你当前正在访问 Microsoft Azure Global Edition 技术文档网站。如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

安全警报 - 参考指南

项目
03/17/2024

本文列出了可能从 Microsoft Defender for Cloud，以及从所启用的任何 Microsoft Defender 计划中获取的安全警报。环境中显示的警报取决于要保护的资源和服务以及自定义的配置。

本页底部的表描述了与 MITRE ATT&CK 矩阵版本 9 一致的 Microsoft Defender for Cloud 终止链。

了解如何响应这些警报。

了解如何导出警报。

注意

来自不同源的警报可能在不同的时间后出现。例如，需要分析网络流量的警报的出现时间，可能比虚拟机上运行的可疑进程的相关警报要晚一些。

Windows 计算机警报

除了 Microsoft Defender for Endpoint 提供的检测和警报之外，Microsoft Defender for Servers 计划 2 还提供独特的检测和警报。为 Windows 计算机提供的警报有：

更多详细信息和说明

检测到来自恶意 IP 的登录。 [出现多次]

说明：帐户[帐户]和进程[进程]的成功远程身份验证发生，但登录 IP 地址（x.x.x.x）以前已报告为恶意或高度异常。可能已受到攻击。扩展名为 .scr 的文件是屏幕保护程序文件，通常位于 Windows 系统目录中并从该目录执行。

MITRE 策略： -

严重性：高

已审核自适应应用程序控制策略冲突

VM_AdaptiveApplicationControlWindowsViolationAudited

说明：以下用户在此计算机上运行了违反组织应用程序控制策略的应用程序。它可能会使计算机面临恶意软件或应用程序漏洞的威胁。

MITRE 策略：执行

严重性：信息性

向本地管理员组添加来宾帐户

说明：主机数据分析检测到将内置来宾帐户添加到 %{Compromised Host} 上的本地管理员istrators 组，该组与攻击者活动密切相关。

MITRE 策略： -

严重性：中等

事件日志被清除

说明：计算机日志指示用户执行的可疑事件日志清除操作：“%{user name}”，计算机： '%{CompromisedEntity}'。 %{log channel} 日志被清除。

MITRE 策略： -

严重性：信息性

反恶意软件操作失败

说明：Microsoft 反恶意软件在对恶意软件或其他可能不需要的软件采取措施时遇到错误。

MITRE 策略： -

严重性：中等

已执行反恶意软件操作

MITRE 策略：防御逃避

严重性：中等

反恶意软件在虚拟机中已暂时禁用

(VM_AmTemporarilyDisablement)

说明：在虚拟机中暂时禁用反恶意软件。通过分析订阅中的 Azure 资源管理器操作，检测到此情况。攻击者可能会在你的虚拟机上禁用反恶意软件以防止检测。

MITRE 策略： -

严重性：中等

虚拟机中的反恶意软件异常文件排除

(VM_UnusualAmFileExclusion)

说明：通过分析订阅中的 Azure 资源管理器操作，在虚拟机中检测到反恶意软件扩展的异常文件排除。攻击者可能会在对虚拟机执行的反恶意软件扫描中排除文件，从而在运行任意代码或使用恶意软件感染计算机时防止检测。

MITRE 策略：防御逃避

严重性：中等

与威胁情报识别的可疑域通信

说明：%{Compromised Host} 上的主机数据分析检测到执行“net.exe stop”命令，用于停止 SharedAccess 或 Windows 安全应用等关键服务。停止其中任何一项服务都可能指示存在恶意行为。

MITRE 策略： -

严重性：中等

说明：%{Compromised Host} 上的主机数据分析检测到执行通常与数字签名挖掘关联的进程或命令。

MITRE 策略： -

严重性：高

动态构造 PS 脚本

说明：%{Compromised Host} 上的主机数据分析检测到正在动态构造的 PowerShell 脚本。攻击者有时会使用这种逐步生成脚本的方法来避开 IDS 系统。这可能是合法活动，也可能指示某台计算机已遭到入侵。

MITRE 策略： -

严重性：中等

检测到可执行文件正在从可疑位置运行

说明：主机数据分析检测到 %{Compromised Host} 上的可执行文件，该文件是从已知可疑文件通用位置运行的。此可执行文件可能是合法活动，也可能指示主机遭到入侵。

MITRE 策略： -

严重性：高

检测到无文件攻击行为

(VM_FilelessAttackBehavior.Windows)

说明：指定的进程的内存包含无文件攻击常用的行为。具体行为包括：

Shellcode，这是一小段代码，通常用作利用软件漏洞时的有效负载。
活动网络连接。有关详细信息，请参阅下面的“网络连接”。
对安全敏感操作系统接口的函数调用。有关引用的 OS 功能，请参阅下面的“功能”。
包含一个在动态分配的代码段中启动的线程。这是进程注入攻击的常见模式。

MITRE 策略：防御逃避

严重性：低

检测到无文件攻击技术

(VM_FilelessAttackTechnique.Windows)

说明：下面指定的进程的内存包含无文件攻击技术的证据。攻击者使用无文件攻击来执行代码，同时避开安全软件的检测。具体行为包括：

Shellcode，这是一小段代码，通常用作利用软件漏洞时的有效负载。
注入进程的可执行映像，例如在代码注入攻击中。
活动网络连接。有关详细信息，请参阅下面的“网络连接”。
对安全敏感操作系统接口的函数调用。有关引用的 OS 功能，请参阅下面的“功能”。
进程空心，这是恶意软件使用的技术，在该技术中加载合法进程以充当恶意代码的容器。
包含一个在动态分配的代码段中启动的线程。这是进程注入攻击的常见模式。

MITRE 策略：防御逃避、执行

严重性：高

检测到无文件攻击工具包

(VM_FilelessAttackToolkit.Windows)

说明：指定的进程的内存包含无文件攻击工具包：[工具包名称]。无文件攻击工具包使用的方法可最大程度减少或消除磁盘上恶意软件的痕迹，并大幅降低基于磁盘的恶意软件扫描解决方案检测到它们的几率。具体行为包括：

众所周知的工具包和加密挖掘软件。
Shellcode，这是一小段代码，通常用作利用软件漏洞时的有效负载。
在进程内存中注入了恶意可执行文件。

说明：观察到系统进程 SVCHOST 正在运行罕见的服务组。恶意软件通常使用 SVCHOST 来掩饰恶意活动。

MITRE 策略：防御逃避、执行

严重性：信息性

检测到粘滞键攻击

说明：主机数据分析表明攻击者可能会颠覆辅助功能二进制文件（例如粘滞键、屏幕键盘、讲述人），以便向主机 %{Compromised Host} 提供后门访问权限。

MITRE 策略： -

严重性：中等

成功的暴力攻击

(VM_LoginBruteForceSuccess)

说明：从同一源检测到多次登录尝试。其中一些已成功通过主机身份验证。这类似于突发攻击，攻击者会尝试多次进行身份验证以找到有效帐户凭据。

MITRE 策略：利用

严重性：中/高

指示 RDP 劫持的可疑完整性级别

说明：主机数据分析检测到使用 SYSTEM 特权运行的tscon.exe - 这可以表明攻击者滥用此二进制文件，以便将此主机上的任何其他登录用户切换上下文;这是一种已知的攻击者技术，可以入侵更多用户帐户，并横向跨网络移动。

MITRE 策略： -

严重性：中等

可疑的服务安装

说明：主机数据分析检测到安装tscon.exe即服务：此二进制文件作为服务启动可能会让攻击者通过劫持 RDP 连接轻松切换到此主机上的任何其他已登录用户;这是一种已知的攻击者技术，可以入侵更多用户帐户并横向跨网络移动。

MITRE 策略： -

严重性：中等

观察到可疑的 Kerberos 黄金票证攻击参数

说明：分析检测到的命令行参数与 Kerberos 黄金票证攻击一致。

MITRE 策略： -

严重性：中等

说明：指示已使用非标准方法（如反射注入和进程空心）分配代码段。警报提供该代码段的其他特征，这些特征已经过处理，可提供所报告代码段的功能和行为的上下文。

MITRE 策略： -

严重性：中等

执行了可疑的双扩展名文件

说明：主机数据分析表示执行具有可疑双重扩展的进程。此扩展可能会诱使用户能够安全地打开文件，并可能指示系统上存在恶意软件。

MITRE 策略： -

严重性：高

检测到使用 Certutil 进行可疑下载[出现多次]

说明：%{Compromised Host} 上的主机数据分析检测到使用certutil.exe（内置管理员实用工具）下载二进制文件，而不是与操作证书和证书数据相关的主流用途。我们知道，攻击者会滥用合法管理员工具的功能来执行恶意操作，例如，使用 certutil.exe 来下载和解码恶意的可执行文件，随后执行该文件。今天在下列计算机上出现了 [x] 次此行为：[Machine names]

MITRE 策略： -

严重性：中等

(VM_SystemProcessInAbnormalContext)

说明：观察到系统进程 %{process name} 在异常上下文中运行。恶意软件通常使用此进程名称来掩饰恶意活动。

MITRE 策略：防御逃避、执行

严重性：高

可疑的卷影复制活动

说明：主机数据分析检测到资源上的卷影复制删除活动。卷影复制 (VSC) 是重要的项目，用于存储数据快照。某些恶意软件，尤其是勒索软件，会针对 VSC 以破坏备份策略。

MITRE 策略： -

严重性：高

检测到可疑的 WindowPosition 注册表值

说明：%{Compromised Host} 上的主机数据分析检测到尝试的 WindowPosition 注册表配置更改，该更改可能指示在桌面的不可见部分中隐藏应用程序窗口。这可能是合法活动，也可能指示计算机遭到入侵：此类活动与之前已知的广告软件或不需要的软件（例如 Win32/OneSystemCare 和 Win32/SystemHealer）以及恶意软件（例如 Win32/Creprote）相关。当 WindowPosition 值设置为 201329664 时（十六进制值：0x0c00 0c00，即 X 轴 = 0c00，Y 轴 = 0c00），这会将控制台应用的窗口置于用户屏幕中的不可见的部分，该区域隐藏在可见的“开始”菜单/任务栏下。已知可疑的 Hex 值包括但不限于 c000c000。

MITRE 策略： -

严重性：低

检测到名称可疑的进程

说明：%{Compromised Host} 上的主机数据分析检测到一个进程的名称与非常常见的运行进程（%{与进程名称相似）不同。尽管此进程可能是良性的，但我们知道，攻击者有时会将恶意工具命名为与合法进程的名称相似，从而在众目睽睽之下隐藏。

MITRE 策略： -

严重性：中等

虚拟机中的异常配置重置

(VM_VMAccessUnusualConfigReset)

说明：通过分析订阅中的 Azure 资源管理器操作，在虚拟机中检测到异常的配置重置。虽然此操作可能是合法的，但攻击者可以尝试利用 VM 访问扩展重置虚拟机中的配置并将其泄露。

MITRE 策略：凭据访问

严重性：中等

检测到异常的进程执行活动

说明：%{Compromised Host} 上的主机数据分析检测到 %{User Name} 执行异常的进程。 %{用户名} 等帐户往往执行有限的一组操作，此执行确定为字符不足，可能可疑。

MITRE 策略： -

严重性：高

虚拟机中的异常用户密码重置

(VM_VMAccessUnusualPasswordReset)

说明：通过分析订阅中的 Azure 资源管理器操作，在虚拟机中检测到异常的用户密码重置。虽然此操作可能是合法的，但攻击者可以尝试利用 VM 访问扩展重置虚拟机中本地用户的凭据并遭到入侵。

MITRE 策略：凭据访问

严重性：中等

虚拟机中的异常用户 SSH 密钥重置

(VM_VMAccessUnusualSSHReset)

说明：通过分析订阅中的 Azure 资源管理器操作，在虚拟机中检测到异常的用户 SSH 密钥重置。虽然此操作可能是合法的，但攻击者可以尝试利用 VM 访问扩展来重置虚拟机中用户帐户的 SSH 密钥并将其泄露。

MITRE 策略：凭据访问

严重性：中等

检测到 VBScript HTTP 对象分配活动

说明：检测到使用命令提示符创建 VBScript 文件。以下脚本包含 HTTP 对象分配命令。此操作可能被用于下载恶意文件。

虚拟机中 GPU 扩展的可疑安装（预览版）

(VM_GPUDriverExtensionUnusualExecution)

说明：通过分析订阅中的 Azure 资源管理器操作，在虚拟机中检测到 GPU 扩展的可疑安装。攻击者可能会使用 GPU 驱动程序扩展通过 Azure 资源管理器在虚拟机上安装 GPU 驱动程序，以执行加密劫持。

MITRE 策略：影响

严重性：低

Linux 计算机警报

除了 Microsoft Defender for Endpoint 提供的检测和警报之外，Microsoft Defender for Servers 计划 2 还提供独特的检测和警报。为 Linux 计算机提供的警报有：

更多详细信息和说明

历史记录文件已被清除

说明：主机数据分析表明命令历史记录日志文件已被清除。攻击者可能会执行此操作来掩盖其跟踪。操作由用户“%{user name}”执行。

MITRE 策略： -

严重性：中等

已审核自适应应用程序控制策略冲突

（VM_AdaptiveApplicationControlLinuxViolationAudited）

MITRE 策略：防御逃避

严重性：中等

反恶意软件在虚拟机中已暂时禁用

(VM_AmTemporarilyDisablement)

MITRE 策略： -

严重性：中等

虚拟机中的反恶意软件异常文件排除

MITRE 策略： -

严重性：低

说明：%{Compromised Host} 上的主机数据分析检测到执行通常与数字签名挖掘关联的进程或命令。

MITRE 策略： -

严重性：高

审核日志记录被禁用[出现多次]

说明：Linux 审核系统提供了一种方法来跟踪系统上的安全相关信息。它尽可能多地记录系统事件的相关信息。禁用审核日志记录可能妨碍系统安全策略违反行为的发现。今天在下列计算机上出现了 [x] 次此行为：[Machine names]

MITRE 策略： -

严重性：低

利用 Xorg 漏洞[出现多次]

说明：%{Compromised Host} 上的主机数据分析检测到 Xorg 的用户具有可疑参数。攻击者可能会在特权升级尝试中使用此方法。今天在下列计算机上出现了 [x] 次此行为：[Machine names]

MITRE 策略： -

严重性：中等

失败的 SSH 暴力攻击

(VM_SshBruteForceFailed)

说明：从以下攻击者检测到失败的暴力攻击： %{Attackers}。攻击者尝试使用以下用户名访问主机：%{Accounts used on failed sign in to host attempts}。

MITRE 策略：探测

严重性：中等

检测到无文件攻击行为

(VM_FilelessAttackBehavior.Linux)

说明：下面指定的进程的内存包含无文件攻击常用的行为。具体行为包括：{list of observed behaviors}

MITRE 策略：执行

严重性：低

检测到无文件攻击技术

(VM_FilelessAttackTechnique.Linux)

说明：下面指定的进程的内存包含无文件攻击技术的证据。攻击者使用无文件攻击来执行代码，同时避开安全软件的检测。具体行为包括：{list of observed behaviors}

MITRE 策略：执行

严重性：高

检测到无文件攻击工具包

(VM_FilelessAttackToolkit.Linux)

说明：下面指定的进程的内存包含无文件攻击工具包：{ToolKitName}。无文件攻击工具包通常不存在于文件系统中，因此难以使用传统防病毒软件进行检测。具体行为包括：{list of observed behaviors}

MITRE 策略：防御逃避、执行

严重性：高

检测到隐藏文件执行活动

说明：主机数据分析表明隐藏文件是由 %{user name} 执行的。此活动可能是合法活动，也可能指示主机遭到入侵。

MITRE 策略： -

严重性：信息性

添加了新的 SSH 密钥[出现多次]

(VM_SshKeyAddition)

说明：已将新的 SSH 密钥添加到授权密钥文件中。今天在下列计算机上出现了 [x] 次此行为：[Machine names]

MITRE 策略：持久性

严重性：低

添加了新的 SSH 密钥

说明：已将新的 SSH 密钥添加到授权密钥文件中。

MITRE 策略： -

严重性：低

检测到可能存在后门[出现多次]

说明：主机数据分析检测到正在下载的可疑文件，然后在订阅中的 %{Compromised Host} 上运行。此活动之前与后门安装关联。今天在下列计算机上出现了 [x] 次此行为：[Machine names]

MITRE 策略： -

严重性：中等

检测到邮件服务器可能被利用

(VM_MailserverExploitation)

说明：%{Compromised Host} 上的主机数据分析检测到邮件服务器帐户下异常执行

MITRE 策略：利用

严重性：中等

检测到可能存在恶意的 Web shell

(VM_KubernetesDashboard)

(AzureDNS_ProtocolAnomaly)

说明：从 %{CompromisedEntity} 分析 DNS 事务检测到异常协议使用情况。此类流量虽然可能是良性的，但可能表示滥用此常见协议来绕过网络流量筛选。典型的相关攻击者活动包括将远程管理工具复制到遭到入侵的主机，并从中外泄用户数据。

MITRE 策略：外泄

严重性： -

匿名网络活动

(AzureDNS_DarkWeb)

说明：分析来自 %{CompromisedEntity} 的 DNS 事务检测到匿名网络活动。此类活动虽然可能是合法的用户行为，但经常被攻击者利用以逃避网络通信的追踪和指纹识别。典型的相关攻击者活动可能包括下载和执行恶意软件或远程管理工具。

MITRE 策略：外泄

严重性：低

使用 Web 代理的匿名网络活动

(AzureDNS_DarkWebProxy)

MITRE 策略：外泄

严重性：低

尝试与可疑的经 Sinkhole 处理的域通信

(AzureDNS_SinkholedDomain)

说明：分析来自 %{CompromisedEntity} 的 DNS 事务，检测到对接收器域的请求。此类活动虽然可能是合法的用户行为，但它们往往指示下载或执行了恶意软件。典型的相关攻击者活动可能包括下载和执行进一步的恶意软件或远程管理工具。

MITRE 策略：外泄

严重性：中等

与可能的网络钓鱼域通信

(AzureDNS_PhishingDomain)

说明：分析来自 %{CompromisedEntity} 的 DNS 事务检测到对可能的钓鱼域的请求。此类活动虽然可能是良性的，但经常被攻击者执行以获取远程服务的凭据。典型的相关攻击者活动可能包括对合法服务的任何凭据的利用。

MITRE 策略：外泄

严重性：信息性

与可疑的算法生成的域通信

(AzureDNS_DomainGenerationAlgorithm)

说明：从 %{CompromisedEntity} 分析 DNS 事务检测到域生成算法的可能用法。此类活动虽然可能是良性的，但经常被攻击者执行以逃避网络监视和筛选。典型的相关攻击者活动可能包括下载和执行恶意软件或远程管理工具。

MITRE 策略：外泄

严重性：信息性

与威胁情报识别的可疑域通信

(AzureDNS_ThreatIntelSuspectDomain)

MITRE 策略：初始访问

严重性：中等

与可疑的随机域名通信

(AzureDNS_RandomizedDomain)

说明：分析来自 %{CompromisedEntity} 的 DNS 事务检测到使用可疑的随机生成的域名。此类活动虽然可能是良性的，但经常被攻击者执行以逃避网络监视和筛选。典型的相关攻击者活动可能包括下载和执行恶意软件或远程管理工具。

MITRE 策略：外泄

严重性：信息性

数字货币挖掘活动

(AzureDNS_CurrencyMining)

说明：分析来自 %{CompromisedEntity} 的 DNS 事务检测到数字资产挖掘活动。此类活动虽然可能是合法的用户行为，但经常在资源遭受入侵后被攻击者执行。典型的相关攻击者活动可能包括下载和执行常见挖掘工具。

MITRE 策略：外泄

严重性：低

网络入侵检测签名激活

(AzureDNS_SuspiciousDomain)

说明：分析来自 %{CompromisedEntity} 的 DNS 事务检测到已知的恶意网络签名。此类活动虽然可能是合法的用户行为，但它们往往指示下载或执行了恶意软件。典型的相关攻击者活动可能包括下载和执行进一步的恶意软件或远程管理工具。

MITRE 策略：外泄

严重性：中等

可能的经由 DNS 隧道的数据下载

(AzureDNS_DataInfiltration)

说明：从 %{CompromisedEntity} 分析 DNS 事务检测到可能的 DNS 隧道。此类活动虽然可能是合法的用户行为，但经常被攻击者执行以逃避网络监视和筛选。典型的相关攻击者活动可能包括下载和执行恶意软件或远程管理工具。

MITRE 策略：外泄

严重性：低

可能的经由 DNS 隧道的数据外泄

(AzureDNS_DataExfiltration)

MITRE 策略：外泄

严重性：低

可能的经由 DNS 隧道的数据传输

(AzureDNS_DataObfuscation)

MITRE 策略：外泄

严重性：低

针对 Azure VM 扩展的警报

这些警报侧重于检测 Azure 虚拟机扩展的可疑活动，并深入了解攻击者尝试入侵虚拟机并在虚拟机上执行恶意活动。

Azure 虚拟机扩展是在虚拟机上部署后运行的小型应用程序，提供配置、自动化、监视、安全性等功能。虽然扩展是一种功能强大的工具，但威胁参与者可以使用它们来实现各种恶意意图，例如：

数据收集和监视
高特权下的代码执行和配置部署
重置凭据并创建管理用户
加密磁盘

严重性：高

使用 certutil 解码的可执行文件

(AppServices_ExecutableDecodedUsingCertutil)

说明：[已泄露实体]上的主机数据分析检测到，certutil.exe（一个内置管理员实用工具）用于解码可执行文件，而不是与操作证书和证书数据相关的主流用途。我们知道，攻击者可以滥用合法的管理员工具的功能来执行恶意操作，例如，使用 certutil.exe 之类的工具来解码恶意的可执行文件，随后执行该文件。（适用于：Windows 上的应用服务）

MITRE 策略：防御逃避、执行

严重性：高

检测到无文件攻击行为

(AppServices_FilelessAttackBehaviorDetection)

说明：下面指定的进程的内存包含无文件攻击常用的行为。特定行为包括：{观察行为列表}（适用于：Windows 上的App 服务和 Linux 上的App 服务）

MITRE 策略：执行

严重性：中等

检测到无文件攻击技术

(AppServices_FilelessAttackTechniqueDetection)

说明：下面指定的进程的内存包含无文件攻击技术的证据。攻击者使用无文件攻击来执行代码，同时避开安全软件的检测。特定行为包括：{观察行为列表}（适用于：Windows 上的App 服务和 Linux 上的App 服务）

MITRE 策略：执行

严重性：高

检测到无文件攻击工具包

(AppServices_FilelessAttackToolkitDetection)

说明：下面指定的进程的内存包含无文件攻击工具包：{ToolKitName}。无文件攻击工具包通常不存在于文件系统中，因此难以使用传统防病毒软件进行检测。特定行为包括：{观察行为列表}（适用于：Windows 上的App 服务和 Linux 上的App 服务）

MITRE 策略：防御逃避、执行

严重性：高

适用于应用服务的 Microsoft Defender for Cloud 测试警报（非威胁）

(AppServices_EICAR)

说明：这是 Microsoft Defender for Cloud 生成的测试警报。无需执行其他操作。（适用于：Windows 上的应用服务和 Linux 上的应用服务）

MITRE 策略： -

严重性：高

检测到 NMap 扫描

(AppServices_Nmap)

说明：Azure App 服务活动日志指示App 服务资源上可能存在的 Web 指纹活动。检测到的可疑活动与 NMAP 关联。攻击者通常使用此工具来探测 Web 应用程序，从而查找漏洞。（适用于：Windows 上的应用服务和 Linux 上的应用服务）

MITRE 策略：PreAttack

严重性：信息性

Azure Web 应用上托管了网络钓鱼内容

(AppServices_PhishingContent)

说明：用于在 Azure 应用Services 网站上发现的网络钓鱼攻击的 URL。此 URL 是发送给 Microsoft 365 客户的网络钓鱼攻击的一部分。相关内容通常引诱访问者在看似合法的网站中输入其企业凭据或财务信息。（适用于：Windows 上的应用服务和 Linux 上的应用服务）

MITRE 策略：集合

严重性：高

上传文件夹中的 PHP 文件

(AppServices_PhpInUploadFolder)

说明：Azure App 服务活动日志指示访问位于上传文件夹中的可疑 PHP 页面。此类型的文件夹通常不包含 PHP 文件。存在这种类型的文件可能指示有人利用了任意文件上传漏洞。（适用于：Windows 上的应用服务和 Linux 上的应用服务）

MITRE 策略：执行

严重性：中等

检测到潜在 Cryptocoinminer 下载

(AppServices_CryptoCoinMinerDownload)

说明：主机数据分析检测到通常与数字签名挖掘关联的文件下载。（适用于：Linux 上的应用服务）

MITRE 策略：防御逃避、指挥和控制、剥削

严重性：中等

检测到可能存在数据外泄

(AppServices_DataEgressArtifacts)

说明：主机/设备数据分析检测到可能的数据出口条件。攻击者通常会从入侵的计算机中流出数据。（适用于：Linux 上的应用服务）

MITRE 策略：收集、外泄

严重性：中等

检测到应用服务资源可能存在无关联的 DNS 记录

(AppServices_PotentialDanglingDomain)

说明：检测到指向最近删除的App 服务资源（也称为“悬空 DNS”条目）的 DNS 记录。这可能会导致你遭到子域接管。子域接管使恶意操作者能够将专用于某组织的域的流量重定向到一个执行恶意活动的站点。在这种情况下，找到的是具有域验证 ID 的文本记录。此类文本记录会防止子域接管，但仍请删除无关联的域。如果保留指向子域的 DNS 记录，那么当今后你组织中的任何人删除 TXT 文件或记录时，你会有风险。（适用于：Windows 上的应用服务和 Linux 上的应用服务）

MITRE 策略： -

严重性：低

检测到潜在的反向 shell

(AppServices_ReverseShell)

说明：分析主机数据检测到潜在的反向 shell。它们用于让遭到入侵的计算机回调到攻击者拥有的计算机中。（适用于：Linux 上的应用服务）

MITRE 策略：外泄、剥削

严重性：中等

检测到原始数据下载

(AppServices_DownloadCodeFromWebsite)

说明：分析App 服务进程检测到尝试从原始数据网站（如 Pastebin）下载代码。此操作由 PHP 进程运行。此行为与尝试将 Web shell 或其他恶意组件下载到应用服务关联。（适用于：Windows 上的应用服务）

MITRE 策略：执行

严重性：中等

检测到有人将 cURL 输出保存到磁盘

(AppServices_CurlToDisk)

说明：分析App 服务进程检测到运行 curl 命令，其中输出保存到磁盘。虽然这种行为可能合法，但在 Web 应用中，这种行为也会出现在恶意活动中，例如试图利用 Web shell 感染网站。（适用于：Windows 上的应用服务）

MITRE 策略： -

严重性：低

检测到垃圾邮件文件夹引荐来源

(AppServices_SpamReferrer)

说明：Azure App 服务活动日志指示标识为源自与垃圾邮件活动关联的网站的 Web 活动。如果你的网站遭到入侵并被用于垃圾邮件活动，就会发生这种情况。（适用于：Windows 上的应用服务和 Linux 上的应用服务）

MITRE 策略： -

严重性：低

检测到有人可疑地访问可能易受攻击的网页

(AppServices_ScanSensitivePage)

说明：Azure App 服务活动日志指示访问了看似敏感的网页。此可疑活动源自访问模式与 Web 扫描程序类似的源 IP 地址。此活动通常与攻击者试图扫描你的网络以尝试获取敏感或易受攻击网页的访问权限相关联。（适用于：Windows 上的应用服务和 Linux 上的应用服务）

MITRE 策略： -

严重性：低

可疑域名引用

(AppServices_CommandlineSuspectDomain)

说明：分析检测到对可疑域名的引用的主机数据。此类活动虽然可能是合法的用户行为，但它们往往指示下载或执行了恶意软件。典型的相关攻击者活动可能包括下载和执行进一步的恶意软件或远程管理工具。（适用于：Linux 上的应用服务）

MITRE 策略：外泄

严重性：低

检测到使用 Certutil 进行可疑下载

(AppServices_DownloadUsingCertutil)

说明：{NAME} 上的主机数据分析检测到使用certutil.exe（内置管理员实用工具）下载二进制文件，而不是与操作证书和证书数据相关的主流用途。我们知道，攻击者会滥用合法管理员工具的功能来执行恶意操作，例如，使用 certutil.exe 来下载和解码恶意的可执行文件，随后执行该文件。（适用于：Windows 上的应用服务）

MITRE 策略：执行

严重性：中等

检测到可疑 PHP 执行活动

(AppServices_SuspectPhp)

说明：计算机日志指示正在运行可疑的 PHP 进程。该操作包含尝试使用 PHP 进程从命令行运行操作系统命令或 PHP 代码。虽然这种行为可能合法，但在 Web 应用中，它也可能指示恶意活动，例如试图利用 Web shell 感染网站。（适用于：Windows 上的应用服务和 Linux 上的应用服务）

MITRE 策略：执行

严重性：中等

执行了可疑的 PowerShell cmdlet

(AppServices_PowerShellPowerSploitScriptExecution)

说明：主机数据分析指示执行已知的恶意 PowerShell PowerSploit cmdlet。（适用于：Windows 上的应用服务）

MITRE 策略：执行

严重性：中等

执行了可疑进程

(AppServices_KnownCredential AccessTools)

说明：计算机日志指示可疑进程：“%{process path}”正在计算机上运行，通常与攻击者尝试访问凭据相关联。（适用于：Windows 上的应用服务）

MITRE 策略：凭据访问

严重性：高

检测到可疑的进程名称

(AppServices_ProcessWithKnownSuspiciousExtension)

说明：分析 {NAME} 上的主机数据检测到一个名称可疑的进程，例如，与已知的攻击者工具相对应，或者以暗示攻击者工具（试图在明目中隐藏）的方式命名。此进程可能是合法活动，也可能指示某台计算机已遭到入侵。（适用于：Windows 上的应用服务）

MITRE 策略：持久性、防御逃避

严重性：中等

执行了可疑的 SVCHOST 进程

(AppServices_SVCHostFromInvalidPath)

说明：系统进程 SVCHOST 观察到在异常上下文中运行。恶意软件通常使用 SVCHOST 来掩盖其恶意活动。（适用于：Windows 上的应用服务）

MITRE 策略：防御逃避、执行

严重性：高

检测到可疑的用户代理

(AppServices_UserAgentInjection)

说明：Azure App 服务活动日志指示具有可疑用户代理的请求。此行为可能指示有人试图利用应用服务应用程序中的漏洞。（适用于：Windows 上的应用服务和 Linux 上的应用服务）

MITRE 策略：初始访问

严重性：信息性

检测到可疑的 WordPress 主题调用

(AppServices_WpThemeInjection)

说明：Azure App 服务活动日志指示App 服务资源上可能存在的代码注入活动。检测到的可疑活动类似于操作 WordPress 主题以支持服务器端代码执行，然后发出直接 Web 请求以调用被操作的主题文件。这种活动在过去被视为针对 WordPress 的攻击活动的一部分。如果应用服务资源不承载 WordPress 站点，则它不容易受到此特定代码注入漏洞的攻击，你可以安全地对该资源禁止显示此警报。若要了解如何抑制安全警报，请参阅抑制 Microsoft Defender For Cloud 发出的警报。（适用于：Windows 上的应用服务和 Linux 上的应用服务）

MITRE 策略：执行

严重性：高

检测到漏洞扫描程序

(AppServices_DrupalScanner)

说明：Azure App 服务活动日志指示在App 服务资源上使用可能的漏洞扫描程序。检测到的可疑活动类似于针对内容管理系统 (CMS) 的工具的活动。如果应用服务资源不承载 Drupal 站点，则它不容易受到此特定代码注入漏洞的攻击，你可以安全地对该资源禁止显示此警报。若要了解如何抑制安全警报，请参阅抑制 Microsoft Defender For Cloud 发出的警报。（适用于：Windows 上的应用服务）

MITRE 策略：PreAttack

严重性：低

检测到漏洞扫描程序

(AppServices_JoomlaScanner)

说明：Azure App 服务活动日志指示在App 服务资源上使用可能的漏洞扫描程序。检测到的可疑活动类似于针对 Joomla 应用程序的工具的活动。如果应用服务资源不承载 Joomla 站点，则它不容易受到此特定代码注入漏洞的攻击，你可以安全地对该资源禁止显示此警报。若要了解如何抑制安全警报，请参阅抑制 Microsoft Defender For Cloud 发出的警报。（适用于：Windows 上的应用服务和 Linux 上的应用服务）

MITRE 策略：PreAttack

严重性：低

检测到漏洞扫描程序

(AppServices_WpScanner)

说明：Azure App 服务活动日志指示在App 服务资源上使用可能的漏洞扫描程序。检测到的可疑活动类似于针对 WordPress 应用程序的工具的活动。如果应用服务资源不承载 WordPress 站点，则它不容易受到此特定代码注入漏洞的攻击，你可以安全地对该资源禁止显示此警报。若要了解如何抑制安全警报，请参阅抑制 Microsoft Defender For Cloud 发出的警报。（适用于：Windows 上的应用服务和 Linux 上的应用服务）

MITRE 策略：PreAttack

严重性：低

检测到 Web 指纹识别活动

(AppServices_WebFingerprinting)

说明：Azure App 服务活动日志指示App 服务资源上可能存在的 Web 指纹活动。该检测到的可疑活动与名为 Blind Elephant 的工具关联。该工具采集 Web 服务器的指纹，并尝试检测已安装的应用程序及其版本。攻击者通常使用此工具来探测 Web 应用程序，从而查找漏洞。（适用于：Windows 上的应用服务和 Linux 上的应用服务）

MITRE 策略：PreAttack

严重性：中等

网站在威胁情报源中被标记为恶意

(AppServices_SmartScreen)

说明：如下所述，您的网站被 Windows SmartScreen 标记为恶意网站。如果你认为这是误报，请通过提供的报表反馈链接联系 Windows SmartScreen。（适用于：Windows 上的应用服务和 Linux 上的应用服务）

MITRE 策略：集合

(K8S.NODE_SuspectUserAddition) ¹

说明：分析容器中或直接在 Kubernetes 节点上运行的进程，检测到对 useradd 命令的可疑使用。

MITRE 策略：持久性

严重性：中等

检测到数字货币挖掘容器

(K8S_MaliciousContainerImage) ³

说明：Kubernetes 审核日志分析检测到具有与数字资产挖掘工具关联的映像的容器。

MITRE 策略：执行

严重性：高

说明：分析容器中或直接在 Kubernetes 节点上运行的进程，检测到可疑进程。这通常与 MITRE 54ndc47 代理相关联，该代理可用于恶意攻击其他计算机。

MITRE 策略：持久性、PrivilegeEscalation、DefenseEvasion、CredentialAccess、Discovery、LateralMovement、Execution、Collection、Exfiltration、Command And Control、Probing、Exploitation

严重性：中等

¹：非 AKS 群集预览：此警报已正式提供给 AKS 群集，但对于其他环境（如 Azure Arc、EKS 和 GKE）为预览版。

²：GKE 群集的限制：GKE 使用了并非支持所有警报类型的 Kuberenetes 审核策略。因此，GKE 群集不支持基于 Kubernetes 审核事件的此安全警报。

³：Windows 节点/容器支持此警报。

针对 SQL 数据库和 Azure Synapse Analytics 的警报

更多详细信息和说明

可能存在易受 SQL 注入攻击的漏洞

（SQL.DB_VulnerabilityToSqlInjection SQL。VM_VulnerabilityToSqlInjection SQL.MI_VulnerabilityToSqlInjection SQL。DW_VulnerabilityToSqlInjection Synapse.SQLPool_VulnerabilityToSqlInjection）

说明：应用程序在数据库中生成了错误的 SQL 语句。此警报指示可能存在易受 SQL 注入攻击的漏洞。生成错误语句的可能原因有两个。应用程序代码中的缺陷可能会导致构造出错误的 SQL 语句。或者，应用程序代码或存储过程在构造错误的 SQL 语句时未清理用户输入，使该语句被 SQL 注入攻击利用。

MITRE 策略：PreAttack

严重性：中等

来自可能有害的应用程序的登录尝试

（SQL.DB_HarmfulApplication SQL。VM_HarmfulApplication SQL.MI_HarmfulApplication SQL。DW_HarmfulApplication Synapse.SQLPool_HarmfulApplication）

说明：尝试访问资源的潜在有害应用程序。

MITRE 策略：PreAttack

严重性：高

来自异常 Azure 数据中心的登录

（SQL.DB_DataCenterAnomaly SQL。VM_DataCenterAnomaly SQL。DW_DataCenterAnomaly SQL.MI_DataCenterAnomaly Synapse.SQLPool_DataCenterAnomaly）

说明：SQL Server 的访问模式发生了更改，有人从异常的 Azure 数据中心登录到服务器。在某些情况下，警报会检测到合法操作（新应用程序或 Azure 服务）。在其他情况下，警报会检测到恶意操作（攻击者从 Azure 中遭到入侵的资源进行操作）。

MITRE 策略：探测

严重性：低

来自异常位置的登录

（SQL.DB_GeoAnomaly SQL。VM_GeoAnomaly SQL。DW_GeoAnomaly SQL.MI_GeoAnomaly Synapse.SQLPool_GeoAnomaly）

说明：SQL Server 的访问模式发生了变化，有人从异常地理位置登录到服务器。在某些情况下，警报会检测合法操作（发布新应用程序或开发人员维护）。在其他情况下，警报会检测到恶意操作（前员工或外部攻击者）。

MITRE 策略：利用

严重性：中等

（SQL.DB_PrincipalAnomaly SQL。VM_PrincipalAnomaly SQL。DW_PrincipalAnomaly SQL.MI_PrincipalAnomaly Synapse.SQLPool_PrincipalAnomaly）

说明：过去 60 天内未看到的主要用户已登录到数据库。如果此数据库是新数据库，或者这是由访问数据库的用户最近更改引起的预期行为，则 Defender for Cloud 将识别对访问模式的重大更改，并尝试防止将来出现误报。

MITRE 策略：利用

严重性：中等

（SQL.DB_DomainAnomaly SQL。VM_DomainAnomaly SQL。DW_DomainAnomaly SQL.MI_DomainAnomaly Synapse.SQLPool_DomainAnomaly）

说明：用户已从域登录到资源，在过去 60 天内没有其他用户进行连接。如果此资源是新数据库，或者这是由访问资源的用户最近更改引起的预期行为，则 Defender for Cloud 将识别对访问模式的重大更改，并尝试防止将来出现误报。

MITRE 策略：利用

严重性：中等

(SQL.VM_PotentialSqlInjection)

说明：有人利用 SQL Server 中的层启动新的有效负载，该层与操作系统通信，同时在 SQL 查询中隐藏命令。攻击者通常会隐藏经常受到监视的有效命令，如 xp_cmdshell、sp_add_job 等。混淆技术会滥用如字符串串联、转换、基更改等合法命令，以避免正则表达式检测并损害日志的可读性。

（SQL.PostgreSQL_HarmfulApplication SQL。MariaDB_HarmfulApplication SQL。MySQL_HarmfulApplication）

说明：尝试访问资源的潜在有害应用程序。

MITRE 策略：PreAttack

严重性：高

（SQL.PostgreSQL_PrincipalAnomaly SQL。MariaDB_PrincipalAnomaly SQL。MySQL_PrincipalAnomaly）

MITRE 策略：利用

严重性：中等

（SQL.MariaDB_DomainAnomaly SQL。PostgreSQL_DomainAnomaly SQL。MySQL_DomainAnomaly）

MITRE 策略：利用

严重性：中等

来自异常 Azure 数据中心的登录

（SQL.PostgreSQL_DataCenterAnomaly SQL。MariaDB_DataCenterAnomaly SQL。MySQL_DataCenterAnomaly）

(ARM_OperationFromSuspiciousProxyIP)

说明：Microsoft Defender for 资源管理器检测到与代理服务（如 TOR）关联的 IP 地址的资源管理操作。虽然这种行为可能是合法的，但经常出现在恶意活动中，在这些恶意活动中，攻击者会试图隐藏其源 IP。

MITRE 策略：防御逃避

严重性：中等

使用了 MicroBurst 漏洞利用工具包来枚举订阅中的资源

(ARM_MicroBurst.AzDomainInfo)

说明：PowerShell 脚本在订阅中运行，并执行了执行信息收集操作以发现资源、权限和网络结构的可疑模式。威胁行动者使用自动化脚本（如 MicroBurst）来收集恶意活动的相关信息。通过分析订阅中的 Azure 资源管理器操作，检测到此情况。此操作可能表明你组织中的某个身份遭到入侵，并且威胁行动者正在尝试破坏环境，以实现恶意目的。

MITRE 策略： -

严重性：低

来自可疑应用程序的访问

(Storage.Blob_SuspiciousApp)

说明：指示可疑应用程序已成功访问具有身份验证的存储帐户的容器。这可能表示攻击者获取了访问该帐户所必要的凭据，并在利用该帐户。这也可能是在你的组织中进行渗透测试的一个迹象。适用于：Azure Blob 存储、Azure Data Lake Storage Gen2

MITRE 策略：初始访问

严重性：高/中

来自可疑 IP 地址的访问

（存储.Blob_SuspiciousIp 存储。Files_SuspiciousIp）

说明：指示已成功从被视为可疑的 IP 地址访问此存储帐户。此警报由 Microsoft 威胁智能提供支持。详细了解 Microsoft 威胁智能功能。适用于：Azure Blob 存储、Azure 文件存储、Azure Data Lake Storage Gen2

MITRE 策略：进攻前

严重性：高/中/低

存储帐户上托管的欺诈内容

（存储.Blob_PhishingContent 存储。Files_PhishingContent）

说明：网络钓鱼攻击中使用的 URL 指向Azure 存储帐户。此 URL 是影响 Microsoft 365 用户的网络钓鱼攻击的一部分。通常，在此类页面上承载的内容旨在诱使访问者将其企业凭据或财务信息输入到看似合法的 Web 窗体中。此警报由 Microsoft 威胁智能提供支持。详细了解 Microsoft 威胁智能功能。适用于：Azure Blob 存储、Azure 文件存储

MITRE 策略：集合

严重性：高

标识为分发恶意软件的源的存储帐户

(Storage.Files_WidespreadeAm)

说明：反恶意软件警报指示已感染的文件存储在装载到多个 VM 的 Azure 文件共享中。如果攻击者获得了某一 VM 的访问权限，而该 VM 装载了 Azure 文件共享，他们可能会利用该权限将恶意软件传播到装载了同一共享的其他 VM。适用于：Azure 文件存储

MITRE 策略：执行

严重性：中等

已更改潜在敏感存储 Blob 容器的访问级别，以允许未经身份验证的公共访问

(Storage.Blob_OpenACL)

说明：警报指示有人已将存储帐户中 Blob 容器的访问级别（可能包含敏感数据）更改为“容器”级别，以允许未经身份验证（匿名）公共访问。更改是通过Azure 门户进行的。根据统计分析，Blob 容器被标记为可能包含敏感数据。此分析表明，通常不会公开具有类似名称的 Blob 容器或存储帐户进行公共访问。适用于：Azure Blob（标准常规用途 v2、Azure Data Lake Storage Gen2 或高级块 blob）存储帐户。

MITRE 策略：集合

严重性：中等

来自 Tor 退出节点的经过身份验证的访问

（存储.Blob_TorAnomaly 存储。Files_TorAnomaly）

说明：从已知为 Tor 的活动退出节点（匿名代理）的 IP 地址成功访问存储帐户中的一个或多个存储容器（s） /文件共享。威胁参与者使用 Tor 来使用户难以追踪到他们的活动。来自 Tor 退出节点的经过身份验证的访问可能表明威胁参与者正试图隐藏他们的身份。适用于：Azure Blob 存储、Azure 文件存储、Azure Data Lake Storage Gen2

MITRE 策略：初始访问/攻击前

严重性：高/中

有人从异常位置访问存储帐户

（存储.Blob_GeoAnomaly 存储。Files_GeoAnomaly）

说明：指示对Azure 存储帐户的访问模式发生了更改。与最近的活动相比，有人从较为陌生的 IP 地址访问了此帐户。可能是攻击者已获取帐户访问权限，也可能是合法用户从新的或异常的地理位置进行连接。后者的示例包括来自新应用程序或开发人员的远程维护操作。适用于：Azure Blob 存储、Azure 文件存储、Azure Data Lake Storage Gen2

MITRE 策略：初始访问

严重性：高/中/低

对存储容器的未经身份验证的异常访问

(Storage.Blob_AnonymousAccessAnomaly)

说明：此存储帐户未经身份验证访问，这是常见访问模式的更改。对此容器的读取访问通常是经过身份验证的。这可能表明威胁参与者能够利用对此存储帐户中存储容器的公共读取访问。适用于：Azure Blob 存储

MITRE 策略：初始访问

严重性：高/低

可能的恶意软件已上传到存储帐户

（存储.Blob_MalwareHashReputation 存储。Files_MalwareHashReputation）

说明：指示包含潜在恶意软件的 Blob 已上传到存储帐户中的 Blob 容器或文件共享。此警报基于哈希信誉分析，利用了 Microsoft 威胁智能（包括病毒、特洛伊木马、间谍软件和勒索软件的哈希）的强大功能。潜在原因可能包括攻击者有意上传恶意软件，或者合法用户无意上传潜在的恶意 Blob。适用于：Azure Blob 存储、Azure 文件存储（仅适用于 REST API 上的事务），详细了解 Microsoft 的威胁情报功能。

MITRE 策略：横向移动

严重性：高

成功发现可公开访问的存储容器

(Storage.Blob_OpenContainersScanning.SuccessfulDiscovery)

说明：扫描脚本或工具在过去一小时内成功发现存储帐户中公开打开的存储容器。

这通常表示存在侦查攻击，其中威胁参与者尝试通过猜测容器名称来列出 blob，以便找到其中包含敏感数据的配置错误的已打开存储容器。

威胁参与者可能使用自己的脚本或使用 Microburst 等已知扫描工具扫描公开打开的容器。

✔ Azure Blob 存储 ✖ Azure 文件存储 ✖ Azure Data Lake Storage Gen2

MITRE 策略：集合

严重性：高/中

未成功扫描可公开访问的存储容器

(Storage.Blob_OpenContainersScanning.FailedAttempt)

说明：在过去一小时内执行了一系列扫描公开打开的存储容器失败尝试。

这通常表示存在侦查攻击，其中威胁参与者尝试通过猜测容器名称来列出 blob，以便找到其中包含敏感数据的配置错误的已打开存储容器。

说明：警报指示已从存储帐户下载恶意 Blob。潜在原因可能包括上传到存储帐户但未删除或隔离的恶意软件，从而使威胁参与者能够下载它，或者合法用户或应用程序无意下载恶意软件。适用于：具有新的 Defender for Storage 计划并且启用了恶意软件扫描功能的 Azure Blob（标准常规用途 v2、Azure Data Lake Storage Gen2 或高级块 blob）存储帐户。

MITRE 策略：横向移动

严重性：高，如果 Eicar - 低

针对 Azure Cosmos DB 的警报

更多详细信息和说明

来自 Tor 退出节点的访问

(CosmosDB_TorAnomaly)

说明：此 Azure Cosmos DB 帐户已成功从已知为 Tor 的活动退出节点（匿名代理）的 IP 地址进行访问。来自 Tor 退出节点的经过身份验证的访问可能表明威胁参与者正试图隐藏他们的身份。

MITRE 策略：初始访问

严重性：高/中

来自可疑 IP 的访问

(CosmosDB_SuspiciousIp)

说明：此 Azure Cosmos DB 帐户已成功从 Microsoft 威胁情报标识为威胁的 IP 地址进行访问。

MITRE 策略：初始访问

严重性：中等

来自异常位置的访问

(CosmosDB_GeoAnomaly)

说明：根据通常的访问模式，此 Azure Cosmos DB 帐户是从被视为不熟悉的位置访问的。

可能是威胁参与者已获取帐户访问权限，也可能是合法用户从新的或异常的地理位置进行连接

MITRE 策略：初始访问

严重性：低

数据提取量异常

(CosmosDB_DataExfiltrationAnomaly)

说明：从此 Azure Cosmos DB 帐户中提取了异常大量数据。这可能表示威胁参与者已外泄数据。

MITRE 策略：外泄

严重性：中等

通过潜在恶意脚本提取 Azure Cosmos DB 帐户密钥

(CosmosDB_SuspiciousListKeys.MaliciousScript)

说明：PowerShell 脚本在订阅中运行，并执行了可疑的密钥列表操作模式，以获取订阅中的 Azure Cosmos DB 帐户的密钥。威胁参与者使用自动脚本（如 Microburst）列出密钥并找到他们可以访问的 Azure Cosmos DB 帐户。

此操作可能表明你组织中的某个身份遭到入侵，并且威胁参与者正在尝试破坏环境中的 Azure Cosmos DB 帐户，以实现恶意目的。

或者，图谋不轨的内部人员可能会尝试访问敏感数据并执行横向移动。

MITRE 策略：集合

严重性：中等

可疑提取 Azure Cosmos DB 帐户密钥 (AzureCosmosDB_SuspiciousListKeys.SuspiciousPrincipal)

说明：从订阅中提取可疑源的 Azure Cosmos DB 帐户访问密钥。如果此源不是合法的源，这可能是一个影响很大的问题。提取的访问密钥提供对关联数据库和存储在其中的数据的完全控制权限。查看每个特定警报的详细信息，了解源被标记为可疑的原因。

MITRE 策略：凭据访问

严重性：高

SQL 注入：潜在数据外泄

(CosmosDB_SqlInjection.DataExfiltration)

说明：一个可疑的 SQL 语句用于查询此 Azure Cosmos DB 帐户中的容器。

注入的语句可能已成功外泄威胁参与者无权访问的数据。

由于 Azure Cosmos DB 查询的结构和功能，许多针对 Azure Cosmos DB 帐户的已知 SQL 注入攻击无法奏效。但是，此攻击中使用的变体可能起作用，威胁参与者可能会泄露数据。

MITRE 策略：外泄

严重性：中等

SQL 注入：模糊尝试

(CosmosDB_SqlInjection.FailedFuzzingAttempt)

说明：一个可疑的 SQL 语句用于查询此 Azure Cosmos DB 帐户中的容器。

与其他常见的 SQL 注入攻击一样，此攻击不会成功入侵 Azure Cosmos DB 帐户。

不过，这表明威胁参与者正在尝试攻击此帐户中的资源，并且应用程序可能遭到入侵。

某些 SQL 注入攻击可能会成功，其目的是外泄数据。这意味着，如果攻击者继续执行 SQL 注入尝试，他们可能无法入侵 Azure Cosmos DB 帐户并泄露数据。

可以使用参数化查询来防止此威胁。

严重性：中等

Azure DDoS 防护警报

更多详细信息和说明

检测到针对公共 IP 的 DDoS 攻击

(NETWORK_DDOS_DETECTED)

说明：检测到公共 IP（IP 地址）的 DDoS 攻击并得到缓解。

MITRE 策略：探测

严重性：高

针对公共 IP 的 DDoS 攻击得到缓解

(NETWORK_DDOS_MITIGATED)

以下列表包括已弃用的 Defender for Containers 安全警报。

检测到主机防火墙操作

(K8S.NODE_FirewallDisabled)

说明：分析容器中或直接在 Kubernetes 节点上运行的进程，检测到对主机防火墙的可能操作。攻击者通常会禁用防火墙以外泄数据。

MITRE 策略：DefenseEvasion、外泄

严重性：中等

通过 HTTPS 对 DNS 的可疑使用

(K8S.NODE_SuspiciousDNSOverHttps)

说明：分析容器中或直接在 Kubernetes 节点上运行的进程，以不常见的方式检测到使用通过 HTTPS 进行 DNS 调用。攻击者使用此方法隐藏对可疑或恶意网站的调用。

MITRE 策略：DefenseEvasion、外泄

严重性：中等

已检测到可能连接到了某个恶意位置。

(K8S.NODE_ThreatIntelCommandLineSuspectDomain)

说明：分析容器中或直接在 Kubernetes 节点上运行的进程，检测到已报告为恶意或异常的位置的连接。这是可能已发生泄露的指标。

MITRE 策略：InitialAccess

严重性：中等

数字货币挖掘活动

（K8S.NODE_CurrencyMining）

说明：分析检测到的数字签名挖掘活动。此类活动虽然可能是合法的用户行为，但经常在资源遭受入侵后被攻击者执行。典型的相关攻击者活动可能包括下载和执行常见挖掘工具。

MITRE 策略：外泄

警报显示名称：检测到可能的恶意 Web shell

警报显示名称：检测到禁用关键服务

严重性：中等

Defender for Cloud 支持的终止链意向基于 MITRE ATT&CK 矩阵版本 9，如下表所述。

技巧	ATT&CK 版本	说明
预攻击		预攻击可能是对某个资源的访问尝试，而不考虑恶意意图，也可能是在利用之前访问目标系统以收集信息的失败尝试。此步骤通常被检测为源自网络外部的尝试，目的是扫描目标系统并标识入口点。
初始访问	V7、V9	初始访问是攻击者设法在受到攻击的资源上建立据点的阶段。此阶段与计算主机和资源（例如用户帐户、证书等）相关。在此阶段之后，威胁参与者通常能控制资源。
持久性	V7、V9	持久性指为了让威胁参与者在系统上持久存在而对该系统进行的任何访问、操作或配置更改。威胁参与者通常需要通过中断操作来维持自己对系统的访问，这些中断操作包括系统重启、丢失凭据或其他可能需要远程访问工具重启的故障，或者提供备用后门来重新获得访问权限。
特权提升	V7、V9	特权提升指允许攻击者在系统或网络上获得更高级别权限的操作的结果。某些工具或操作需要更高级别的特权才能正常运行，并且在操作过程中的很多个时间点它们都是必需的。有权访问特定系统的用户帐户或执行攻击者实现其目标所需的特定功能也可能被视为特权升级。
防御规避	V7、V9	防御逃避包括攻击者可用于逃避检测或避免其他防御的技术。在某些情况下，这些操作与其他类别中的方法相同（或者是它们的变体），这些方法还能破坏特定防御措施或缓解工具。
凭据访问	V7、V9	凭据访问指能够访问或控制企业环境中使用的系统、域或服务凭据的方法。攻击者可能会尝试通过用户或管理员帐户（本地系统管理员或具有管理员权限的域用户）获取合法凭据，以便在网络中使用。当攻击者在网络中具备足够的访问权限时，他们就可以创建帐户以供之后在环境中使用。
发现	V7、V9	发现策略包含允许攻击者了解系统和内部网络的方法。当攻击者获得对新系统的访问权限时，在入侵期间，他们必须适应自己现在能控制的内容，并了解从该系统执行操作对他们的当前目标或总体目标有什么好处。操作系统提供许多对这一入侵后信息收集阶段有帮助的本机工具。
横向移动	V7、V9	横向移动包含的方法让攻击者能够访问并控制网络上的远程系统，但不一定包括在远程系统上执行工具。横向移动技术可让攻击者无需使用其他工具（如远程访问工具）即可从系统收集信息。攻击者可以使用横向移动来实现多种目的，包括远程执行工具、转到其他系统、访问特定信息或文件、访问其他凭据或造成某种影响。
执行	V7、V9	执行策略表示允许在本地系统或远程系统上执行受攻击者控制的代码的方法。这一策略通常与横向移动结合使用，目的是扩展网络上的远程系统访问权限。
集合	V7、V9	收集包含的方法让攻击者能在外泄之前标识和收集目标网络中的信息，例如敏感文件。此类别还涵盖攻击者可能查找信息外泄的系统或网络上的位置。
命令和控制	V7、V9	命令和控制策略表示攻击者如何在目标网络中与其控制的系统通信。
外泄	V7、V9	外泄策略指允许或有助于攻击者从目标网络中删除文件和信息的方法和特性。此类别还涵盖攻击者可能查找信息外泄的系统或网络上的位置。
影响	V7、V9	影响事件主要尝试直接降低系统、服务或网络的可用性或完整性；包括为了影响业务或操作过程而进行的数据操作活动。这通常指勒索软件、篡改、数据操作等方法。

注意

对于处于预览状态的警报：Azure 预览版补充条款包含适用于 beta 版、预览版或其他尚未正式发布的 Azure 功能的其他法律条款。

安全警报 - 参考指南

Windows 计算机警报

检测到来自恶意 IP 的登录。 [出现多次]

已审核自适应应用程序控制策略冲突

向本地管理员组添加来宾帐户

事件日志被清除

反恶意软件操作失败

已执行反恶意软件操作

虚拟机中的反恶意软件广泛的文件排除

在虚拟机中禁用了反恶意软件并执行代码

反恶意软件在虚拟机中已禁用

虚拟机中的反恶意软件文件排除和代码执行

虚拟机中的反恶意软件文件排除和代码执行

虚拟机中的反恶意软件文件排除

虚拟机中已禁用反恶意软件实时保护

虚拟机中暂时禁用了反恶意软件实时保护

在虚拟机中执行代码时，暂时禁用了反恶意软件实时保护

反恶意软件扫描已被阻止，反恶意软件扫描可找出可能与虚拟机上的恶意软件活动相关的文件（预览）

反恶意软件在虚拟机中已暂时禁用

虚拟机中的反恶意软件异常文件排除

与威胁情报识别的可疑域通信

检测到指示禁用和删除 IIS 日志文件的操作

在命令行中检测到大小写字符的异常混用

检测到更改了可能被滥用于绕过 UAC 的注册表项

检测到使用内置 certutil.exe 工具解码可执行文件

检测到启用 WDigest UseLogonCredential 注册表项

在命令行数据中检测到编码的可执行文件

检测到混淆的命令行

检测到可能执行了 keygen 可执行文件

检测到可能执行了植入程序这种恶意软件

检测到可能存在本地侦查活动

检测到可疑的 Telegram 工具使用方式

检测到禁止向登录用户显示法律声明

检测到 HTA 和 PowerShell 的可疑组合

检测到可疑的命令行参数

检测到用于启动目录中的所有可执行文件的可疑命令行

在命令行中检测到可疑凭据

检测到可疑文档凭据

检测到执行 VBScript.Encode 命令的方式可疑

检测到通过 rundll32.exe 执行的可疑操作

检测到可疑的文件清除命令

检测到可疑的文件创建操作

检测到可疑的命名管道通信

检测到可疑的网络活动

检测到可疑的新防火墙规则

检测到使用 Cacls 来降低系统安全状态的可疑行为

检测到可疑的 FTP -s 开关使用方式

检测到使用 Pcalua.exe 启动可执行代码的可疑行为

检测到关键服务被禁用

检测到数字货币挖掘相关行为

动态构造 PS 脚本

检测到可执行文件正在从可疑位置运行

检测到无文件攻击行为

检测到无文件攻击技术

检测到无文件攻击工具包

检测到高风险软件

已枚举本地管理员组成员

ZINC 服务器植入软件创建了恶意防火墙规则[出现多次]

恶意 SQL 活动

查询了多个域帐户

检测到可能存在凭据转储活动[出现多次]

检测到可能尝试绕过 AppLocker 的行为

已执行罕见的 SVCHOST 服务组

检测到粘滞键攻击

成功的暴力攻击

指示 RDP 劫持的可疑完整性级别

可疑的服务安装

观察到可疑的 Kerberos 黄金票证攻击参数

检测到可疑的帐户创建操作

检测到可疑活动

可疑的身份验证活动

检测到可疑的代码段

执行了可疑的双扩展名文件

检测到使用 Certutil 进行可疑下载[出现多次]

检测到使用 Certutil 进行可疑下载

检测到可疑的 PowerShell 活动

执行了可疑的 PowerShell cmdlet

执行了可疑进程[出现多次]

执行了可疑进程

检测到可疑的进程名称[出现多次]