Przestarzałe alerty zabezpieczeń

W tym artykule wymieniono przestarzałe alerty zabezpieczeń w usłudze Microsoft Defender dla Chmury.

Przestarzałe alerty usługi Defender for Containers

Na poniższych listach znajdują się alerty zabezpieczeń usługi Defender for Containers, które zostały uznane za przestarzałe.

Wykryto manipulowanie zaporą hosta

(K8S. NODE_FirewallDisabled)

Opis: Analiza procesów uruchomionych w kontenerze lub bezpośrednio w węźle Kubernetes wykryła możliwą manipulację zaporą na hoście. Osoby atakujące często wyłączają to w celu eksfiltracji danych.

TAKTYKA MITRE: DefenseEvasion, Eksfiltracja

Ważność: średnia

Podejrzane użycie systemu DNS za pośrednictwem protokołu HTTPS

(K8S. NODE_SuspiciousDNSOverHttps)

Opis: Analiza procesów uruchomionych w kontenerze lub bezpośrednio w węźle Kubernetes wykryła użycie wywołania DNS za pośrednictwem protokołu HTTPS w nietypowy sposób. Ta technika jest używana przez osoby atakujące do ukrywania wywołań podejrzanych lub złośliwych witryn.

TAKTYKA MITRE: DefenseEvasion, Eksfiltracja

Ważność: średnia

Wykryto możliwe połączenie ze złośliwą lokalizacją

(K8S. NODE_ThreatIntelCommandLineSuspectDomain)

Opis: Analiza procesów uruchomionych w kontenerze lub bezpośrednio w węźle Kubernetes wykryła połączenie z lokalizacją, która została zgłoszona jako złośliwa lub nietypowa. Jest to wskaźnik, że mogło dojść do naruszenia zabezpieczeń.

Taktyka MITRE: InitialAccess

Ważność: średnia

Działalność wydobywczy waluty cyfrowej

(K8S. NODE_CurrencyMining)

Opis: Analiza transakcji DNS wykryła aktywność wyszukiwania walut cyfrowych. Takie działanie, choć prawdopodobnie uzasadnione zachowanie użytkowników, jest często wykonywane przez osoby atakujące po naruszeniu bezpieczeństwa zasobów. Typowe działania związane z osobami atakującym mogą obejmować pobieranie i wykonywanie typowych narzędzi do wyszukiwania.

Taktyka MITRE: Eksfiltracja

Ważność: Niska

Przestarzałe alerty usługi Defender dla serwerów z systemem Linux

VM_AbnormalDaemonTermination

Nazwa wyświetlana alertu: nieprawidłowe zakończenie

Ważność: Niska

VM_BinaryGeneratedFromCommandLine

Nazwa wyświetlana alertu: wykryto podejrzane dane binarne

Ważność: średnia

VM_CommandlineSuspectDomain podejrzane

Nazwa wyświetlana alertu: odwołanie do nazwy domeny

Ważność: Niska

VM_CommonBot

Nazwa wyświetlana alertu: zachowanie podobne do typowych wykrytych botów systemu Linux

Ważność: średnia

VM_CompCommonBots

Nazwa wyświetlana alertu: polecenia podobne do typowych wykrytych botów systemu Linux

Ważność: średnia

VM_CompSuspiciousScript

Nazwa wyświetlana alertu: wykryto skrypt powłoki

Ważność: średnia

VM_CompTestRule

Nazwa wyświetlana alertu: alert testu analitycznego złożonego

Ważność: Niska

VM_CronJobAccess

Nazwa wyświetlana alertu: Manipulowanie wykrytymi zaplanowanymi zadaniami

Ważność: informacyjna

VM_CryptoCoinMinerArtifacts

Nazwa wyświetlana alertu: wykryto proces skojarzony z wyszukiwaniem walut cyfrowych

Ważność: średnia

VM_CryptoCoinMinerDownload

Nazwa wyświetlana alertu: wykryto możliwe pobranie cryptocoinminer

Ważność: średnia

VM_CryptoCoinMinerExecution

Nazwa wyświetlana alertu: Rozpoczęto potencjalny górnik monet kryptograficznych

Ważność: średnia

VM_DataEgressArtifacts

Nazwa wyświetlana alertu: wykryto możliwe eksfiltrację danych

Ważność: średnia

VM_DigitalCurrencyMining

Nazwa wyświetlana alertu: wykryto zachowanie związane z wyszukiwania walutami cyfrowymi

Istotność: wysoka

VM_DownloadAndRunCombo

Nazwa wyświetlana alertu: podejrzane pobieranie, a następnie działanie uruchamiania

Ważność: średnia

VM_EICAR

Nazwa wyświetlana alertu: alert testowy usługi Microsoft Defender dla Chmury (nie zagrożenie)

Istotność: wysoka

VM_ExecuteHiddenFile

Nazwa wyświetlana alertu: wykonywanie ukrytego pliku

Ważność: informacyjna

VM_ExploitAttempt

Nazwa wyświetlana alertu: możliwa próba wykorzystania wiersza polecenia

Ważność: średnia

VM_ExposedDocker

Nazwa wyświetlana alertu: uwidoczniony demon platformy Docker w gniazdie TCP

Ważność: średnia

VM_FairwareMalware

Nazwa wyświetlana alertu: zachowanie podobne do wykrytego oprogramowania wymuszającego oprogramowanie wymuszające oprogramowanie fairware

Ważność: średnia

VM_FirewallDisabled

Nazwa wyświetlana alertu: wykryto manipulowanie zaporą hosta

Ważność: średnia

VM_HadoopYarnExploit

Nazwa wyświetlana alertu: możliwe wykorzystanie usługi Hadoop Yarn

Ważność: średnia

VM_HistoryFileCleared

Nazwa wyświetlana alertu: plik historii został wyczyszczone

Ważność: średnia

VM_KnownLinuxAttackTool

Nazwa wyświetlana alertu: wykryto możliwe narzędzie do ataku

Ważność: średnia

VM_KnownLinuxCredentialAccessTool

Nazwa wyświetlana alertu: wykryto możliwe narzędzie dostępu do poświadczeń

Ważność: średnia

VM_KnownLinuxDDoSToolkit

Nazwa wyświetlana alertu: wykryto wskaźniki skojarzone z zestawem narzędzi DDOS

Ważność: średnia

VM_KnownLinuxScreenshotTool

Nazwa wyświetlana alertu: zrzut ekranu wykonany na hoście

Ważność: Niska

VM_LinuxBackdoorArtifact

Nazwa wyświetlana alertu: wykryto możliwe backdoor

Ważność: średnia

VM_LinuxReconnaissance

Nazwa wyświetlana alertu: wykryto rekonesans hosta lokalnego

Ważność: średnia

VM_MismatchedScriptFeatures

Nazwa wyświetlana alertu: wykryto niezgodność rozszerzenia skryptu

Ważność: średnia

VM_MitreCalderaTools

Nazwa wyświetlana alertu: wykryto agenta MITRE Caldera

Ważność: średnia

VM_NewSingleUserModeStartupScript

Nazwa wyświetlana alertu: wykryta próba trwałości

Ważność: średnia

VM_NewSudoerAccount

Nazwa wyświetlana alertu: konto dodane do grupy sudo

Ważność: Niska

VM_OverridingCommonFiles

Nazwa wyświetlana alertu: potencjalne zastępowanie typowych plików

Ważność: średnia

VM_PrivilegedContainerArtifacts

Nazwa wyświetlana alertu: kontener uruchomiony w trybie uprzywilejowanym

Ważność: Niska

VM_PrivilegedExecutionInContainer

Nazwa wyświetlana alertu: polecenie w kontenerze z wysokimi uprawnieniami

Ważność: Niska

VM_ReadingHistoryFile

Nazwa wyświetlana alertu: nietypowy dostęp do pliku historii powłoki bash

Ważność: informacyjna

VM_ReverseShell

Nazwa wyświetlana alertu: wykryto potencjalną powłokę odwrotną

Ważność: średnia

VM_SshKeyAccess

Nazwa wyświetlana alertu: Proces uzyskiwania dostępu do pliku kluczy autoryzowanych protokołu SSH w nietypowy sposób

Ważność: Niska

VM_SshKeyAddition

Nazwa wyświetlana alertu: dodano nowy klucz SSH

Ważność: Niska

VM_SuspectCompilation

Nazwa wyświetlana alertu: wykryto podejrzaną kompilację

Ważność: średnia

VM_SuspectConnection

Nazwa wyświetlana alertu: wykryto nietypową próbę połączenia

Ważność: średnia

VM_SuspectDownload

Nazwa wyświetlana alertu: wykryto pobieranie pliku ze znanego złośliwego źródła

Ważność: średnia

VM_SuspectDownloadArtifacts

Nazwa wyświetlana alertu: wykryto podejrzane pobieranie plików

Ważność: Niska

VM_SuspectExecutablePath

Nazwa wyświetlana alertu: plik wykonywalny znaleziony z podejrzanej lokalizacji

Ważność: średnia

VM_SuspectHtaccessFileAccess

Nazwa wyświetlana alertu: wykryto dostęp do pliku htaccess

Ważność: średnia

VM_SuspectInitialShellCommand

Nazwa wyświetlana alertu: podejrzane pierwsze polecenie w powłoce

Ważność: Niska

VM_SuspectMixedCaseText

Nazwa wyświetlana alertu: wykryto nietypową kombinację wielkich i małych liter w wierszu polecenia

Ważność: średnia

VM_SuspectNetworkConnection

Nazwa wyświetlana alertu: podejrzane połączenie sieciowe

Ważność: informacyjna

VM_SuspectNohup

Nazwa wyświetlana alertu: wykryto podejrzane użycie polecenia nohup

Ważność: średnia

VM_SuspectPasswordChange

Nazwa wyświetlana alertu: możliwa zmiana hasła przy użyciu wykrytej metody crypt

Ważność: średnia

VM_SuspectPasswordFileAccess

Nazwa wyświetlana alertu: podejrzany dostęp do hasła

Ważność: informacyjna

VM_SuspectPhp

Nazwa wyświetlana alertu: wykryto podejrzane wykonanie języka PHP

Ważność: średnia

VM_SuspectPortForwarding

Nazwa wyświetlana alertu: potencjalne przekazywanie portów do zewnętrznego adresu IP

Ważność: średnia

VM_SuspectProcessAccountPrivilegeCombo

Nazwa wyświetlana alertu: proces uruchomiony na koncie usługi nieoczekiwanie stał się katalogiem głównym

Ważność: średnia

VM_SuspectProcessTermination

Nazwa wyświetlana alertu: wykryto zakończenie procesu związane z zabezpieczeniami

Ważność: Niska

VM_SuspectUserAddition

Nazwa wyświetlana alertu: wykryto podejrzane użycie polecenia useradd

Ważność: średnia

VM_SuspiciousCommandLineExecution

Nazwa wyświetlana alertu: podejrzane wykonywanie polecenia

Istotność: wysoka

VM_SuspiciousDNSOverHttps

Nazwa wyświetlana alertu: podejrzane użycie systemu DNS za pośrednictwem protokołu HTTPS

Ważność: średnia

VM_SystemLogRemoval

Nazwa wyświetlana alertu: wykryto możliwe działanie manipulowania dziennikami

Ważność: średnia

VM_ThreatIntelCommandLineSuspectDomain

Nazwa wyświetlana alertu: wykryto możliwe połączenie ze złośliwą lokalizacją

Ważność: średnia

VM_ThreatIntelSuspectLogon

Nazwa wyświetlana alertu: wykryto logowanie ze złośliwego adresu IP

Istotność: wysoka

VM_TimerServiceDisabled

Nazwa wyświetlana alertu: próba zatrzymania wykrytej usługi apt-daily-upgrade.timer

Ważność: informacyjna

VM_TimestampTampering

Nazwa wyświetlana alertu: modyfikacja sygnatury czasowej podejrzanego pliku

Ważność: Niska

VM_Webshell

Nazwa wyświetlana alertu: wykryto możliwą złośliwą powłokę sieci Web

Ważność: średnia

Przestarzałe alerty usługi Defender dla serwerów z systemem Windows

SCUBA_MULTIPLEACCOUNTCREATE

Nazwa wyświetlana alertu: podejrzane tworzenie kont na wielu hostach

Ważność: średnia

SCUBA_PSINSIGHT_CONTEXT

Nazwa wyświetlana alertu: wykryto podejrzane użycie programu PowerShell

Ważność: informacyjna

SCUBA_RULE_AddGuestToAdministrators

Nazwa wyświetlana alertu: dodawanie konta gościa do lokalnej grupy administratorów

Ważność: średnia

SCUBA_RULE_Apache_Tomcat_executing_suspicious_commands

Nazwa wyświetlana alertu: Apache_Tomcat_executing_suspicious_commands

Ważność: średnia

SCUBA_RULE_KnownBruteForcingTools

Nazwa wyświetlana alertu: wykonany podejrzany proces

Istotność: wysoka

SCUBA_RULE_KnownCollectionTools

Nazwa wyświetlana alertu: wykonany podejrzany proces

Istotność: wysoka

SCUBA_RULE_KnownDefenseEvasionTools

Nazwa wyświetlana alertu: wykonany podejrzany proces

Istotność: wysoka

SCUBA_RULE_KnownExecutionTools

Nazwa wyświetlana alertu: wykonany podejrzany proces

Istotność: wysoka

SCUBA_RULE_KnownPassTheHashTools

Nazwa wyświetlana alertu: wykonany podejrzany proces

Istotność: wysoka

SCUBA_RULE_KnownSpammingTools

Nazwa wyświetlana alertu: wykonany podejrzany proces

Ważność: średnia

SCUBA_RULE_Lowering_Security_Settings

Nazwa wyświetlana alertu: wykryto wyłączenie usług krytycznych

Ważność: średnia

SCUBA_RULE_OtherKnownHackerTools

Nazwa wyświetlana alertu: wykonany podejrzany proces

Istotność: wysoka

SCUBA_RULE_RDP_session_hijacking_via_tscon

Nazwa wyświetlana alertu: podejrzany poziom integralności wskazuje na przejęcie protokołu RDP

Ważność: średnia

SCUBA_RULE_RDP_session_hijacking_via_tscon_service

Nazwa wyświetlana alertu: podejrzana instalacja usługi

Ważność: średnia

SCUBA_RULE_Suppress_pesky_unauthorized_use_prohibited_notices

Nazwa wyświetlana alertu: wykryto pomijanie powiadomienia prawnego wyświetlanego użytkownikom podczas logowania

Ważność: Niska

SCUBA_RULE_WDigest_Enabling

Nazwa wyświetlana alertu: wykryto włączenie klucza rejestru UseLogonCredential WDigest

Ważność: średnia

VM.Windows_ApplockerBypass

Nazwa wyświetlana alertu: potencjalna próba obejścia wykrytej funkcji AppLocker

Istotność: wysoka

VM.Windows_BariumKnownSuspiciousProcessExecution

Nazwa wyświetlana alertu: wykryto podejrzane tworzenie pliku

Istotność: wysoka

VM.Windows_Base64EncodedExecutableInCommandLineParams

Nazwa wyświetlana alertu: wykryto zakodowany plik wykonywalny w danych wiersza polecenia

Istotność: wysoka

VM.Windows_CalcsCommandLineUse

Nazwa wyświetlana alertu: wykryto podejrzane użycie cacls w celu obniżenia stanu zabezpieczeń systemu

Ważność: średnia

VM.Windows_CommandLineStartingAllExe

Nazwa wyświetlana alertu: wykryto podejrzany wiersz polecenia używany do uruchamiania wszystkich plików wykonywalnych w katalogu

Ważność: średnia

VM.Windows_DisablingAndDeletingIISLogFiles

Nazwa wyświetlana alertu: wykryte akcje wskazujące na wyłączenie i usunięcie plików dziennika usług IIS

Ważność: średnia

VM.Windows_DownloadUsingCertutil

Nazwa wyświetlana alertu: podejrzane pobieranie przy użyciu narzędzia Certutil wykryto

Ważność: średnia

VM.Windows_EchoOverPipeOnLocalhost

Nazwa wyświetlana alertu: Wykryto podejrzaną komunikację potoku o nazwie

Istotność: wysoka

VM.Windows_EchoToConstructPowerShellScript

Nazwa wyświetlana alertu: dynamiczna konstrukcja skryptu programu PowerShell

Ważność: średnia

VM.Windows_ExecutableDecodedUsingCertutil

Nazwa wyświetlana alertu: wykryto dekodowanie pliku wykonywalnego przy użyciu wbudowanego narzędzia certutil.exe

Ważność: średnia

VM.Windows_FileDeletionIsSospisiousLocation

Nazwa wyświetlana alertu: wykryto podejrzane usunięcie pliku

Ważność: średnia

VM.Windows_KerberosGoldenTicketAttack

Nazwa wyświetlana alertu: zaobserwowano podejrzane parametry ataku typu Golden Ticket protokołu Kerberos

Ważność: średnia

VM.Windows_KeygenToolKnownProcessName

Nazwa wyświetlana alertu: wykryto możliwe wykonanie pliku wykonywalnego keygen Podejrzanego procesu

Ważność: średnia

VM.Windows_KnownCredentialAccessTools

Nazwa wyświetlana alertu: wykonany podejrzany proces

Istotność: wysoka

VM.Windows_KnownSuspiciousPowerShellScript

Nazwa wyświetlana alertu: wykryto podejrzane użycie programu PowerShell

Istotność: wysoka

VM.Windows_KnownSuspiciousSoftwareInstallation

Nazwa wyświetlana alertu: wykryto oprogramowanie o wysokim ryzyku

Ważność: średnia

VM.Windows_MsHtaAndPowerShellCombination

Nazwa wyświetlana alertu: wykryto podejrzaną kombinację funkcji HTA i programu PowerShell

Ważność: średnia

VM.Windows_MultipleAccountsQuery

Nazwa wyświetlana alertu: zapytania dotyczące wielu kont domeny

Ważność: średnia

VM.Windows_NewAccountCreation

Nazwa wyświetlana alertu: wykryto tworzenie konta

Ważność: informacyjna

VM.Windows_ObfuscatedCommandLine

Nazwa wyświetlana alertu: Wykryto zaciemniony wiersz polecenia.

Istotność: wysoka

VM.Windows_PcaluaUseToLaunchExecutable

Nazwa wyświetlana alertu: wykryto podejrzane użycie Pcalua.exe do uruchomienia kodu wykonywalnego

Ważność: średnia

VM.Windows_PetyaRansomware

Nazwa wyświetlana alertu: wykryte wskaźniki oprogramowania wymuszającego okup petya

Istotność: wysoka

VM.Windows_PowerShellPowerSploitScriptExecution

Nazwa wyświetlana alertu: wykonane podejrzane polecenia cmdlet programu PowerShell

Ważność: średnia

VM.Windows_RansomwareIndication

Nazwa wyświetlana alertu: wykryto wskaźniki oprogramowania wymuszającego okup

Istotność: wysoka

VM.Windows_SqlDumperUsedSuspiciously

Nazwa wyświetlana alertu: wykryto możliwe zrzucanie poświadczeń [widziane wielokrotnie]

Ważność: średnia

VM.Windows_StopCriticalServices

Nazwa wyświetlana alertu: wykryto wyłączenie usług krytycznych

Ważność: średnia

VM.Windows_SubvertingAccessibilityBinary

Nazwa wyświetlana alertu: Wykryto atak przy użyciu kluczy sticky wykryto podejrzane tworzenie konta

VM.Windows_SuspiciousAccountCreation

Nazwa wyświetlana alertu: Wykryto podejrzane tworzenie konta

Ważność: średnia

VM.Windows_SuspiciousFirewallRuleAdded

Nazwa wyświetlana alertu: Wykryto podejrzaną nową regułę zapory

Ważność: średnia

VM.Windows_SuspiciousFTPSSwitchUsage

Nazwa wyświetlana alertu: wykryto podejrzane użycie przełącznika -s FTP

Ważność: średnia

VM.Windows_SuspiciousSQLActivity

Nazwa wyświetlana alertu: podejrzane działanie SQL

Ważność: średnia

VM.Windows_SVCHostFromInvalidPath

Nazwa wyświetlana alertu: wykonany podejrzany proces

Istotność: wysoka

VM.Windows_SystemEventLogCleared

Nazwa wyświetlana alertu: dziennik zabezpieczeń systemu Windows został wyczyszczone

Ważność: informacyjna

VM.Windows_TelegramInstallation

Nazwa wyświetlana alertu: wykryto potencjalnie podejrzane użycie narzędzia Telegram

Ważność: średnia

VM.Windows_UndercoverProcess

Nazwa wyświetlana alertu: wykryto podejrzany proces o nazwie

Istotność: wysoka

VM.Windows_UserAccountControlBypass

Nazwa wyświetlana alertu: wykryto zmianę klucza rejestru, którego można nadużywać w celu obejścia kontroli dostępu użytkownika

Ważność: średnia

VM.Windows_VBScriptEncoding

Nazwa wyświetlana alertu: wykryto podejrzane wykonanie polecenia VBScript.Encode

Ważność: średnia

VM.Windows_WindowPositionRegisteryChange

Nazwa wyświetlana alertu: wykryto podejrzaną wartość rejestru WindowPosition

Ważność: Niska

VM.Windows_ZincPortOpenningUsingFirewallRule

Nazwa wyświetlana alertu: złośliwa reguła zapory utworzona przez implant serwera

Istotność: wysoka

VM_DigitalCurrencyMining

Nazwa wyświetlana alertu: wykryto zachowanie związane z wyszukiwania walutami cyfrowymi

Istotność: wysoka

VM_MaliciousSQLActivity

Nazwa wyświetlana alertu: złośliwe działanie SQL

Istotność: wysoka

VM_ProcessWithDoubleExtensionExecution

Nazwa wyświetlana alertu: wykonany podejrzany plik podwójnego rozszerzenia

Istotność: wysoka

VM_RegistryPersistencyKey

Nazwa wyświetlana alertu: wykryto metodę trwałości rejestru systemu Windows

Ważność: Niska

VM_ShadowCopyDeletion

Nazwa wyświetlana alertu: plik wykonywalny podejrzanego działania kopiowania woluminów w tle znaleziony z podejrzanej lokalizacji

Istotność: wysoka

VM_SuspectExecutablePath

Nazwa wyświetlana alertu: znaleziono plik wykonywalny uruchomiony z podejrzanej lokalizacji Wykryto nietypową kombinację wielkich i małych liter w wierszu polecenia

Ważność: informacyjna

Medium

VM_SuspectPhp

Nazwa wyświetlana alertu: wykryto podejrzane wykonanie języka PHP

Ważność: średnia

VM_SuspiciousCommandLineExecution

Nazwa wyświetlana alertu: podejrzane wykonywanie polecenia

Istotność: wysoka

VM_SuspiciousScreenSaverExecution

Nazwa wyświetlana alertu: wykonany proces podejrzanego wygaszarza ekranu

Ważność: średnia

VM_SvcHostRunInRareServiceGroup

Nazwa wyświetlana alertu: uruchomiona rzadka grupa usługi SVCHOST

Ważność: informacyjna

VM_SystemProcessInAbnormalContext

Nazwa wyświetlana alertu: wykonany podejrzany proces systemowy

Ważność: średnia

VM_ThreatIntelCommandLineSuspectDomain

Nazwa wyświetlana alertu: wykryto możliwe połączenie ze złośliwą lokalizacją

Ważność: średnia

VM_ThreatIntelSuspectLogon

Nazwa wyświetlana alertu: wykryto logowanie ze złośliwego adresu IP

Istotność: wysoka

VM_VbScriptHttpObjectAllocation

Nazwa wyświetlana alertu: wykryto alokację obiektu HTTP VBScript

Istotność: wysoka

VM_TaskkillBurst

Nazwa wyświetlana alertu: podejrzana przerwanie procesu

Ważność: Niska

VM_RunByPsExec

Nazwa wyświetlana alertu: wykryto wykonanie programu PsExec

Ważność: informacyjna

Następne kroki

• Alerty zabezpieczeń w usłudze Microsoft Defender dla Chmury
• Reagowanie na alerty zabezpieczeń i zarządzanie nimi w usłudze Microsoft Defender dla Chmury
• Ciągłe eksportowanie danych Defender dla Chmury