Gizli Dizi veya KMS Anahtar Erişimi

Açıklama: AWS Gizli Dizi Yöneticisi veya Anahtar Yönetimi Hizmeti (KMS) kaynaklarına şüpheli erişim. İlk kez erişim veya olağan dışı yüksek erişim sıklığı kimlik bilgisi toplama veya veri sızdırma girişimlerini gösterebilir.

Öznitelik Değer
Anomali türü: UEBA
Veri kaynakları: AWS CloudTrail günlükleri
MITRE ATT&CK taktikleri: Kimlik Bilgisi Erişimi, Koleksiyon
MITRE ATT&CK teknikleri: T1555 - Parola Depolarından Kimlik Bilgileri
Etkinlik: GetSecretValue
BatchGetSecretValue
ListKeys
ListSecrets
PutSecretValue
CreateSecret
UpdateSecret
DeleteSecret
CreateKey
PutKeyPolicy

UEBA anomalileri listesine | geri dönBaşa dön

GCP Denetim Günlüklerinde UEBA Anormal Gizli Dizisi veya KMS Anahtar Erişimi

Açıklama: Google Cloud Secret Manager veya Cloud KMS kaynaklarına şüpheli erişim. Gizli kasaya, anahtara veya sertifikaya ilk kez erişim, eşler arasında olağan dışı erişim desenleri veya kullanıcının geçmiş temeline kıyasla çok daha yüksek erişim hacmi kimlik bilgileri toplama, veri sızdırma girişimleri veya güvenliği aşılmış hizmet hesaplarının kötüye kullanılmasına işaret edebilir.

Öznitelik Değer
Anomali türü: UEBA
Veri kaynakları: GCP Denetim Günlükleri
MITRE ATT&CK taktikleri: Kimlik Bilgisi Erişimi, Koleksiyon
MITRE ATT&CK teknikleri: T1555 – Parola Depolarından Kimlik Bilgileri, T1552 – Güvenli Olmayan Kimlik Bilgileri
Etkinlik: cloudkms.googleapis.com, secretmanager.googleapis.com üzerinde yönetim işlemleri (AccessSecretVersion, AsymmetricDecrypt, GetPublicKey, AsymmetricSign hariç)

UEBA anomalileri listesine | geri dönBaşa dön

UEBA Anormal Oturum Açma

Açıklama: Saldırganlar, Kimlik Bilgisi Erişimi tekniklerini kullanarak belirli bir kullanıcı veya hizmet hesabının kimlik bilgilerini çalabilir veya kalıcılık elde etmek için sosyal mühendislik aracılığıyla keşif sürecinde kimlik bilgilerini yakalayabilir.

Öznitelik Değer
Anomali türü: UEBA
Veri kaynakları: Oturum açma günlüklerini Microsoft Entra
günlükleri Windows Güvenliği
MITRE ATT&CK taktikleri: Kalıcılık
MITRE ATT&CK teknikleri: T1078 - Geçerli Hesaplar
Etkinlik: Microsoft Entra ID: Oturum açma etkinliği
Windows Güvenliği: Başarılı oturum açma (Olay Kimliği 4624)

UEBA anomalileri listesine | geri dönBaşa dön

AwsCloudTrail'de UEBA Anormal STS AssumeRole Davranışı

Açıklama: AWS Güvenlik Belirteci Hizmeti (STS) AssumeRole eylemlerinin anormal kullanımı, özellikle ayrıcalıklı roller veya çapraz hesap erişimi dahil. Tipik kullanımdan sapmalar ayrıcalık yükseltme veya kimlik güvenliğinin aşılmasına işaret edebilir.

Öznitelik Değer
Anomali türü: UEBA
Veri kaynakları: AWS CloudTrail günlükleri
MITRE ATT&CK taktikleri: Ayrıcalık Yükseltme, SavunmaDan Kaçınma
MITRE ATT&CK teknikleri: T1548 - Kötüye Kullanım Yükseltme Denetim Mekanizması, T1078 - Geçerli Hesaplar
Etkinlik: AssumeRole
AssumeRoleWithSAML
AssumeRoleWithWebIdentity
AssumeRoot

UEBA anomalileri listesine | geri dönBaşa dön

Makine öğrenmesi tabanlı anomaliler

Microsoft Sentinel özelleştirilebilir makine öğrenmesi tabanlı anomalileri, hemen kullanıma hazır hale getirilebilen analiz kuralı şablonlarıyla anormal davranışları tanımlayabilir. Anomaliler kötü amaçlı veya şüpheli davranışları tek başına belirtmese de algılamaları, araştırmaları ve tehdit avcılığını geliştirmek için kullanılabilir.

Anormal Azure işlemleri

Açıklama: Bu algılama algoritması, bu ML modelini eğitmek için kullanıcıya göre gruplandırılmış Azure işlemlerde 21 günlük verileri toplar. Ardından algoritma, çalışma alanlarında nadir olarak işlem dizileri gerçekleştiren kullanıcıların durumunda anomaliler oluşturur. Eğitilen ML modeli, kullanıcı tarafından gerçekleştirilen işlemleri puanlar ve puanı tanımlanan eşikten büyük olanların anormal olduğunu düşünür.

Öznitelik Değer
Anomali türü: Özelleştirilebilir makine öğrenmesi
Veri kaynakları: Azure Etkinlik günlükleri
MITRE ATT&CK taktikleri: İlk Erişim
MITRE ATT&CK teknikleri: T1190 - Exploit Public-Facing Uygulama

Makine öğrenmesi tabanlı anomaliler listesine | geri dönBaşa dön

Anormal Kod Yürütme

Açıklama: Saldırganlar komutları, betikleri veya ikili dosyaları yürütmek için komut ve betik yorumlayıcılarını kötüye kullanabilir. Bu arabirimler ve diller, bilgisayar sistemleriyle etkileşim kurmanın yollarını sağlar ve birçok farklı platformda ortak bir özelliktir.

Öznitelik Değer
Anomali türü: Özelleştirilebilir makine öğrenmesi
Veri kaynakları: Azure Etkinlik günlükleri
MITRE ATT&CK taktikleri: Yürütme
MITRE ATT&CK teknikleri: T1059 - Komut ve Betik Yorumlayıcısı

Makine öğrenmesi tabanlı anomaliler listesine | geri dönBaşa dön

Anormal yerel hesap oluşturma

Açıklama: Bu algoritma, Windows sistemlerinde anormal yerel hesap oluşturmayı algılar. Saldırganlar, hedeflenen sistemlere erişimi korumak için yerel hesaplar oluşturabilir. Bu algoritma, kullanıcılar tarafından önceki 14 gün içinde yerel hesap oluşturma etkinliğini analiz eder. Daha önce geçmiş etkinliklerde görünmeyen kullanıcılardan geçerli günde benzer bir etkinlik arar. Bilinen kullanıcıların bu anomaliyi tetiklemelerini filtrelemek için bir izin listesi belirtebilirsiniz.

Öznitelik Değer
Anomali türü: Özelleştirilebilir makine öğrenmesi
Veri kaynakları: günlükleri Windows Güvenliği
MITRE ATT&CK taktikleri: Kalıcılık
MITRE ATT&CK teknikleri: T1136 - Hesap Oluştur

Makine öğrenmesi tabanlı anomaliler listesine | geri dönBaşa dön

Office Exchange'de anormal kullanıcı etkinlikleri

Açıklama: Bu makine öğrenmesi modeli, Office Exchange günlüklerini kullanıcı başına saatlik demetler halinde gruplandırır. Bir saati oturum olarak tanımlarız. Model, tüm normal (yönetici olmayan) kullanıcılar arasında önceki 7 günlük davranışa göre eğitilir. Son gündeki anormal kullanıcı Office Exchange oturumlarını gösterir.

Öznitelik Değer
Anomali türü: Özelleştirilebilir makine öğrenmesi
Veri kaynakları: Office Etkinlik günlüğü (Exchange)
MITRE ATT&CK taktikleri: Kalıcılık
Koleksiyon
MITRE ATT&CK teknikleri: Koleksiyon:
T1114 - Email Koleksiyonu
T1213 - Bilgi Depolarından Alınan Veriler

Kalıcılık:
T1098 - Hesap Düzenleme
T1136 - Hesap Oluştur
T1137 - Office Uygulaması Başlatma
T1505 - Sunucu Yazılımı Bileşeni

Makine öğrenmesi tabanlı anomaliler listesine | geri dönBaşa dön

Bilgisayar deneme yanılma girişimi

Açıklama: Bu algoritma, son bir gün içinde bilgisayar başına olağan dışı derecede yüksek miktarda başarısız oturum açma girişimi (güvenlik olayı kimliği 4625) algılar. Model, önceki 21 günlük Windows güvenlik olay günlüklerinde eğitilir.

Öznitelik Değer
Anomali türü: Özelleştirilebilir makine öğrenmesi
Veri kaynakları: günlükleri Windows Güvenliği
MITRE ATT&CK taktikleri: Kimlik Bilgisi Erişimi
MITRE ATT&CK teknikleri: T1110 - Deneme Yanılma

Makine öğrenmesi tabanlı anomaliler listesine | geri dönBaşa dön

Deneme kullanıcı hesabı deneme yanılma girişimi

Açıklama: Bu algoritma, son bir gün içinde kullanıcı hesabı başına olağan dışı derecede yüksek miktarda başarısız oturum açma girişimi (güvenlik olayı kimliği 4625) algılar. Model, önceki 21 günlük Windows güvenlik olay günlüklerinde eğitilir.

Öznitelik Değer
Anomali türü: Özelleştirilebilir makine öğrenmesi
Veri kaynakları: günlükleri Windows Güvenliği
MITRE ATT&CK taktikleri: Kimlik Bilgisi Erişimi
MITRE ATT&CK teknikleri: T1110 - Deneme Yanılma

Makine öğrenmesi tabanlı anomaliler listesine | geri dönBaşa dön

Oturum açma türü başına kullanıcı hesabı deneme yanılma girişimi

Açıklama: Bu algoritma, son bir gün içinde kullanıcı hesabı başına oturum açma türü başına olağan dışı derecede yüksek miktarda başarısız oturum açma girişimi (güvenlik olayı kimliği 4625) algılar. Model, önceki 21 günlük Windows güvenlik olay günlüklerinde eğitilir.

Öznitelik Değer
Anomali türü: Özelleştirilebilir makine öğrenmesi
Veri kaynakları: günlükleri Windows Güvenliği
MITRE ATT&CK taktikleri: Kimlik Bilgisi Erişimi
MITRE ATT&CK teknikleri: T1110 - Deneme Yanılma

Makine öğrenmesi tabanlı anomaliler listesine | geri dönBaşa dön

Hata nedeni başına deneme kullanıcı hesabı deneme yanılma girişimi

Açıklama: Bu algoritma, son bir gün içindeki hata nedeni başına kullanıcı hesabı başına olağan dışı derecede yüksek miktarda başarısız oturum açma girişimi (güvenlik olayı kimliği 4625) algılar. Model, önceki 21 günlük Windows güvenlik olay günlüklerinde eğitilir.

Öznitelik Değer
Anomali türü: Özelleştirilebilir makine öğrenmesi
Veri kaynakları: günlükleri Windows Güvenliği
MITRE ATT&CK taktikleri: Kimlik Bilgisi Erişimi
MITRE ATT&CK teknikleri: T1110 - Deneme Yanılma

Makine öğrenmesi tabanlı anomaliler listesine | geri dönBaşa dön

Makine tarafından oluşturulan ağ işaretleyici davranışını algılama

Açıklama: Bu algoritma, yinelenen zaman değişim desenlerine göre ağ trafiği bağlantı günlüklerinden işaret desenlerini tanımlar. Tekrarlanan zaman deltalarında güvenilmeyen genel ağlara yönelik herhangi bir ağ bağlantısı, kötü amaçlı yazılım geri çağırmalarının veya veri sızdırma girişimlerinin göstergesidir. Algoritma, aynı kaynak IP ile hedef IP arasındaki ardışık ağ bağlantıları arasındaki zaman farkını ve aynı kaynaklar ve hedefler arasındaki bir zaman aralığı dizisindeki bağlantı sayısını hesaplar. İşaretleme yüzdesi, bir gün içindeki toplam bağlantılara karşı zaman değişim dizisindeki bağlantılar olarak hesaplanır.

Öznitelik Değer
Anomali türü: Özelleştirilebilir makine öğrenmesi
Veri kaynakları: CommonSecurityLog (PAN)
MITRE ATT&CK taktikleri: Komut ve Denetim
MITRE ATT&CK teknikleri: T1071 - Uygulama Katmanı Protokolü
T1132 - Veri Kodlama
T1001 - Veri Karartma
T1568 - Dinamik Çözünürlük
T1573 - Şifrelenmiş Kanal
T1008 - Geri Dönüş Kanalları
T1104 - Çok Aşamalı Kanallar
T1095 - Uygulama Dışı Katman Protokolü
T1571 - Standart Olmayan Bağlantı Noktası
T1572 - Protokol Tüneli
T1090 - Ara Sunucu
T1205 - Trafik Sinyalleri
T1102 - Web Hizmeti

Makine öğrenmesi tabanlı anomaliler listesine | geri dönBaşa dön

DNS etki alanlarında etki alanı oluşturma algoritması (DGA)

Açıklama: Bu makine öğrenmesi modeli, DNS günlüklerinde geçmiş güne ait olası DGA etki alanlarını gösterir. Algoritma, IPv4 ve IPv6 adreslerine çözümleyen DNS kayıtları için geçerlidir.

Öznitelik Değer
Anomali türü: Özelleştirilebilir makine öğrenmesi
Veri kaynakları: DNS Olayları
MITRE ATT&CK taktikleri: Komut ve Denetim
MITRE ATT&CK teknikleri: T1568 - Dinamik Çözünürlük

Makine öğrenmesi tabanlı anomaliler listesine | geri dönBaşa dön

Palo Alto GlobalProtect aracılığıyla Aşırı İndirme

Açıklama: Bu algoritma, Palo Alto VPN çözümü aracılığıyla kullanıcı hesabı başına olağan dışı yüksek indirme hacmini algılar. Model, VPN günlüklerinin önceki 14 gününde eğitilir. Geçen gün içinde yüksek miktarda indirme işleminin anormal olduğunu gösterir.

Öznitelik Değer
Anomali türü: Özelleştirilebilir makine öğrenmesi
Veri kaynakları: CommonSecurityLog (PAN VPN)
MITRE ATT&CK taktikleri: Sızdırma
MITRE ATT&CK teknikleri: T1030 - Veri Aktarımı Boyut Sınırları
T1041 - C2 Kanalı Üzerinden Sızdırma
T1011 - Diğer Ağ Ortamı Üzerinden Sızdırma
T1567 - Web Hizmeti Üzerinden Sızdırma
T1029 - Zamanlanmış Aktarım
T1537 - Bulut Hesabına Veri Aktarma

Makine öğrenmesi tabanlı anomaliler listesine | geri dönBaşa dön

Palo Alto GlobalProtect aracılığıyla aşırı yüklemeler

Açıklama: Bu algoritma, Palo Alto VPN çözümü aracılığıyla kullanıcı hesabı başına olağan dışı yüksek miktarda karşıya yükleme algılar. Model, VPN günlüklerinin önceki 14 gününde eğitilir. Son bir gün içinde yüksek miktarda karşıya yüklemenin anormal olduğunu gösterir.

Öznitelik Değer
Anomali türü: Özelleştirilebilir makine öğrenmesi
Veri kaynakları: CommonSecurityLog (PAN VPN)
MITRE ATT&CK taktikleri: Sızdırma
MITRE ATT&CK teknikleri: T1030 - Veri Aktarımı Boyut Sınırları
T1041 - C2 Kanalı Üzerinden Sızdırma
T1011 - Diğer Ağ Ortamı Üzerinden Sızdırma
T1567 - Web Hizmeti Üzerinden Sızdırma
T1029 - Zamanlanmış Aktarım
T1537 - Bulut Hesabına Veri Aktarma

Makine öğrenmesi tabanlı anomaliler listesine | geri dönBaşa dön

Üst düzey DNS Etki Alanlarında olası etki alanı oluşturma algoritması (DGA)

Açıklama: Bu makine öğrenmesi modeli, DNS günlüklerinin son gününden itibaren etki alanı adlarının olağan dışı olan sonraki düzey etki alanlarını (üçüncü düzey ve yukarı) gösterir. Bunlar potansiyel olarak bir etki alanı oluşturma algoritmasının (DGA) çıkışı olabilir. Anomali, IPv4 ve IPv6 adreslerine çözümleyen DNS kayıtları için geçerlidir.

Öznitelik Değer
Anomali türü: Özelleştirilebilir makine öğrenmesi
Veri kaynakları: DNS Olayları
MITRE ATT&CK taktikleri: Komut ve Denetim
MITRE ATT&CK teknikleri: T1568 - Dinamik Çözünürlük

Makine öğrenmesi tabanlı anomaliler listesine | geri dönBaşa dön

AWS dışı kaynak IP adresinden yapılan şüpheli AWS API çağrıları hacmi

Açıklama: Bu algoritma, son gün içinde AWS'nin kaynak IP aralıkları dışındaki kaynak IP adreslerinden çalışma alanı başına kullanıcı hesabı başına olağan dışı yüksek hacimli AWS API çağrıları algılar. Model, önceki 21 günlük AWS CloudTrail günlük olaylarında kaynak IP adresine göre eğitilir. Bu etkinlik, kullanıcı hesabının gizliliğinin tehlikeye girdiğini gösterebilir.

Öznitelik Değer
Anomali türü: Özelleştirilebilir makine öğrenmesi
Veri kaynakları: AWS CloudTrail günlükleri
MITRE ATT&CK taktikleri: İlk Erişim
MITRE ATT&CK teknikleri: T1078 - Geçerli Hesaplar

Makine öğrenmesi tabanlı anomaliler listesine | geri dönBaşa dön

Kullanıcı hesabından yapılan şüpheli AWS yazma API çağrıları hacmi

Açıklama: Bu algoritma, son gün içinde kullanıcı hesabı başına olağan dışı yüksek hacimli AWS yazma API çağrılarını algılar. Model, kullanıcı hesabına göre AWS CloudTrail günlük olaylarının son 21 gününde eğitilir. Bu etkinlik hesabın gizliliğinin tehlikeye girdiğini gösterebilir.

Öznitelik Değer
Anomali türü: Özelleştirilebilir makine öğrenmesi
Veri kaynakları: AWS CloudTrail günlükleri
MITRE ATT&CK taktikleri: İlk Erişim
MITRE ATT&CK teknikleri: T1078 - Geçerli Hesaplar

Makine öğrenmesi tabanlı anomaliler listesine | geri dönBaşa dön

Bilgisayarda şüpheli oturum açma hacmi

Açıklama: Bu algoritma, geçen gün içinde bilgisayar başına olağan dışı derecede yüksek miktarda başarılı oturum açma (güvenlik olayı kimliği 4624) algılar. Model, önceki 21 günlük Windows Güvenliği olay günlüklerinde eğitilir.

Öznitelik Değer
Anomali türü: Özelleştirilebilir makine öğrenmesi
Veri kaynakları: günlükleri Windows Güvenliği
MITRE ATT&CK taktikleri: İlk Erişim
MITRE ATT&CK teknikleri: T1078 - Geçerli Hesaplar

Makine öğrenmesi tabanlı anomaliler listesine | geri dönBaşa dön

Yükseltilmiş belirteci olan bilgisayarda şüpheli oturum açma hacmi

Açıklama: Bu algoritma, son gün içinde bilgisayar başına yönetim ayrıcalıklarıyla olağan dışı derecede yüksek miktarda başarılı oturum açma (güvenlik olayı kimliği 4624) algılar. Model, önceki 21 günlük Windows Güvenliği olay günlüklerinde eğitilir.

Öznitelik Değer
Anomali türü: Özelleştirilebilir makine öğrenmesi
Veri kaynakları: günlükleri Windows Güvenliği
MITRE ATT&CK taktikleri: İlk Erişim
MITRE ATT&CK teknikleri: T1078 - Geçerli Hesaplar

Makine öğrenmesi tabanlı anomaliler listesine | geri dönBaşa dön

Kullanıcı hesabında şüpheli oturum açma hacmi

Açıklama: Bu algoritma, son bir gün içinde kullanıcı hesabı başına olağan dışı derecede yüksek miktarda başarılı oturum açma (güvenlik olayı kimliği 4624) algılar. Model, önceki 21 günlük Windows Güvenliği olay günlüklerinde eğitilir.

Öznitelik Değer
Anomali türü: Özelleştirilebilir makine öğrenmesi
Veri kaynakları: günlükleri Windows Güvenliği
MITRE ATT&CK taktikleri: İlk Erişim
MITRE ATT&CK teknikleri: T1078 - Geçerli Hesaplar

Makine öğrenmesi tabanlı anomaliler listesine | geri dönBaşa dön

Oturum açma türlerine göre kullanıcı hesabında şüpheli oturum açma hacmi

Açıklama: Bu algoritma, geçen gün içinde farklı oturum açma türlerine göre kullanıcı hesabı başına olağan dışı derecede yüksek miktarda başarılı oturum açma (güvenlik olayı kimliği 4624) algılar. Model, önceki 21 günlük Windows Güvenliği olay günlüklerinde eğitilir.

Öznitelik Değer
Anomali türü: Özelleştirilebilir makine öğrenmesi
Veri kaynakları: günlükleri Windows Güvenliği
MITRE ATT&CK taktikleri: İlk Erişim
MITRE ATT&CK teknikleri: T1078 - Geçerli Hesaplar

Makine öğrenmesi tabanlı anomaliler listesine | geri dönBaşa dön

Yükseltilmiş belirteçle kullanıcı hesabında şüpheli oturum açma hacmi

Açıklama: Bu algoritma, son gün içinde kullanıcı hesabı başına yönetim ayrıcalıklarıyla olağan dışı derecede yüksek miktarda başarılı oturum açma (güvenlik olayı kimliği 4624) algılar. Model, önceki 21 günlük Windows Güvenliği olay günlüklerinde eğitilir.

Öznitelik Değer
Anomali türü: Özelleştirilebilir makine öğrenmesi
Veri kaynakları: günlükleri Windows Güvenliği
MITRE ATT&CK taktikleri: İlk Erişim
MITRE ATT&CK teknikleri: T1078 - Geçerli Hesaplar

Makine öğrenmesi tabanlı anomaliler listesine | geri dönBaşa dön

Sonraki adımlar

  • Son güncelleştirme: