Azure Cosmos DB 的警示
本文列出您可能會從 適用於雲端的 Microsoft Defender 取得 Azure Cosmos DB 的安全性警示，以及您啟用的任何Microsoft Defender 方案。 您環境中顯示的警示取決於您要保護的資源和服務，以及您的自定義組態。
注意
一些由 Microsoft Defender 威脅情報 和 適用於端點的 Microsoft Defender 提供電源的最近新增警示可能未記載。
注意
來自不同來源的警示可能需要不同時間才會出現。 例如，需要分析網路流量的警示，可能會比與虛擬機上執行的可疑進程相關的警示出現的時間更長。
Azure Cosmos DB 警示
從 Tor 結束節點存取
（CosmosDB_TorAnomaly）
描述：此 Azure Cosmos DB 帳戶已成功從已知為 Tor 的作用中結束節點的 IP 位址存取，這是匿名 Proxy。 來自 Tor 結束節點的已驗證存取可能表示威脅執行者正嘗試隱藏其身分識別。
MITRE 策略：初始存取
嚴重性：高/中
從可疑IP存取
（CosmosDB_SuspiciousIp）
描述：此 Azure Cosmos DB 帳戶已成功從Microsoft威脅情報識別為威脅的 IP 位址存取。
MITRE 策略：初始存取
嚴重性：中
從不尋常的位置存取
（CosmosDB_GeoAnomaly）
描述：此 Azure Cosmos DB 帳戶是根據一般存取模式，從被視為不熟悉的位置存取。
威脅執行者已取得帳戶的存取權，或合法使用者已從新的或不尋常的地理位置連線
MITRE 策略：初始存取
嚴重性：低
擷取的異常數據量
（CosmosDB_DataExfiltrationAnomaly）
描述：從這個 Azure Cosmos DB 帳戶擷取了異常大量的數據。 這可能表示威脅執行者外泄數據。
MITRE 策略：外洩
嚴重性：中
透過潛在的惡意腳本擷取 Azure Cosmos DB 帳戶密鑰
（CosmosDB_SuspiciousListKeys.MaliciousScript）
描述：您的訂用帳戶中執行 PowerShell 腳本，並執行了可疑的金鑰清單作業模式，以取得訂用帳戶中 Azure Cosmos DB 帳戶的金鑰。 威脅執行者會使用 Microburst 等自動化腳本來列出密鑰，並尋找他們可以存取的 Azure Cosmos DB 帳戶。
這項作業可能表示貴組織中的身分識別遭到入侵，而且威脅執行者正嘗試危害您環境中的 Azure Cosmos DB 帳戶，以取得惡意意圖。
或者，惡意測試人員可能會嘗試存取敏感數據，並執行橫向移動。
MITRE 策略：集合
嚴重性：中
可疑擷取 Azure Cosmos DB 帳戶密鑰
（AzureCosmosDB_SuspiciousListKeys.SuspiciousPrincipal）
描述：從您的訂用帳戶擷取 Azure Cosmos DB 帳戶存取密鑰的可疑來源。 如果此來源不是合法的來源，這可能是高影響問題。 擷取的存取金鑰可完整控制相關聯資料庫和儲存在內的數據。 請參閱每個特定警示的詳細數據，以瞭解來源為何標示為可疑。
MITRE 策略：認證存取
嚴重性：高
SQL 插入：潛在的數據外洩
（CosmosDB_SqlInjection.DataExfiltration）
描述：可疑的 SQL 語句用來查詢此 Azure Cosmos DB 帳戶中的容器。
插入的語句可能會成功外泄威脅執行者未獲授權存取的數據。
由於 Azure Cosmos DB 查詢的結構和功能，Azure Cosmos DB 帳戶上的許多已知 SQL 插入式攻擊無法運作。 不過，此攻擊中使用的變化可能會運作，威脅執行者可能會外泄數據。
MITRE 策略：外洩
嚴重性：中
SQL 插入：模糊嘗試
（CosmosDB_SqlInjection.FailedFuzzingAttempt）
描述：可疑的 SQL 語句用來查詢此 Azure Cosmos DB 帳戶中的容器。
與其他已知的 SQL 插入式攻擊一樣，此攻擊將無法成功危害 Azure Cosmos DB 帳戶。
不過，這表示威脅執行者正嘗試攻擊此帳戶中的資源，而且您的應用程式可能會遭到入侵。
某些 SQL 插入式攻擊可能會成功，並用來外洩數據。 這表示如果攻擊者繼續執行 SQL 插入式嘗試，他們可能會危害您的 Azure Cosmos DB 帳戶並外洩數據。
您可以使用參數化查詢來防止此威脅。
MITRE 策略：攻擊前
嚴重性：低
注意
針對處於預覽狀態的警示： Azure 預覽補充條款 包含適用於 Beta 版、預覽版或尚未發行至正式運作之 Azure 功能的其他法律條款。