你当前正在访问 Microsoft Azure Global Edition 技术文档网站。如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

Microsoft Sentinel 机器学习引擎检测的异常情况

2025-06-29

本文列出了 Microsoft Sentinel 使用不同机器学习模型检测的异常情况。

异常情况检测的工作方式是分析用户在一段时间内在环境中的行为并构建合法活动的基线。建立基线后，任何超出正常参数的活动都将被视为异常，因此被视为可疑活动。

Microsoft Sentinel 使用两种不同的模型来创建基线和检测异常情况。

UEBA 异常
基于机器学习的异常

注意

由于结果质量低，截至 2024 年 3 月 26 日，以下异常情况检测已终止：

域信誉 Palo Alto 异常情况
一天内通过 Palo Alto GlobalProtect 在多个区域登录

重要

Microsoft Sentinel 在 Microsoft Defender 门户中正式发布，包括没有 Microsoft Defender XDR 或 E5 许可证的客户。

从 2026 年 7 月开始，仅 Defender 门户中支持 Microsoft Sentinel，并且使用 Azure 门户的任何剩余客户将自动重定向。

建议在 Azure 中使用 Microsoft Sentinel 的任何客户开始计划过渡到 Defender 门户，以获取 Microsoft Defender 提供的完整统一安全作体验。有关详细信息，请参阅为所有Microsoft Sentinel 客户规划迁移到 Microsoft Defender 门户。

UEBA 异常情况

Sentinel UEBA 基于动态基线检测异常情况，这些基线是根据各种数据输入为每个实体创建的。每个实体的基线行为是根据其自身的历史活动、其对等方的活动以及整个组织的活动设置的。可以通过关联不同的属性（例如操作类型、地理位置、设备、资源、ISP 等）来触发异常情况。

必须启用 UEBA 功能才能检测到 UEBA 异常。

异常帐户访问删除
创建异常帐户
异常帐户删除
异常帐户作
异常代码执行（UEBA）
异常数据销毁
异常防御机制修改
异常失败的登录
异常密码重置
授予异常特权
异常登录

异常的帐户访问权限删除

说明：攻击者可能会通过阻止访问合法用户使用的帐户来中断系统和网络资源的可用性。攻击者可能会删除、锁定或操控帐户（例如，通过更改其凭据）以删除对该帐户的访问权限。

特征	值
异常类型：	UEBA
数据源：	Azure 活动日志
MITRE ATT&CK 策略：	影响
MITRE ATT&CK 方法：	T1531 - 删除帐户访问权限
活动：	Microsoft.Authorization/roleAssignments/delete 注销

返回 UEBA 异常列表 | 返回顶部

异常的帐户创建

说明：攻击者可能会创建一个帐户来保持对目标系统的访问权限。获得足够的访问权限级别后，可以创建此类帐户来建立辅助凭据访问权限，而无需在系统上部署永久性远程访问工具。

特征	值
异常类型：	UEBA
数据源：	Microsoft Entra 审核日志
MITRE ATT&CK 策略：	持久性
MITRE ATT&CK 方法：	T1136 - 创建帐户
MITRE ATT&CK 子方法：	云帐户
活动：	核心目录/用户管理/添加用户

返回 UEBA 异常列表 | 返回顶部

异常的帐户删除

说明：攻击者可能会通过禁止访问合法用户使用的帐户来中断系统和网络资源的可用性。可能会删除、锁定或操控帐户（例如更改凭据）来删除对帐户的访问权限。

特征	值
异常类型：	UEBA
数据源：	Microsoft Entra 审核日志
MITRE ATT&CK 策略：	影响
MITRE ATT&CK 方法：	T1531 - 删除帐户访问权限
活动：	核心目录/用户管理/删除用户核心目录/设备/删除用户核心目录/用户管理/删除用户

返回 UEBA 异常列表 | 返回顶部

异常的帐户操控

说明：攻击者可能会操控帐户以保持对目标系统的访问权限。这些操作包括将新帐户添加到高特权组。例如，Dragonfly 2.0 将新建的帐户添加到了管理员组以保持提升的访问权限。以下查询生成一个输出，其中包含对特权角色执行“更新用户”（名称更改）的、影响范围广泛的所有用户，或那些首次更改了用户的用户。

特征	值
异常类型：	UEBA
数据源：	Microsoft Entra 审核日志
MITRE ATT&CK 策略：	持久性
MITRE ATT&CK 方法：	T1098 - 帐户操控
活动：	核心目录/用户管理/更新用户

返回 UEBA 异常列表 | 返回顶部

异常的代码执行 (UEBA)

说明：攻击者可能滥用命令和脚本解释器来执行命令、脚本或二进制文件。这些接口和语言提供了与计算机系统交互的方式，并且是许多不同平台共有的功能。

特征	值
异常类型：	UEBA
数据源：	Azure 活动日志
MITRE ATT&CK 策略：	执行
MITRE ATT&CK 方法：	T1059 - 命令和脚本解释器
MITRE ATT&CK 子方法：	PowerShell
活动：	Microsoft.Compute/virtualMachines/runCommand/action

返回 UEBA 异常列表 | 返回顶部

异常的数据销毁

说明：攻击者可能会销毁特定系统或网络中的大量数据和文件，以中断系统、服务和网络资源的可用性。通过覆盖本地和远程驱动器上的文件或数据，数据销毁有可能导致取证技术无法恢复存储的数据。

特征	值
异常类型：	UEBA
数据源：	Azure 活动日志
MITRE ATT&CK 策略：	影响
MITRE ATT&CK 方法：	T1485 - 数据销毁
活动：	Microsoft.Compute/disks/delete Microsoft.Compute/galleries/images/delete Microsoft.Compute/hostGroups/delete Microsoft.Compute/hostGroups/hosts/delete Microsoft.Compute/图像/删除 Microsoft.Compute/virtualMachines/delete Microsoft.Compute/virtualMachineScaleSets/delete Microsoft.Compute/virtualMachineScaleSets/virtualMachines/删除 Microsoft.Devices/digitalTwins/Delete Microsoft.Devices/iotHubs/Delete Microsoft.KeyVault/vaults/delete Microsoft.Logic/integrationAccounts/delete Microsoft.Logic/integrationAccounts/maps/delete Microsoft.Logic/integrationAccounts/schemas/delete Microsoft.Logic/integrationAccounts/partners/delete Microsoft.Logic/integrationServiceEnvironments/delete Microsoft.Logic/工作流/删除 Microsoft.Resources/subscriptions/resourceGroups/delete Microsoft.Sql/instancePools/delete Microsoft.Sql/managedInstances/delete Microsoft.Sql/managedInstances/administrators/delete Microsoft.Sql/managedInstances/databases/delete Microsoft.Storage/storageAccounts/delete Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete（删除操作路径） Microsoft.Storage/storageAccounts/fileServices/fileshares/files/删除 Microsoft.Storage/storageAccounts/blobServices/containers/delete Microsoft.AAD/domainServices/delete（删除）

返回 UEBA 异常列表 | 返回顶部

异常的防御机制修改

说明：攻击者可能会禁用安全工具，以避免对他们的工具和活动进行检测。

特征	值
异常类型：	UEBA
数据源：	Azure 活动日志
MITRE ATT&CK 策略：	防御规避
MITRE ATT&CK 方法：	T1562 - 削弱防御
MITRE ATT&CK 子方法：	禁用或修改工具禁用或修改云防火墙
活动：	Microsoft.Sql/managedInstances/databases/vulnerabilityAssessments/rules/baselines/delete Microsoft.Sql/managedInstances/databases/vulnerabilityAssessments/delete Microsoft.Network/networkSecurityGroups/securityRules/delete Microsoft.Network/networkSecurityGroups/delete Note: 删除网络安全组命令微软网络/DDoS保护计划/删除 Microsoft.Network/ApplicationGatewayWebApplicationFirewallPolicies/delete Microsoft.Network/applicationSecurityGroups/delete (删除应用安全组) Microsoft.Authorization/policyAssignments/delete Microsoft.Sql/servers/firewallRules/delete Microsoft.Network/firewallPolicies/delete Microsoft.Network/azurefirewalls/删除

返回 UEBA 异常列表 | 返回顶部

说明：事先不知道系统或环境中的合法凭据的攻击者可能会猜测密码以企图访问帐户。

特征	值
异常类型：	UEBA
数据源：	Microsoft Entra 登录日志 Windows 安全性日志
MITRE ATT&CK 策略：	凭据访问
MITRE ATT&CK 方法：	T1110 - 暴力破解
活动：	Microsoft Entra ID：登录活动 Windows 安全性：失败的登录（事件 ID 4625）

返回 UEBA 异常列表 | 返回顶部

异常的密码重置

特征	值
异常类型：	UEBA
数据源：	Microsoft Entra 审核日志
MITRE ATT&CK 策略：	影响
MITRE ATT&CK 方法：	T1531 - 删除帐户访问权限
活动：	核心目录/用户管理/用户密码重置

返回 UEBA 异常列表 | 返回顶部

异常的特权授予

说明：除了添加现有的合法凭据外，攻击者还可能为 Azure 服务主体添加由他们控制的凭据，以持久保留对受害 Azure 帐户的访问权限。

特征	值
异常类型：	UEBA
数据源：	Microsoft Entra 审核日志
MITRE ATT&CK 策略：	持久性
MITRE ATT&CK 方法：	T1098 - 帐户操控
MITRE ATT&CK 子方法：	其他 Azure 服务主体凭据
活动：	帐户预配/应用程序管理/将应用角色分配添加到服务主体

返回 UEBA 异常列表 | 返回顶部

说明：攻击者可能会使用凭据访问技术窃取特定用户或服务帐户的凭据，或者在侦查过程早期通过社交工程捕获凭据以获取持久访问权限。

特征	值
异常类型：	UEBA
数据源：	Microsoft Entra 登录日志 Windows 安全性日志
MITRE ATT&CK 策略：	持久性
MITRE ATT&CK 方法：	T1078 - 有效帐户
活动：	Microsoft Entra ID：登录活动 Windows 安全性：成功的登录（事件 ID 4624）

返回 UEBA 异常列表 | 返回顶部

基于机器学习的异常情况

Microsoft Sentinel 的可自定义的、基于机器学习的异常可以通过分析规则模板来识别异常行为，这些模板可以开箱即用。虽然单单异常本身不一定表明存在恶意行为，甚至是可疑行为，但可用于提高检测、调查和威胁搜寻。

异常 Azure作
异常代码执行
创建异常本地帐户
Office Exchange 中的异常用户活动
尝试的计算机暴力破解
尝试的用户帐户暴力破解
每个登录类型尝试的用户帐户暴力破解
每个失败原因尝试的用户帐户暴力破解
检测计算机生成的网络信标行为
DNS 域上的域生成算法（DGA）
通过 Palo Alto GlobalProtect 过度下载
通过 Palo Alto GlobalProtect 过度上传
下一级 DNS 域上的潜在域生成算法（DGA）
来自非 AWS 源 IP 地址的可疑 AWS API 调用量
来自用户帐户的可疑 AWS 写入 API 调用量
登录到计算机的可疑数量
使用提升的令牌登录到计算机的可疑数量
对用户帐户的登录量可疑
登录类型对用户帐户的可疑登录数量
使用提升的令牌登录到用户帐户的可疑数量

异常的 Azure 操作

说明：此检测算法收集 21 天的 Azure 操作数据（按用户分组）来训练此 ML 模型。然后，如果用户在其工作区中执行不常见的操作序列，该算法会生成异常情况。已训练的 ML 模型对用户执行的操作进行评分，并分析那些评分大于定义的阈值的操作。

特征	值
异常类型：	可自定义的机器学习
数据源：	Azure 活动日志
MITRE ATT&CK 策略：	初始访问
MITRE ATT&CK 方法：	T1190 - 恶意利用面向公众的应用程序

特征	值
异常类型：	可自定义的机器学习
数据源：	CommonSecurityLog （PAN）
MITRE ATT&CK 策略：	命令和控制
MITRE ATT&CK 方法：	T1071 - 应用层协议 T1132 - 数据编码 T1001 - 数据模糊处理 T1568 - 动态分辨率 T1573 - 加密通道 T1008 - 回退通道 T1104 - 多级通道 T1095 - 非应用层协议 T1571 - 非标准端口 T1572 - 协议隧道 T1090 - 代理 T1205 - 流量信令 T1102 - Web 服务

特征	值
异常类型：	可自定义的机器学习
数据源：	CommonSecurityLog （PAN VPN）
MITRE ATT&CK 策略：	外泄
MITRE ATT&CK 方法：	T1030 - 数据传输大小限制 T1041 - 通过 C2 通道外泄 T1011 - 通过其他网络媒体外泄 T1567 - 通过 Web 服务外泄 T1029 - 计划性转移 T1537 - 将数据传输到云帐户

特征	值
异常类型：	可自定义的机器学习
数据源：	CommonSecurityLog （PAN VPN）
MITRE ATT&CK 策略：	外泄
MITRE ATT&CK 方法：	T1030 - 数据传输大小限制 T1041 - 通过 C2 通道外泄 T1011 - 通过其他网络媒体外泄 T1567 - 通过 Web 服务外泄 T1029 - 计划性转移 T1537 - 将数据传输到云帐户

通过

Microsoft Sentinel 机器学习引擎检测的异常情况

UEBA 异常情况

异常的帐户访问权限删除

异常的帐户创建

异常的帐户删除

异常的帐户操控

异常的代码执行 (UEBA)

异常的数据销毁

异常的防御机制修改

异常的失败登录

异常的密码重置

异常的特权授予

异常登录

基于机器学习的异常情况

异常的 Azure 操作

异常的代码执行

异常的本地帐户创建

Office Exchange 中的异常用户活动

企图暴力破解计算机

企图暴力破解用户帐户

按登录类型列出的用户帐户暴力破解企图

按失败原因列出的用户帐户暴力破解企图

检测计算机生成的网络信标行为

DNS 域上的域生成算法 (DGA)

通过 Palo Alto GlobalProtect 过度下载

通过 Palo Alto GlobalProtect 过度上传

下一级 DNS 域上的潜在域生成算法 (DGA)

从非 AWS 源 IP 地址发出的可疑 AWS API 调用次数

从某个用户帐户发出的可疑 AWS 写入 API 调用次数

登录到计算机的可疑次数

使用权限提升的令牌登录到计算机的可疑次数

登录到用户帐户的可疑次数

按登录类型列出的登录到用户帐户的可疑次数

使用权限提升的令牌登录到用户帐户的可疑次数

后续步骤

反馈

其他资源