Anomalie wykryte przez aparat uczenia maszynowego Microsoft Sentinel

Microsoft Sentinel wykrywa anomalie, analizując zachowanie użytkowników w środowisku przez pewien czas i konstruując punkt odniesienia legalnej aktywności. Po ustanowieniu punktu odniesienia każde działanie poza normalnymi parametrami jest uważane za nietypowe, a zatem podejrzane.

Microsoft Sentinel używa dwóch modeli do tworzenia punktów odniesienia i wykrywania anomalii.

W tym artykule wymieniono anomalie wykrywane Microsoft Sentinel przy użyciu różnych modeli uczenia maszynowego.

W tabeli Anomalie :

  • Kolumna rulename wskazuje regułę Sentinel używaną do identyfikowania każdej anomalii.
  • Kolumna score zawiera wartość liczbową z zakresu od 0 do 1, która kwantyfikuje stopień odchylenia od oczekiwanego zachowania. Wyższe wyniki wskazują większe odchylenie od punktu odniesienia i są bardziej prawdopodobne, że będą prawdziwe anomalie. Niższe wyniki mogą nadal być nietypowe, ale są mniej prawdopodobne, że będą znaczące lub możliwe do wykonania.

Uwaga

Te wykrycia anomalii są przerywane od 8 marca 2026 r., ze względu na niską jakość wyników:

  • Algorytm generowania domeny (DGA) w domenach DNS
  • Potencjalny algorytm generowania domeny (DGA) w domenach DNS następnego poziomu

Porównanie analiz UEBA i anomalii opartych na uczeniu maszynowym

Anomalie oparte na ueba i uczeniu maszynowym (ML) uzupełniają podejścia do wykrywania anomalii. Oba te elementy wypełniają tabelę, Anomalies ale służą do różnych celów:

Aspekt Anomalie UEBA Reguły wykrywania anomalii uczenia maszynowego
Ostrości Kto zachowuje się niezwykle Jakie działanie jest niezwykłe
Podejście do wykrywania Behawioralne punkty odniesienia skoncentrowane na jednostce w porównaniu z działaniami historycznymi, zachowaniem komunikacji równorzędnej i wzorcami w całej organizacji Dostosowywalne szablony reguł przy użyciu modeli statystycznych i uczenia maszynowego wytrenowanych na podstawie określonych wzorców danych
Źródło odniesienia Historia każdej jednostki, grupa równorzędna i organizacja Okres trenowania (zazwyczaj 7–21 dni) dla określonych typów zdarzeń
Dostosowywania Włączone/wyłączone przy użyciu ustawień UEBA Progi i parametry z możliwością dostosowania przy użyciu interfejsu użytkownika reguły analizy
Przykłady Nietypowe logowanie, nietypowe tworzenie konta, nietypowa modyfikacja uprawnień Próba brutalnej siły, nadmierne pobieranie, sygnały nawigacyjne sieci

Więcej informacji można znaleźć w następujących artykułach:

Anomalie UEBA

Uwaga

Anomalie UEBA wymienione Anomalies w tej sekcji są zapisane w tabeli. Aby uzyskać informacje o anomaliach dodanych BehaviorInfo bezpośrednio do rejestrów zachowań UEBA w tabeli, zobacz Zbadaj anomalie na zachowaniach UEBA.

Sentinel UEBA wykrywa anomalie oparte na dynamicznych punktach odniesienia utworzonych dla każdej jednostki w różnych danych wejściowych danych. Zachowanie punktu odniesienia każdej jednostki jest ustawiane zgodnie z jej własnymi działaniami historycznymi, działaniami jej elementów równorzędnych i całą organizacją. Anomalie mogą być wyzwalane przez korelację różnych atrybutów, takich jak typ akcji, lokalizacja geograficzna, urządzenie, zasób, usługodawca isp i inne.

Aby wykrywać anomalie UEBA, należy włączyć wykrywanie ueba i anomalii w obszarze roboczym Sentinel.

UEBA wykrywa anomalie na podstawie tych reguł anomalii:

Sentinel używa wzbogaconych danych z tabeli BehaviorAnalytics do identyfikowania anomalii UEBA z wynikiem ufności specyficznym dla dzierżawy i źródła.

Usuwanie nietypowego dostępu do konta UEBA

Opis: Osoba atakująca może przerwać dostępność zasobów systemowych i sieciowych, blokując dostęp do kont używanych przez legalnych użytkowników. Osoba atakująca może usunąć, zablokować lub manipulować kontem (na przykład zmieniając jego poświadczenia), aby usunąć dostęp do niego.

Atrybut Value
Typ anomalii: UEBA
Źródła danych: dzienniki aktywności Azure
Taktyka mitre att&CK: Wpływ
MITRE ATT&techniki CK: T1531 — Usuwanie dostępu do konta
Działania: Microsoft.Authorization/roleAssignments/delete
Wyloguj się

Powrót do listy | anomalii UEBAPowrót do góry

Tworzenie nietypowego konta UEBA

Opis: Przeciwnicy mogą utworzyć konto w celu utrzymania dostępu do systemów docelowych. Przy wystarczającym poziomie dostępu tworzenie takich kont może służyć do ustanawiania pomocniczego dostępu poświadczeń bez konieczności wdrażania trwałych narzędzi dostępu zdalnego w systemie.

Atrybut Value
Typ anomalii: UEBA
Źródła danych: dzienniki inspekcji Microsoft Entra
Taktyka mitre att&CK: Trwałości
MITRE ATT&techniki CK: T1136 — tworzenie konta
Techniki podrzędne MITRE ATT&CK: Konto w chmurze
Działania: Katalog podstawowy/Zarządzanie użytkownikami/Dodawanie użytkownika

Powrót do listy | anomalii UEBAPowrót do góry

UEBA Anomalous CheckPoint Anomalous VPN Login

Opis: Nietypowe udane logowania VPN do bramki Check Point z publicznych (nieprywatnych) adresów IP. Anomalie są określane przez porównanie adresu IP źródła, rozwiązanego kraju/regionu oraz dostawcy internetu każdego logowania z historią użytkownika oraz wzorcami całej organizacji. Pierwsze logowania z nowego adresu IP lub kraju/regionu, albo z kraju/regionu, który wcześniej nie był widoczny w dzierżawie, mogą wskazywać na niemożliwą podróż, przejęte dane uwierzytelniające lub nieautoryzowany zdalny dostęp.

Atrybut Value
Typ anomalii: UEBA
Źródła danych: CommonSecurityLog (Punkt Kontrolny)
Taktyka mitre att&CK: Dostęp początkowy, trwałość
MITRE ATT&techniki CK: T1078 - Ważne konta, T1133 - Zewnętrzne Usługi Zdalne
Działania: AnomalousVpnLogin - pomyślne logowanie do Check Point VPN z zasiedlonym SourceUserName i publicznym SourceIP

Powrót do listy | anomalii UEBAPowrót do góry

Urządzenie UEBA Anomalous CheckPoint przejęte

Opis: Nietypowy wybuch detekcji IPS, Anti-Bot lub Anti-Virus w punktach kontrolnych na jednym urządzeniu. Anomalie są określane przez porównanie dziennej objętości wykrywania urządzenia z własną 30-dniową historią i są podnoszone, gdy objętość znacznie odbiega od tego poziomu wyjściowego. Takie wybuchy mogą wskazywać na próby wykorzystania urządzenia lub rozprzestrzenianie się złośliwego oprogramowania.

Atrybut Value
Typ anomalii: UEBA
Źródła danych: CommonSecurityLog (Punkt Kontrolny)
Taktyka mitre att&CK: Wykonanie, wstępny dostęp
MITRE ATT&techniki CK: T1059 - Interpreter poleceń i skryptów, T1203 - Eksploatacja do wykonywania klienta
Działania: DeviceCompromised - Wykrywania IPS, Anti-Bot, Anti-Virus lub Antivirus o Medium nasileniu lub wyższym, z zapobieganiem DeviceAction (Prevent, Block, Drop, ), Rejectna urządzeniu bez powiązanego użytkownika

Powrót do listy | anomalii UEBAPowrót do góry

Anomalny punkt kontrolny UEBA – nieudane logowanie przez VPN

Opis: Nietypowe wzorce nieudanych prób logowania VPN przeciwko bramie Check Point VPN-1 i FireWall-1. Anomalie są określane przez porównanie adresu IP źródła, wyjaśnionej geolokalizacji oraz dostawcy internetu nieudanych logowań z historycznym poziomem wyjściowym użytkownika. Pierwsza awaria z nowego adresu IP lub nietypowa liczba awarii może wskazywać na ataki brute-force, podsuwanie danych uwierzytelniających lub próby nieautoryzowanego dostępu do bramki VPN.

Atrybut Value
Typ anomalii: UEBA
Źródła danych: CommonSecurityLog (Punkt Kontrolny)
Taktyka mitre att&CK: Dostęp poświadczeń, dostęp początkowy
MITRE ATT&techniki CK: T1110 - Brutalna siła, T1078 - Ważne konta
Działania: FailedVpnLogin - DeviceProductjest , VPN-1 & FireWall-1SourceUserName jest wypełniony, Activity zawiera token logowania lub uwierzytelniania, oraz DeviceAction jest , DropReject, lubBlock

Powrót do listy | anomalii UEBAPowrót do góry

Anomalny punkt kontrolny UEBA Nietypowy dostęp do sieci

Opis: Nietypowy dostęp urządzeń do kategorii internetowych o wysokim ryzyku poprzez filtrowanie URL Check Point, takich jak phishing, malware, botnet, systemy dowodzenia i kontroli, kryptowaluty oraz strony anonimizujące. Anomalie są określane poprzez porównanie dostępnej kategorii internetowej z historią urządzenia oraz z kategoriami wcześniej obserwowanymi gdziekolwiek w organizacji. Pierwszy dostęp do kategorii wysokiego ryzyka może wskazywać na aranżację złośliwego oprogramowania, inżynierię społeczną lub naruszenie polityki.

Atrybut Value
Typ anomalii: UEBA
Źródła danych: CommonSecurityLog (Punkt Kontrolny)
Taktyka mitre att&CK: Dowodzenie i Kontrola, Wstępny Dostęp
MITRE ATT&techniki CK: T1071 - Protokół warstwy aplikacji, T1189 - Kompromitacja drive-by
Działania: UnusualWebAccess - DeviceProductjest , URL FilteringComputer jest zamieszkowana bez przypisanych SourceUserName, i zawiera kategorię DeviceCustomString5 sieci o wysokim ryzyku

Powrót do listy | anomalii UEBAPowrót do góry

UEBA Anomalous Fortinet Anomalous VPN Authentication

Opis: Nietypowo udane uwierzytelnienia VPN do urządzenia FortiGate Fortinet z publicznych (nieprywatnych) adresów IP. Anomalie są określane przez porównanie źródła adresu IP, rozstrzygniętego kraju/regionu oraz dostawcy internetu każdego uwierzytelniania z historią użytkownika oraz z wzorcami całej organizacji. Pierwsze uwierzytelnienia z nowego adresu IP lub kraju/regionu mogą wskazywać na niemożliwą podróż, naruszone dane uwierzytelniające lub nieautoryzowany zdalny dostęp.

Atrybut Value
Typ anomalii: UEBA
Źródła danych: CommonSecurityLog (Fortinet)
Taktyka mitre att&CK: Dostęp początkowy, trwałość
MITRE ATT&techniki CK: T1078 - Ważne konta, T1133 - Zewnętrzne Usługi Zdalne
Działania: AnomalousVpnAuthentication - pomyślne uwierzytelnianie VPN FortiGate (event:vpn, vpn success, vpn event success) z zasiedlonym SourceUserName i publicznym SourceIP

Powrót do listy | anomalii UEBAPowrót do góry

UEBA Anomalous Fortinet Suspicious Firewall Policy Change

Opis: Nietypowy wybuch zmian w polityce zapory administracyjnej na urządzeniu FortiGate Fortinet. Anomalie są określane przez porównanie dziennej liczby zdarzeń zmiany konfiguracji urządzenia z jego własną 30-dniową historią. Znaczące odchylenie od tego poziomu może wskazywać na unikanie zabezpieczeń, manipulację regułą zapory lub nieautoryzowaną modyfikację polityki przez przekroczone konto administracyjne.

Atrybut Value
Typ anomalii: UEBA
Źródła danych: CommonSecurityLog (Fortinet)
Taktyka mitre att&CK: Unikanie obrony, wytrwałość
MITRE ATT&techniki CK: T1562 - Utrudnianie obrony, T1098 - Manipulacja kontem
Działania: SuspiciousFirewallPolicyChange- Zdarzenia systemu FortiGate (), których event:system jest , DeviceEventClassID37124, 37127, 37128, lub , a 37129ich działanie to 37134, add, create, updatemodify, edit, , delete, lubsetunset

Powrót do listy | anomalii UEBAPowrót do góry

Anomalne przeglądanie kategorii stron internetowych UEBA Anomalous Fortinet

Opis: Nietypowy dostęp urządzeń do kategorii URL wysokiego ryzyka poprzez filtrowanie sieci FortiGate FortiGate, takich jak phishing, malware, spyware, botnet, command-and-control oraz strony ransomware. Anomalie są określane przez porównanie kategorii dostępu URL z historią urządzenia oraz z kategoriami wcześniej obserwowanymi gdziekolwiek w organizacji. Pierwszy dostęp do kategorii wysokiego ryzyka może wskazywać na aranżację złośliwego oprogramowania, inżynierię społeczną lub naruszenie polityki.

Atrybut Value
Typ anomalii: UEBA
Źródła danych: CommonSecurityLog (Fortinet)
Taktyka mitre att&CK: Dowodzenie i Kontrola, Wstępny Dostęp
MITRE ATT&techniki CK: T1071 - Protokół warstwy aplikacji, T1189 - Kompromitacja drive-by
Działania: UnusualWebCategoryBrowsing - Zdarzenia FortiGate webfilter , gdzie Computer jest wypełnione bez powiązanych SourceUserName, i DeviceCustomString2 zawierają kategorię URL wysokiego ryzyka

Powrót do listy | anomalii UEBAPowrót do góry

Aktywność wykrywania zadań Anomalnych Strażników UEBA w AWS (Zapowiedź)

Opis: Nietypowa aktywność AWS GuardDuty dotycząca tożsamości i zasobów. Anomalie obejmują typy pierwszych wykryć, nietypową częstotliwość lub wybuchy oraz skoki w nasileniu lub objętości znalezienia w porównaniu z aktywnością historyczną i równorzędną, co może wskazywać na pojawiające się kompromitowanie lub postęp atakującego.

Atrybut Value
Typ anomalii: UEBA
Źródła danych: Ustalenia dotyczące AWS GuardDuty
Taktyka mitre att&CK: Wstępny dostęp, dostęp do poświadczeń, odkrycie, wycieczka
MITRE ATT&techniki CK: T1078, T1078.004 - Ważne rachunki; T1110 - Brutalna Siła; T1087.004 - Odkrywanie kont: Konto w chmurze; T1567.002 - Eksfiltracja przez usługę internetową: Eksfiltracja do chmury
Działania: Aktywność wyznaczania służby w GuardDuty

Powrót do listy | anomalii UEBAPowrót do góry

Anomalne uwierzytelnianie VPN UEBA Anomalous Zscaler

Opis: Nietypowe uwierzytelniania VPN Zscaler Private Access z publicznych (nieprywatnych) adresów IP. Anomalie są określane przez porównanie źródła adresu IP, rozstrzygniętego kraju/regionu oraz dostawcy internetu każdego uwierzytelniania z historią użytkownika oraz z wzorcami całej organizacji. Odchylenia mogą wskazywać na naruszenie danych uwierzytelniających, przejęcie sesji lub nieautoryzowany zdalny dostęp.

Atrybut Value
Typ anomalii: UEBA
Źródła danych: CommonSecurityLog (Zscaler)
Taktyka mitre att&CK: Dostęp początkowy, trwałość
MITRE ATT&techniki CK: T1078 - Ważne konta, T1133 - Zewnętrzne Usługi Zdalne
Działania: AnomalousVpnAuthentication - logowanie lub aktywność uwierzytelniania na produkcie Zscaler innym niż NSSWeblog lub NSSDNSlog, z zapełnionymi SourceUserName, publicznymi SourceIP, oraz nieadministracyjnymi DeviceAction

Powrót do listy | anomalii UEBAPowrót do góry

Podejrzana zmiana administracyjna UEBA Anomalous Zscaler

Opis: Nietypowe zmiany administracyjne w portalu Zscaler, takie jak edycje polityk, udostępnianie użytkowników oraz zdarzenia logowania i wylogowania administratora. Anomalie są określane poprzez porównanie każdej akcji administracyjnej z działaniami wykonanymi wcześniej przez użytkownika oraz z działaniami wcześniej zaobserwowanymi gdziekolwiek w organizacji. Pierwsze lub rzadkie działania administracyjne mogą wskazywać na naruszenie konta uprzywilejowanego lub złośliwą aktywność insiderów, która osłabia kontrolę bezpieczeństwa.

Atrybut Value
Typ anomalii: UEBA
Źródła danych: CommonSecurityLog (Zscaler)
Taktyka mitre att&CK: Wytrwałość, unikanie obrony
MITRE ATT&techniki CK: T1098 - Manipulacja kontami, T1562 - Utrudnianie obrony
Działania: SuspiciousAdministrativeChange - SIGN_IN, SIGN_OUT, CREATE, UPDATE, lub DELETE w DeviceAction, na iloczynie Zscalera innym niż NSSWeblog lub NSSDNSlog, z zasiedlonym SourceUserName

Powrót do listy | anomalii UEBAPowrót do góry

UEBA Anomalous Zscaler – nietypowy, wysokiego ryzyka dostęp do kategorii webowej

Opis: Nietypowy dostęp użytkowników do kategorii sieci wysokiego ryzyka za pośrednictwem proxy'ego Zscaler, takich jak malware, phishing, spyware, systemy command-and-control, anonimizatory oraz strony do unikania proxy. Anomalie są określane poprzez porównanie dostępnej kategorii z historią użytkownika oraz z kategoriami wcześniej obserwowanymi gdziekolwiek w organizacji. Pierwszy dostęp do kategorii wysokiego ryzyka może wskazywać na staging malware, phishing lub celowe unikanie polityki bezpieczeństwa w sieci.

Atrybut Value
Typ anomalii: UEBA
Źródła danych: CommonSecurityLog (Zscaler)
Taktyka mitre att&CK: Dowodzenie i Kontrola, Ewakuacja
MITRE ATT&techniki CK: T1071 - Protokół warstwy aplikacji, T1567 - Eksfiltracja przez usługę sieciową
Działania: UnusualHighRiskWebCategoryAccess - DeviceProductjest , NSSWeblogSourceUserNameRequestURL i są wypełnione, i DeviceCustomString2 zawiera kategorię internetową wysokiego ryzyka

Powrót do listy | anomalii UEBAPowrót do góry

Usuwanie nietypowego konta UEBA

Opis: Przeciwnicy mogą przerwać dostępność zasobów systemowych i sieciowych, hamując dostęp do kont używanych przez legalnych użytkowników. Konta mogą być usuwane, blokowane lub manipulowane (np. zmienione poświadczenia), aby usunąć dostęp do kont.

Atrybut Value
Typ anomalii: UEBA
Źródła danych: dzienniki inspekcji Microsoft Entra
Taktyka mitre att&CK: Wpływ
MITRE ATT&techniki CK: T1531 — Usuwanie dostępu do konta
Działania: Użytkownik usługi Core Directory/UserManagement/Delete
Użytkownik usługi Core Directory/Device/Delete
Użytkownik usługi Core Directory/UserManagement/Delete

Powrót do listy | anomalii UEBAPowrót do góry

Nietypowa manipulacja kontem UEBA

Opis: Przeciwnicy mogą manipulować kontami w celu utrzymania dostępu do systemów docelowych. Te akcje obejmują dodawanie nowych kont do grup o wysokich uprawnieniach. Na przykład program Dragonfly 2.0 dodał nowo utworzone konta do grupy administratorów w celu utrzymania podwyższonego poziomu dostępu. Poniższe zapytanie generuje dane wyjściowe wszystkich użytkowników usługi Radius o wysokiej wydajności wykonujących "Aktualizowanie użytkownika" (zmiana nazwy) na rolę uprzywilejowaną lub tych, którzy zmienili użytkowników po raz pierwszy.

Atrybut Value
Typ anomalii: UEBA
Źródła danych: dzienniki inspekcji Microsoft Entra
Taktyka mitre att&CK: Trwałości
MITRE ATT&techniki CK: T1098 — Manipulowanie kontami
Działania: Użytkownik usługi Core Directory/UserManagement/Update

Powrót do listy | anomalii UEBAPowrót do góry

Nietypowe działanie UEBA w dziennikach inspekcji GCP

Opis: Nieudane próby dostępu do zasobów platformy Google Cloud Platform (GCP) na podstawie wpisów związanych z zarządzaniem dostępem i tożsamościami w dziennikach inspekcji GCP. Te błędy mogą odzwierciedlać błędnie skonfigurowane uprawnienia, próby uzyskania dostępu do nieautoryzowanych usług lub zachowania osoby atakującej na wczesnym etapie, takie jak sondowanie uprawnień lub trwałość za pośrednictwem kont usług.

Atrybut Value
Typ anomalii: UEBA
Źródła danych: Dzienniki inspekcji GCP
Taktyka mitre att&CK: Odnajdywania
MITRE ATT&techniki CK: T1087 — Odnajdywanie konta, T1069 — odnajdywanie grup uprawnień
Działania: iam.googleapis.com

Powrót do listy | anomalii UEBAPowrót do góry

Nietypowa aktywność UEBA w Okta_CL

Opis: Nieoczekiwane działania uwierzytelniania lub zmiany konfiguracji związane z zabezpieczeniami w usłudze Okta, w tym modyfikacje reguł logowania, wymuszanie uwierzytelniania wieloskładnikowego (MFA) lub uprawnienia administracyjne. Takie działanie może wskazywać na próby zmiany mechanizmów kontroli zabezpieczeń tożsamości lub utrzymania dostępu za pośrednictwem uprzywilejowanych zmian.

Atrybut Value
Typ anomalii: UEBA
Źródła danych: Dzienniki chmury okta (Okta_CL i OktaV2_CL)
Taktyka mitre att&CK: Trwałość, eskalacja uprawnień
MITRE ATT&techniki CK: T1098 — Manipulowanie kontami, T1556 — Modyfikowanie procesu uwierzytelniania
Działania: user.session.impersonation.grant
user.session.impersonation.initiate
user.session.start
app.oauth2.admin.consent.grant_success
app.oauth2.authorize.code_success
device.desktop_mfa.recovery_pin.generate
user.authentication.auth_via_mfa
user.mfa.attempt_bypass
user.mfa.factor.deactivate
user.mfa.factor.reset_all
user.mfa.factor.suspend
user.mfa.okta_verify

Powrót do listy | anomalii UEBAPowrót do góry

Uwierzytelnianie nietypowe UEBA

Opis: Nietypowe działanie uwierzytelniania między sygnałami z Ochrona punktu końcowego w usłudze Microsoft Defender i Microsoft Entra ID, w tym logowania urządzeń, logowania tożsamości zarządzanej i uwierzytelniania jednostki usługi z Microsoft Entra ID. Te anomalie mogą sugerować nieprawidłowe użycie poświadczeń, nadużywanie tożsamości innych niż ludzkie lub próby ruchu bocznego poza typowymi wzorcami dostępu.

Atrybut Value
Typ anomalii: UEBA
Źródła danych: Ochrona punktu końcowego w usłudze Microsoft Defender, Microsoft Entra ID
Taktyka mitre att&CK: Dostęp początkowy
MITRE ATT&techniki CK: T1078 — prawidłowe konta
Działania:

Powrót do listy | anomalii UEBAPowrót do góry

Nietypowe wykonywanie kodu UEBA

Opis: Osoby atakujące mogą nadużywać interpreterów poleceń i skryptów w celu wykonywania poleceń, skryptów lub plików binarnych. Te interfejsy i języki zapewniają sposoby interakcji z systemami komputerowymi i są wspólną funkcją na wielu różnych platformach.

Atrybut Value
Typ anomalii: UEBA
Źródła danych: dzienniki aktywności Azure
Taktyka mitre att&CK: Wykonanie
MITRE ATT&techniki CK: T1059 — interpreter poleceń i skryptów
Techniki podrzędne MITRE ATT&CK: PowerShell
Działania: Microsoft.Compute/virtualMachines/runCommand/action

Powrót do listy | anomalii UEBAPowrót do góry

Niszczenie nietypowych danych UEBA

Opis: Osoby atakujące mogą zniszczyć dane i pliki w określonych systemach lub w dużej liczbie w sieci, aby przerwać dostępność systemów, usług i zasobów sieciowych. Niszczenie danych może spowodować, że przechowywane dane będą nieodwracalne dzięki technikom kryminalistycznym poprzez zastępowanie plików lub danych na dyskach lokalnych i zdalnych.

Atrybut Value
Typ anomalii: UEBA
Źródła danych: dzienniki aktywności Azure
Taktyka mitre att&CK: Wpływ
MITRE ATT&techniki CK: T1485 — Niszczenie danych
Działania: Microsoft.Compute/disks/delete
Microsoft.Compute/galleries/images/delete
Microsoft.Compute/hostGroups/delete
Microsoft.Compute/hostGroups/hosts/delete
Microsoft.Compute/images/delete
Microsoft.Compute/virtualMachines/delete
Microsoft.Compute/virtualMachineScaleSets/delete
Microsoft.Compute/virtualMachineScaleSets/virtualMachines/delete
Microsoft.Devices/digitalTwins/Delete
Microsoft.Devices/iotHubs/Delete
Microsoft.KeyVault/vaults/delete
Microsoft.Logic/integrationAccounts/delete
Microsoft.Logic/integrationAccounts/maps/delete
Microsoft.Logic/integrationAccounts/schemas/delete
Microsoft.Logic/integrationAccounts/partners/delete
Microsoft.Logic/integrationServiceEnvironments/delete
Microsoft.Logic/workflows/delete
Microsoft.Resources/subscriptions/resourceGroups/delete
Microsoft.Sql/instancePools/delete
Microsoft.Sql/managedInstances/delete
Microsoft.Sql/managedInstances/administrators/delete
Microsoft.Sql/managedInstances/databases/delete
Microsoft.Storage/storageAccounts/delete
Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete
Microsoft.Storage/storageAccounts/fileServices/fileshares/files/delete
Microsoft.Storage/storageAccounts/blobServices/containers/delete
Microsoft.AAD/domainServices/delete

Powrót do listy | anomalii UEBAPowrót do góry

Nietypowy transfer danych UEBA z usługi Amazon S3

Opis: Odchylenia w wzorcach dostępu do danych lub pobierania z usługi Amazon Simple Storage Service (S3). Anomalia jest określana przy użyciu behawioralnych punktów odniesienia dla każdego użytkownika, usługi i zasobu, porównując ilość transferu danych, częstotliwość i liczbę obiektów, do których uzyskano dostęp, z normami historycznymi. Znaczące odchylenia — takie jak dostęp zbiorczy po raz pierwszy, wyjątkowo duże pobieranie danych lub działanie z nowych lokalizacji lub aplikacji — mogą wskazywać na potencjalne eksfiltrację danych, naruszenia zasad lub nieprawidłowe użycie naruszeń poświadczeń.

Atrybut Value
Typ anomalii: UEBA
Źródła danych: Dzienniki usługi AWS CloudTrail
Taktyka mitre att&CK: Eksfiltracja
MITRE ATT&techniki CK: T1567 — Eksfiltracja za pośrednictwem usługi sieci Web
Działania: PutObject, CopyObject, UploadPart, UploadPartCopy, CreateJob, CompleteMultipartUpload

Powrót do listy | anomalii UEBAPowrót do góry

Anomalous Defensive Mechanism Modification (Modyfikacja nietypowego mechanizmu obronnego UEBA)

Opis: Przeciwnicy mogą wyłączyć narzędzia zabezpieczeń, aby uniknąć ewentualnego wykrycia ich narzędzi i działań.

Atrybut Value
Typ anomalii: UEBA
Źródła danych: dzienniki aktywności Azure
Taktyka mitre att&CK: Uchylanie się od obrony
MITRE ATT&techniki CK: T1562 — Upośledzone zabezpieczenia
Techniki podrzędne MITRE ATT&CK: Wyłączanie lub modyfikowanie narzędzi
Wyłączanie lub modyfikowanie zapory w chmurze
Działania: Microsoft.Sql/managedInstances/databases/vulnerabilityAssessments/rules/baselines/delete
Microsoft.Sql/managedInstances/databases/vulnerabilityAssessments/delete
Microsoft.Network/networkSecurityGroups/securityRules/delete
Microsoft.Network/networkSecurityGroups/delete
Microsoft.Network/ddosProtectionPlans/delete
Microsoft.Network/ApplicationGatewayWebApplicationFirewallPolicies/delete
Microsoft.Network/applicationSecurityGroups/delete
Microsoft.Authorization/policyAssignments/delete
Microsoft.Sql/servers/firewallRules/delete
Microsoft.Network/firewallPolicies/delete
Microsoft.Network/azurefirewalls/delete

Powrót do listy | anomalii UEBAPowrót do góry

Nietypowe nieudane logowanie UEBA

Opis: Osoby atakujące bez wcześniejszej wiedzy na temat legalnych poświadczeń w systemie lub środowisku mogą odgadnąć hasła w celu podjęcia próby uzyskania dostępu do kont.

Atrybut Value
Typ anomalii: UEBA
Źródła danych: Microsoft Entra dzienniki logowania
dzienniki Zabezpieczenia Windows
Taktyka mitre att&CK: Dostęp poświadczeń
MITRE ATT&techniki CK: T1110 — Siła siłowa
Działania: Microsoft Entra ID: działanie logowania
Zabezpieczenia Windows: Nieudane logowanie (identyfikator zdarzenia 4625)

Powrót do listy | anomalii UEBAPowrót do góry

Nietypowe działanie tożsamości UEBA lub SAML w usłudze AwsCloudTrail

Opis: Nietypowe działanie tożsamości opartych na tożsamościach opartych na języku SAML (Federated Or Security Assertion Markup Language) obejmujących akcje po raz pierwszy, nieznane lokalizacje geograficzne lub nadmierne wywołania interfejsu API. Takie anomalie mogą wskazywać na przejęcie sesji lub nieprawidłowe użycie poświadczeń federacyjnych.

Atrybut Value
Typ anomalii: UEBA
Źródła danych: Dzienniki usługi AWS CloudTrail
Taktyka mitre att&CK: Dostęp początkowy, trwałość
MITRE ATT&techniki CK: T1078 — Prawidłowe konta, T1550 — Używanie materiałów uwierzytelniania alternatywnego
Działania: Uwierzytelnianie użytkownika (EXTERNAL_IDP)

Powrót do listy | anomalii UEBAPowrót do góry

Anomaliczne modyfikowanie uprawnień IAM w usłudze AwsCloudTrail

Opis: Odchylenia w zachowaniu administracyjnym zarządzania tożsamościami i dostępem (IAM), takie jak tworzenie, modyfikowanie lub usuwanie ról, użytkowników i grup po raz pierwszy lub załącznik nowych zasad wbudowanych lub zarządzanych. Mogą one wskazywać na eskalację uprawnień lub nadużycie zasad.

Atrybut Value
Typ anomalii: UEBA
Źródła danych: Dzienniki usługi AWS CloudTrail
Taktyka mitre att&CK: Eskalacja uprawnień, trwałość
MITRE ATT&techniki CK: T1136 — Tworzenie konta, T1098 — manipulowanie kontem
Działania: Tworzenie, dodawanie, dołączanie, usuwanie, dezaktywowanie, umieszczanie i aktualizowanie operacji na iam.amazonaws.com, sso-directory.amazonaws.com

Powrót do listy | anomalii UEBAPowrót do góry

Nietypowe użycie infrastruktury UEBA w dziennikach inspekcji GCP

Opis: Nietypowe wzorce operacji infrastruktury na platformie Google Cloud Platform (GCP) identyfikowane przez porównanie adresów IP użytkownika, agenta użytkownika, usługodawcy isp i wzorców dostępu do usług z ich historycznym zachowaniem. Anomalie, takie jak dostęp po raz pierwszy do usług infrastruktury, nietypowe narzędzia lub aplikacje lub nietypowe wzorce operacyjne, mogą wskazywać na przenoszenie boczne, nadużywanie zasobów lub nieautoryzowane modyfikacje infrastruktury.

Atrybut Value
Typ anomalii: UEBA
Źródła danych: Dzienniki inspekcji GCP
Taktyka mitre att&CK: Odnajdywanie, wpływ
MITRE ATT&techniki CK: T1580 — Odnajdywanie infrastruktury w chmurze, T1496 — przejmowanie zasobów
Działania: Operacje bez tworzenia/wstawiania na iamcredentials.googleapis.com, cloudresourcemanager.googleapis.com, container.googleapis.com, bigquerydatapolicy.googleapis.com, autoscaling.googleapis.com, run.googleapis.com, redis.googleapis.com, securitycenter.googleapis.com, compute.googleapis.com, storage.googleapis.com, k8s.io, cloudsql.googleapis.com, bigquery.googleapis.com, bigquerydatatransfer.googleapis.com, cloudfunctions.googleapis.com, appengine.googleapis.com, dns.googleapis.com

Powrót do listy | anomalii UEBAPowrót do góry

Nietypowe logowanie UEBA w dziennikach inspekcji GCP

Opis: Nietypowe działanie uwierzytelniania na platformie Google Cloud Platform (GCP) wykryte za pośrednictwem wpisów związanych z logowaniem w dziennikach inspekcji GCP. Anomalie są określane przez odchylenia w zachowaniu użytkownika na podstawie atrybutów, takich jak geolokalizacja, adres IP, usługodawca internetowy i agent użytkownika w porównaniu z historycznymi wzorcami logowania użytkownika. Takie odchylenia mogą wskazywać na nieautoryzowane próby dostępu, naruszone poświadczenia lub scenariusze niemożliwego podróżowania.

Atrybut Value
Typ anomalii: UEBA
Źródła danych: Dzienniki inspekcji GCP
Taktyka mitre att&CK: Dostęp początkowy
MITRE ATT&techniki CK: T1078 — prawidłowe konta
Działania: login.googleapis.com

Powrót do listy | anomalii UEBAPowrót do góry

Nietypowe logowanie UEBA w usłudze AwsCloudTrail

Opis: Nietypowe działanie logowania w usługach Amazon Web Services (AWS) oparte na zdarzeniach CloudTrail, takich jak ConsoleLogin i innych atrybutach związanych z uwierzytelnianiem. Anomalie są określane przez odchylenia w zachowaniu użytkownika na podstawie atrybutów, takich jak geolokalizacja, odcisk palca urządzenia, usługodawca internetowy i metoda dostępu, i mogą wskazywać na nieautoryzowane próby dostępu lub potencjalne naruszenia zasad.

Atrybut Value
Typ anomalii: UEBA
Źródła danych: Dzienniki usługi AWS CloudTrail
Taktyka mitre att&CK: Dostęp początkowy
MITRE ATT&techniki CK: T1078 — prawidłowe konta
Działania: ConsoleLogin

Powrót do listy | anomalii UEBAPowrót do góry

Nietypowe błędy uwierzytelniania wieloskładnikowego UEBA w Okta_CL

Opis: Nietypowe wzorce nieudanych prób uwierzytelniania wieloskładnikowego w usłudze Okta. Te anomalie mogą wynikać z niewłaściwego użycia konta, wypchania poświadczeń lub niewłaściwego używania mechanizmów zaufanych urządzeń i często odzwierciedlają zachowania osoby atakującej na wczesnym etapie, takie jak testowanie skradzionych poświadczeń lub sondowanie zabezpieczeń tożsamości.

Atrybut Value
Typ anomalii: UEBA
Źródła danych: Dzienniki chmury okta (Okta_CL i OktaV2_CL)
Taktyka mitre att&CK: Trwałość, eskalacja uprawnień
MITRE ATT&techniki CK: T1078 — Prawidłowe konta, T1556 — Modyfikowanie procesu uwierzytelniania
Działania: app.oauth2.admin.consent.grant_success
app.oauth2.authorize.code_success
device.desktop_mfa.recovery_pin.generate
user.authentication.auth_via_mfa
user.mfa.attempt_bypass
user.mfa.factor.deactivate
user.mfa.factor.reset_all
user.mfa.factor.suspend
user.mfa.okta_verify

Powrót do listy | anomalii UEBAPowrót do góry

Nietypowe resetowanie hasła ueba

Opis: Przeciwnicy mogą przerwać dostępność zasobów systemowych i sieciowych, hamując dostęp do kont używanych przez legalnych użytkowników. Konta mogą być usuwane, blokowane lub manipulowane (np. zmienione poświadczenia), aby usunąć dostęp do kont.

Atrybut Value
Typ anomalii: UEBA
Źródła danych: dzienniki inspekcji Microsoft Entra
Taktyka mitre att&CK: Wpływ
MITRE ATT&techniki CK: T1531 — Usuwanie dostępu do konta
Działania: Katalog podstawowy/UserManagement/Resetowanie hasła użytkownika

Powrót do listy | anomalii UEBAPowrót do góry

Przyznano nietypowe uprawnienie UEBA

Opis: Adwersarze mogą dodawać poświadczenia kontrolowane przez przeciwników dla jednostek usługi Azure oprócz istniejących legalnych poświadczeń w celu utrzymania trwałego dostępu do kont Azure ofiar.

Atrybut Value
Typ anomalii: UEBA
Źródła danych: dzienniki inspekcji Microsoft Entra
Taktyka mitre att&CK: Trwałości
MITRE ATT&techniki CK: T1098 — Manipulowanie kontami
Techniki podrzędne MITRE ATT&CK: Dodatkowe poświadczenia jednostki usługi Azure
Działania: Aprowizowanie konta/Zarządzanie aplikacjami/Dodawanie przypisania roli aplikacji do jednostki usługi

Powrót do listy | anomalii UEBAPowrót do góry

Nietypowa akcja uprzywilejowana UEBA w dziennikach inspekcji GCP

Opis: Odchylenia w zachowaniu administracyjnym zarządzania tożsamościami i dostępem (IAM) w usłudze Google Cloud Platform (GCP), takie jak wykonywanie zapytań po raz pierwszy o możliwe do przyznania role, pobieranie lub tworzenie kont usług i ich kluczy lub modyfikacje zasad zarządzania dostępem i tożsamościami. Znacznie większa liczba akcji uprzywilejowanych lub administracyjnych w porównaniu z zachowaniem historycznym użytkownika może wskazywać na eskalację uprawnień, trwałość za pośrednictwem kont usług lub rekonesans dostępnych uprawnień.

Atrybut Value
Typ anomalii: UEBA
Źródła danych: Dzienniki inspekcji GCP
Taktyka mitre att&CK: Eskalacja uprawnień, trwałość
MITRE ATT&techniki CK: T1098 — Manipulowanie kontami, T1078 — prawidłowe konta
Działania: QueryGrantableRoles, GetServiceAccount, ListServiceAccountKeys, CreateServiceAccount, GetIAMPolicy, ListApplicablePolicies, GetPolicy, CreateServiceAccountKey i operacje związane z administratorem na iam.googleapis.com, firestore.googleapis.com, bigtableadmin.googleapis.com, alloydb.googleapis.com, admin.googleapis.com

Powrót do listy | anomalii UEBAPowrót do góry

Nietypowe wdrożenie zasobów UEBA w dziennikach inspekcji GCP

Opis: Nietypowe działanie tworzenia lub wdrażania zasobów na platformie Google Cloud Platform (GCP), w tym aprowizowanie wystąpień obliczeniowych po raz pierwszy, zasobników magazynu, klastrów Kubernetes, usługi Cloud Functions lub innych zasobów infrastruktury. Znacznie wyższy wskaźnik wdrożeń zasobów w porównaniu z zachowaniem historycznym użytkownika może wskazywać na nieautoryzowane wdrożenie zasobów na potrzeby kryptominowania, przemieszczania danych lub ustanawiania trwałych przyczółków w środowisku.

Atrybut Value
Typ anomalii: UEBA
Źródła danych: Dzienniki inspekcji GCP
Taktyka mitre att&CK: Wykonywanie, trwałość
MITRE ATT&techniki CK: T1610 — Wdrażanie kontenera, T1578 — modyfikowanie infrastruktury obliczeniowej w chmurze
Działania: Tworzenie i wstawianie operacji na apigee.googleapis.com, appengine.googleapis.com, bigquery.googleapis.com, bigquerydatatransfer.googleapis.com, cloudfunctions.googleapis.com, cloudsql.googleapis.com, compute.googleapis.com, container.googleapis.com, dataproc.googleapis.com, datastore.googleapis.com, dns.googleapis.com, firestore.googleapis.com, k8s.io, osconfig.googleapis.com, run.googleapis.com, storage.googleapis.com

Powrót do listy | anomalii UEBAPowrót do góry

Anomalous Secret lub KMS Key Access in AwsCloudTrail (Dostęp do nietypowego klucza tajnego UEBA lub klucza KMS w usłudze AwsCloudTrail)

Opis: Podejrzany dostęp do zasobów usługi AWS Secrets Manager lub usługi zarządzania kluczami (KMS). Dostęp po raz pierwszy lub niezwykle wysoka częstotliwość dostępu może wskazywać na zbieranie poświadczeń lub próby eksfiltracji danych.

Atrybut Value
Typ anomalii: UEBA
Źródła danych: Dzienniki usługi AWS CloudTrail
Taktyka mitre att&CK: Dostęp do poświadczeń, kolekcja
MITRE ATT&techniki CK: T1555 — poświadczenia z magazynów haseł
Działania: GetSecretValue
BatchGetSecretValue
Klucze listy
ListSecrets
PutSecretValue
CreateSecret
UpdateSecret
DeleteSecret
Createkey
PutKeyPolicy

Powrót do listy | anomalii UEBAPowrót do góry

Nietypowy wpis tajny UEBA lub dostęp do klucza KMS w dziennikach inspekcji GCP

Opis: Podejrzany dostęp do zasobów usługi Google Cloud Secret Manager lub cloud KMS. Dostęp po raz pierwszy do magazynu wpisów tajnych, klucza lub certyfikatu, nietypowe wzorce dostępu między elementami równorzędnymi lub znacznie większy poziom dostępu w porównaniu z historycznym punktem odniesienia użytkownika może wskazywać na zbieranie poświadczeń, próby eksfiltracji danych lub nadużywanie naruszonych kont usług.

Atrybut Value
Typ anomalii: UEBA
Źródła danych: Dzienniki inspekcji GCP
Taktyka mitre att&CK: Dostęp do poświadczeń, kolekcja
MITRE ATT&techniki CK: T1555 — poświadczenia z magazynów haseł, T1552 — niezabezpieczone poświadczenia
Działania: Operacje administracyjne na cloudkms.googleapis.com, secretmanager.googleapis.com (z wyjątkiem AccessSecretVersion, AsymmetricDecrypt, GetPublicKey, AsymmetricSign)

Powrót do listy | anomalii UEBAPowrót do góry

Nietypowe logowanie UEBA

Opis: Osoby atakujące mogą ukraść poświadczenia określonego użytkownika lub konta usługi przy użyciu technik dostępu poświadczeń lub przechwycić poświadczenia wcześniej w procesie rekonesansu za pośrednictwem inżynierii społecznej w celu uzyskania trwałości.

Atrybut Value
Typ anomalii: UEBA
Źródła danych: Microsoft Entra dzienniki logowania
dzienniki Zabezpieczenia Windows
Taktyka mitre att&CK: Trwałości
MITRE ATT&techniki CK: T1078 — prawidłowe konta
Działania: Microsoft Entra ID: działanie logowania
Zabezpieczenia Windows: Pomyślne logowanie (identyfikator zdarzenia 4624)

Powrót do listy | anomalii UEBAPowrót do góry

Nietypowe zachowanie usługi STS AssumeRole w usłudze AwsCloudTrail

Opis: Nietypowe użycie akcji AssumeRole usługi AWS Security Token Service (STS), w szczególności ról uprzywilejowanych lub dostępu między kontami. Odchylenia od typowego użycia mogą wskazywać na eskalację uprawnień lub naruszenie tożsamości.

Atrybut Value
Typ anomalii: UEBA
Źródła danych: Dzienniki usługi AWS CloudTrail
Taktyka mitre att&CK: Eskalacja uprawnień, Uchylanie się od obrony
MITRE ATT&techniki CK: T1548 — Mechanizm kontroli podniesienia uprawnień nadużyć, T1078 — prawidłowe konta
Działania: AssumeRole
AssumeRoleWithSAML
AssumeRoleWithWebIdentity
ZałóżmyRoot

Powrót do listy | anomalii UEBAPowrót do góry

Anomalie oparte na uczeniu maszynowym

Microsoft Sentinel dostosowywalne anomalie oparte na uczeniu maszynowym mogą identyfikować nietypowe zachowanie za pomocą szablonów reguł analizy, które można od razu wprowadzić do pracy. Mimo że anomalie niekoniecznie same wskazują na złośliwe lub nawet podejrzane zachowanie, mogą być używane do ulepszania wykrywania, badania i wyszukiwania zagrożeń.

Nietypowe operacje Azure

Opis: Ten algorytm wykrywania zbiera 21-dniowe dane dotyczące operacji Azure pogrupowanych według użytkownika w celu wytrenowania tego modelu uczenia maszynowego. Algorytm generuje następnie anomalie w przypadku użytkowników, którzy wykonali sekwencje operacji niezbyt często w swoich obszarach roboczych. Wytrenowany model uczenia maszynowego ocenia operacje wykonywane przez użytkownika i uwzględnia nietypowe operacje, których wynik jest większy niż zdefiniowany próg.

Atrybut Value
Typ anomalii: Dostosowywalne uczenie maszynowe
Źródła danych: dzienniki aktywności Azure
Taktyka mitre att&CK: Dostęp początkowy
MITRE ATT&techniki CK: T1190 — Exploit Public-Facing Application

Powrót do listy anomalii opartych na uczeniu maszynowym | Powrót do góry

Nietypowe wykonywanie kodu

Opis: Osoby atakujące mogą nadużywać interpreterów poleceń i skryptów w celu wykonywania poleceń, skryptów lub plików binarnych. Te interfejsy i języki zapewniają sposoby interakcji z systemami komputerowymi i są wspólną funkcją na wielu różnych platformach.

Atrybut Value
Typ anomalii: Dostosowywalne uczenie maszynowe
Źródła danych: dzienniki aktywności Azure
Taktyka mitre att&CK: Wykonanie
MITRE ATT&techniki CK: T1059 — interpreter poleceń i skryptów

Powrót do listy anomalii opartych na uczeniu maszynowym | Powrót do góry

Nietypowe tworzenie konta lokalnego

Opis: Ten algorytm wykrywa nietypowe tworzenie konta lokalnego w systemach Windows. Osoby atakujące mogą tworzyć konta lokalne w celu utrzymania dostępu do systemów docelowych. Ten algorytm analizuje działania tworzenia konta lokalnego w ciągu ostatnich 14 dni przez użytkowników. Szuka podobnej aktywności w bieżącym dniu od użytkowników, którzy nie byli wcześniej widziani w działaniach historycznych. Możesz określić listę dozwolonych, aby filtrować znanych użytkowników przed wyzwoleniem tej anomalii.

Atrybut Value
Typ anomalii: Dostosowywalne uczenie maszynowe
Źródła danych: dzienniki Zabezpieczenia Windows
Taktyka mitre att&CK: Trwałości
MITRE ATT&techniki CK: T1136 — tworzenie konta

Powrót do listy anomalii opartych na uczeniu maszynowym | Powrót do góry

Nietypowe działania użytkowników w programie Office Exchange

Opis: Ten model uczenia maszynowego grupuje dzienniki programu Office Exchange dla poszczególnych użytkowników w przedziały godzinowe. Definiujemy jedną godzinę jako sesję. Model jest trenowany w ciągu ostatnich 7 dni zachowania dla wszystkich zwykłych użytkowników (nieadministracyjnych). Wskazuje nietypowe sesje programu Office Exchange użytkownika w ostatnim dniu.

Atrybut Value
Typ anomalii: Dostosowywalne uczenie maszynowe
Źródła danych: Dziennik aktywności pakietu Office (Exchange)
Taktyka mitre att&CK: Trwałości
Kolekcji
MITRE ATT&techniki CK: Kolekcji:
T1114 — kolekcja Email
T1213 — dane z repozytoriów informacji

Trwałości:
T1098 — Manipulowanie kontami
T1136 — tworzenie konta
T1137 — uruchamianie aplikacji pakietu Office
T1505 — składnik oprogramowania serwera

Powrót do listy anomalii opartych na uczeniu maszynowym | Powrót do góry

Próba próby użycia siłowej komputera

Opis: Ten algorytm wykrywa niezwykle dużą liczbę nieudanych prób logowania (identyfikator zdarzenia zabezpieczeń 4625) na komputer w ciągu ostatniego dnia. Model jest trenowany w poprzednich 21 dniach dzienników zdarzeń zabezpieczeń systemu Windows.

Atrybut Value
Typ anomalii: Dostosowywalne uczenie maszynowe
Źródła danych: dzienniki Zabezpieczenia Windows
Taktyka mitre att&CK: Dostęp poświadczeń
MITRE ATT&techniki CK: T1110 — Siła siłowa

Powrót do listy anomalii opartych na uczeniu maszynowym | Powrót do góry

Próba ataku siłowego konta użytkownika

Opis: Ten algorytm wykrywa niezwykle dużą liczbę nieudanych prób logowania (identyfikator zdarzenia zabezpieczeń 4625) na konto użytkownika w ciągu ostatniego dnia. Model jest trenowany w poprzednich 21 dniach dzienników zdarzeń zabezpieczeń systemu Windows.

Atrybut Value
Typ anomalii: Dostosowywalne uczenie maszynowe
Źródła danych: dzienniki Zabezpieczenia Windows
Taktyka mitre att&CK: Dostęp poświadczeń
MITRE ATT&techniki CK: T1110 — Siła siłowa

Powrót do listy anomalii opartych na uczeniu maszynowym | Powrót do góry

Próba ataku siłowego konta użytkownika na typ logowania

Opis: Ten algorytm wykrywa niezwykle dużą liczbę nieudanych prób logowania (identyfikator zdarzenia zabezpieczeń 4625) na konto użytkownika na typ logowania w ciągu ostatniego dnia. Model jest trenowany w poprzednich 21 dniach dzienników zdarzeń zabezpieczeń systemu Windows.

Atrybut Value
Typ anomalii: Dostosowywalne uczenie maszynowe
Źródła danych: dzienniki Zabezpieczenia Windows
Taktyka mitre att&CK: Dostęp poświadczeń
MITRE ATT&techniki CK: T1110 — Siła siłowa

Powrót do listy anomalii opartych na uczeniu maszynowym | Powrót do góry

Próba ataku siłowego konta użytkownika na przyczynę awarii

Opis: Ten algorytm wykrywa niezwykle dużą liczbę nieudanych prób logowania (identyfikator zdarzenia zabezpieczeń 4625) na konto użytkownika na przyczynę awarii w ciągu ostatniego dnia. Model jest trenowany w poprzednich 21 dniach dzienników zdarzeń zabezpieczeń systemu Windows.

Atrybut Value
Typ anomalii: Dostosowywalne uczenie maszynowe
Źródła danych: dzienniki Zabezpieczenia Windows
Taktyka mitre att&CK: Dostęp poświadczeń
MITRE ATT&techniki CK: T1110 — Siła siłowa

Powrót do listy anomalii opartych na uczeniu maszynowym | Powrót do góry

Wykrywanie zachowania sygnału nawigacyjnego sieci wygenerowanego przez maszynę

Opis: Ten algorytm identyfikuje wzorce sygnału nawigacyjnego z dzienników połączeń ruchu sieciowego na podstawie wzorców różnicy czasu cyklicznego. Każde połączenie sieciowe z niezaufanymi sieciami publicznymi w powtarzalnym czasie jest wskazaniem wywołań zwrotnych złośliwego oprogramowania lub prób eksfiltracji danych. Algorytm obliczy różnicę czasu między kolejnymi połączeniami sieciowymi między tym samym źródłowym adresem IP a docelowym adresem IP, a także liczbę połączeń w sekwencji różnicy czasu między tymi samymi źródłami i miejscami docelowymi. Procent sygnału nawigacyjnego jest obliczany jako połączenia w sekwencji różnicy czasu względem łącznej liczby połączeń w ciągu dnia.

Atrybut Value
Typ anomalii: Dostosowywalne uczenie maszynowe
Źródła danych: CommonSecurityLog (PAN)
Taktyka mitre att&CK: Polecenie i kontrolka
MITRE ATT&techniki CK: T1071 — Protokół warstwy aplikacji
T1132 — Kodowanie danych
T1001 — zaciemnianie danych
T1568 — rozdzielczość dynamiczna
T1573 — szyfrowany kanał
T1008 — kanały rezerwowe
T1104 — kanały wieloetapowe
T1095 — protokół warstwy bez aplikacji
T1571 — port niestandardowy
T1572 — Tunelowanie protokołów
T1090 — serwer proxy
T1205 — Sygnalizacja ruchu
T1102 — usługa sieci Web

Powrót do listy anomalii opartych na uczeniu maszynowym | Powrót do góry

Algorytm generowania domeny (DGA) w domenach DNS

Opis: Ten model uczenia maszynowego wskazuje potencjalne domeny DGA z ostatniego dnia w dziennikach DNS. Algorytm ma zastosowanie do rekordów DNS, które rozpoznają adresy IPv4 i IPv6.

Atrybut Value
Typ anomalii: Dostosowywalne uczenie maszynowe
Źródła danych: Zdarzenia DNS
Taktyka mitre att&CK: Polecenie i kontrolka
MITRE ATT&techniki CK: T1568 — rozdzielczość dynamiczna

Powrót do listy anomalii opartych na uczeniu maszynowym | Powrót do góry

Nadmierne pobieranie przez Palo Alto GlobalProtect

Opis: Ten algorytm wykrywa niezwykle dużą ilość pobierania na konto użytkownika za pośrednictwem rozwiązania sieci VPN Palo Alto. Model jest trenowany w ciągu ostatnich 14 dni dzienników sieci VPN. Wskazuje to na nietypową dużą liczbę pobrań w ciągu ostatniego dnia.

Atrybut Value
Typ anomalii: Dostosowywalne uczenie maszynowe
Źródła danych: CommonSecurityLog (PAN VPN)
Taktyka mitre att&CK: Eksfiltracja
MITRE ATT&techniki CK: T1030 — limity rozmiaru transferu danych
T1041 — Eksfiltracja za pośrednictwem kanału C2
T1011 — Eksfiltracja za pośrednictwem innego nośnika sieciowego
T1567 — Eksfiltracja za pośrednictwem usługi sieci Web
T1029 — zaplanowany transfer
T1537 — transfer danych do konta w chmurze

Powrót do listy anomalii opartych na uczeniu maszynowym | Powrót do góry

Nadmierne przekazywanie za pośrednictwem Aplikacji Palo Alto GlobalProtect

Opis: Ten algorytm wykrywa niezwykle dużą ilość przekazywania na konto użytkownika za pośrednictwem rozwiązania sieci VPN Palo Alto. Model jest trenowany w ciągu ostatnich 14 dni dzienników sieci VPN. Oznacza to nietypową dużą ilość przekazywania w ciągu ostatniego dnia.

Atrybut Value
Typ anomalii: Dostosowywalne uczenie maszynowe
Źródła danych: CommonSecurityLog (PAN VPN)
Taktyka mitre att&CK: Eksfiltracja
MITRE ATT&techniki CK: T1030 — limity rozmiaru transferu danych
T1041 — Eksfiltracja za pośrednictwem kanału C2
T1011 — Eksfiltracja za pośrednictwem innego nośnika sieciowego
T1567 — Eksfiltracja za pośrednictwem usługi sieci Web
T1029 — zaplanowany transfer
T1537 — transfer danych do konta w chmurze

Powrót do listy anomalii opartych na uczeniu maszynowym | Powrót do góry

Potencjalny algorytm generowania domeny (DGA) w domenach DNS następnego poziomu

Opis: Ten model uczenia maszynowego wskazuje domeny następnego poziomu (trzeciego poziomu i nowsze) nazw domen z ostatniego dnia dzienników DNS, które są nietypowe. Potencjalnie mogą to być dane wyjściowe algorytmu generowania domeny (DGA). Anomalia dotyczy rekordów DNS rozpoznanych na adresach IPv4 i IPv6.

Atrybut Value
Typ anomalii: Dostosowywalne uczenie maszynowe
Źródła danych: Zdarzenia DNS
Taktyka mitre att&CK: Polecenie i kontrolka
MITRE ATT&techniki CK: T1568 — rozdzielczość dynamiczna

Powrót do listy anomalii opartych na uczeniu maszynowym | Powrót do góry

Podejrzana liczba wywołań interfejsu API platformy AWS ze źródłowego adresu IP innych niż AWS

Opis: Ten algorytm wykrywa niezwykle dużą liczbę wywołań interfejsu API platformy AWS na konto użytkownika na obszar roboczy z źródłowych adresów IP spoza zakresów źródłowych adresów IP platformy AWS w ciągu ostatniego dnia. Model jest trenowany w ciągu ostatnich 21 dni zdarzeń dziennika usługi CloudTrail platformy AWS według źródłowego adresu IP. To działanie może wskazywać, że konto użytkownika zostało naruszone.

Atrybut Value
Typ anomalii: Dostosowywalne uczenie maszynowe
Źródła danych: Dzienniki usługi AWS CloudTrail
Taktyka mitre att&CK: Dostęp początkowy
MITRE ATT&techniki CK: T1078 — prawidłowe konta

Powrót do listy anomalii opartych na uczeniu maszynowym | Powrót do góry

Podejrzana liczba wywołań interfejsu API zapisu platformy AWS z konta użytkownika

Opis: Ten algorytm wykrywa niezwykle dużą liczbę wywołań interfejsu API zapisu platformy AWS na konto użytkownika w ciągu ostatniego dnia. Model jest trenowany przez poprzednie 21 dni zdarzeń dziennika usługi AWS CloudTrail według konta użytkownika. To działanie może wskazywać, że konto zostało naruszone.

Atrybut Value
Typ anomalii: Dostosowywalne uczenie maszynowe
Źródła danych: Dzienniki usługi AWS CloudTrail
Taktyka mitre att&CK: Dostęp początkowy
MITRE ATT&techniki CK: T1078 — prawidłowe konta

Powrót do listy anomalii opartych na uczeniu maszynowym | Powrót do góry

Podejrzana liczba logowań do komputera

Opis: Ten algorytm wykrywa niezwykle dużą liczbę pomyślnych logowań (identyfikator zdarzenia zabezpieczeń 4624) na komputerze w ciągu ostatniego dnia. Model jest trenowany w ciągu ostatnich 21 dni Zabezpieczenia Windows dzienników zdarzeń.

Atrybut Value
Typ anomalii: Dostosowywalne uczenie maszynowe
Źródła danych: dzienniki Zabezpieczenia Windows
Taktyka mitre att&CK: Dostęp początkowy
MITRE ATT&techniki CK: T1078 — prawidłowe konta

Powrót do listy anomalii opartych na uczeniu maszynowym | Powrót do góry

Podejrzana liczba logowań do komputera z podwyższonym poziomem tokenu

Opis: Ten algorytm wykrywa niezwykle dużą liczbę pomyślnych logowań (identyfikator zdarzenia zabezpieczeń 4624) z uprawnieniami administracyjnymi na komputerze w ciągu ostatniego dnia. Model jest trenowany w ciągu ostatnich 21 dni Zabezpieczenia Windows dzienników zdarzeń.

Atrybut Value
Typ anomalii: Dostosowywalne uczenie maszynowe
Źródła danych: dzienniki Zabezpieczenia Windows
Taktyka mitre att&CK: Dostęp początkowy
MITRE ATT&techniki CK: T1078 — prawidłowe konta

Powrót do listy anomalii opartych na uczeniu maszynowym | Powrót do góry

Podejrzana liczba logowań do konta użytkownika

Opis: Ten algorytm wykrywa niezwykle dużą liczbę pomyślnych logowań (identyfikator zdarzenia zabezpieczeń 4624) na konto użytkownika w ciągu ostatniego dnia. Model jest trenowany w ciągu ostatnich 21 dni Zabezpieczenia Windows dzienników zdarzeń.

Atrybut Value
Typ anomalii: Dostosowywalne uczenie maszynowe
Źródła danych: dzienniki Zabezpieczenia Windows
Taktyka mitre att&CK: Dostęp początkowy
MITRE ATT&techniki CK: T1078 — prawidłowe konta

Powrót do listy anomalii opartych na uczeniu maszynowym | Powrót do góry

Podejrzana liczba logowań do konta użytkownika według typów logowania

Opis: Ten algorytm wykrywa niezwykle dużą liczbę pomyślnych logowań (identyfikator zdarzenia zabezpieczeń 4624) na konto użytkownika według różnych typów logowania w ciągu ostatniego dnia. Model jest trenowany w ciągu ostatnich 21 dni Zabezpieczenia Windows dzienników zdarzeń.

Atrybut Value
Typ anomalii: Dostosowywalne uczenie maszynowe
Źródła danych: dzienniki Zabezpieczenia Windows
Taktyka mitre att&CK: Dostęp początkowy
MITRE ATT&techniki CK: T1078 — prawidłowe konta

Powrót do listy anomalii opartych na uczeniu maszynowym | Powrót do góry

Podejrzana liczba logowań do konta użytkownika z podwyższonym poziomem uprawnień tokenu

Opis: Ten algorytm wykrywa niezwykle dużą liczbę pomyślnych logowań (identyfikator zdarzenia zabezpieczeń 4624) z uprawnieniami administracyjnymi na konto użytkownika w ciągu ostatniego dnia. Model jest trenowany w ciągu ostatnich 21 dni Zabezpieczenia Windows dzienników zdarzeń.

Atrybut Value
Typ anomalii: Dostosowywalne uczenie maszynowe
Źródła danych: dzienniki Zabezpieczenia Windows
Taktyka mitre att&CK: Dostęp początkowy
MITRE ATT&techniki CK: T1078 — prawidłowe konta

Powrót do listy anomalii opartych na uczeniu maszynowym | Powrót do góry

Następne kroki

  • Last updated on