Udostępnij przez

Anomalie wykryte przez aparat uczenia maszynowego usługi Microsoft Sentinel

Usługa Microsoft Sentinel wykrywa anomalie, analizując zachowanie użytkowników w środowisku w danym okresie i tworząc punkt odniesienia uzasadnionej aktywności. Po ustanowieniu punktu odniesienia wszelkie działania poza normalnymi parametrami są uznawane za nietypowe i dlatego podejrzane.

Usługa Microsoft Sentinel używa dwóch modeli do tworzenia punktów odniesienia i wykrywania anomalii.

W tym artykule wymieniono anomalie wykrywane przez usługę Microsoft Sentinel przy użyciu różnych modeli uczenia maszynowego.

W tabeli Anomalie :

  • Kolumna rulename wskazuje regułę sentinel używaną do identyfikowania każdej anomalii.
  • Kolumna score zawiera wartość liczbową z zakresu od 0 do 1, która kwantyfikuje stopień odchylenia od oczekiwanego zachowania. Wyższe wyniki wskazują większe odchylenie od punktu odniesienia i są bardziej prawdopodobne, aby być prawdziwymi anomaliami. Niższe wyniki mogą nadal być nietypowe, ale są mniej prawdopodobne, aby być znaczące lub możliwe do działania.

Note

Te wykrycia anomalii są przerywane od 26 marca 2024 r., ze względu na niską jakość wyników:

  • Reputacja domeny Palo Alto anomalia
  • Logowania w wielu regionach w ciągu jednego dnia za pośrednictwem aplikacji Palo Alto GlobalProtect

Important

Usługa Microsoft Sentinel jest ogólnie dostępna w portalu Microsoft Defender, w tym dla klientów bez licencji XDR usługi Microsoft Defender lub E5.

Począwszy od lipca 2026 r., wszyscy klienci korzystający z usługi Microsoft Sentinel w witrynie Azure Portal zostaną przekierowani do portalu usługi Defender i będą używać usługi Microsoft Sentinel tylko w portalu usługi Defender. Od lipca 2025 r. wielu nowych klientów jest automatycznie dołączanych i przekierowywanych do portalu usługi Defender.

Jeśli nadal używasz usługi Microsoft Sentinel w witrynie Azure Portal, zalecamy rozpoczęcie planowania przejścia do portalu usługi Defender w celu zapewnienia bezproblemowego przejścia i pełnego wykorzystania ujednoliconego środowiska operacji zabezpieczeń oferowanego przez usługę Microsoft Defender. Aby uzyskać więcej informacji, zobacz It's Time to Move: Retiring Microsoft Sentinel's Azure Portal for greater security (Przenoszenie: wycofywanie witryny Azure Portal usługi Microsoft Sentinel w celu zwiększenia bezpieczeństwa).

Anomalie UEBA

Usługa Sentinel UEBA wykrywa anomalie na podstawie dynamicznych punktów odniesienia utworzonych dla każdej jednostki w różnych danych wejściowych. Zachowanie punktu odniesienia każdej jednostki jest ustawiane zgodnie z własnymi działaniami historycznymi, ich elementami równorzędnymi i całościami organizacji. Anomalie mogą być wyzwalane przez korelację różnych atrybutów, takich jak typ akcji, lokalizacja geograficzna, urządzenie, zasób, usługodawca internetowym i inne.

Aby wykrywać anomalie UEBA, musisz włączyć wykrywanie anomalii UEBA i anomalii w obszarze roboczym usługi Sentinel .

Usługa UEBA wykrywa anomalie na podstawie tych reguł anomalii:

Usługa Sentinel używa wzbogaconych danych z tabeli BehaviorAnalytics do identyfikowania anomalii UEBA z oceną ufności specyficzną dla dzierżawy i źródła.

Usuwanie nietypowego dostępu do konta UEBA

Opis: Osoba atakująca może przerwać dostępność zasobów systemowych i sieciowych, blokując dostęp do kont używanych przez uprawnionych użytkowników. Osoba atakująca może usunąć, zablokować lub manipulować kontem (na przykład zmieniając jego poświadczenia), aby usunąć dostęp do niego.

Attribute Value
Typ anomalii: UEBA
Źródła danych: Dzienniki aktywności platformy Azure
TAKTYKA MITRE ATT&CK: Impact
TECHNIKI MITRE ATT&CK: T1531 — usuwanie dostępu do konta
Activity: Microsoft.Authorization/roleAssignments/delete
Wylogowywanie

Powrót do listy | Powrót do góry

Nietypowe tworzenie konta UEBA

Opis: Przeciwnicy mogą utworzyć konto w celu utrzymania dostępu do systemów docelowych. Mając wystarczający poziom dostępu, tworzenie takich kont może służyć do ustanawiania dodatkowego dostępu poświadczeń bez konieczności wdrażania trwałych narzędzi dostępu zdalnego w systemie.

Attribute Value
Typ anomalii: UEBA
Źródła danych: Dzienniki inspekcji usługi Microsoft Entra
TAKTYKA MITRE ATT&CK: Persistence
TECHNIKI MITRE ATT&CK: T1136 — Tworzenie konta
Techniki podrzędne MITRE ATT&CK: Konto w chmurze
Activity: Katalog podstawowy/userManagement/Dodawanie użytkownika

Powrót do listy | Powrót do góry

Nietypowe usuwanie konta UEBA

Opis: Przeciwnicy mogą przerwać dostępność zasobów systemowych i sieciowych, hamując dostęp do kont używanych przez uprawnionych użytkowników. Konta mogą zostać usunięte, zablokowane lub manipulowane (np. zmienione poświadczenia), aby usunąć dostęp do kont.

Attribute Value
Typ anomalii: UEBA
Źródła danych: Dzienniki inspekcji usługi Microsoft Entra
TAKTYKA MITRE ATT&CK: Impact
TECHNIKI MITRE ATT&CK: T1531 — usuwanie dostępu do konta
Activity: Katalog podstawowy/użytkownikZarządzanie/Usuwanie użytkownika
Katalog podstawowy/urządzenie/usuwanie użytkownika
Katalog podstawowy/użytkownikZarządzanie/Usuwanie użytkownika

Powrót do listy | Powrót do góry

Nietypowe manipulowanie kontami UEBA

Opis: Przeciwnicy mogą manipulować kontami w celu utrzymania dostępu do systemów docelowych. Te akcje obejmują dodawanie nowych kont do grup z wysokimi uprawnieniami. Dragonfly 2.0, na przykład, dodano nowo utworzone konta do grupy administratorów, aby zachować podwyższony poziom dostępu. Poniższe zapytanie generuje dane wyjściowe wszystkich użytkowników usługi Radius o wysokiej wydajności wykonujących funkcję "Aktualizuj użytkownika" (zmianę nazwy) na rolę uprzywilejowaną lub tych, którzy zmienili użytkowników po raz pierwszy.

Attribute Value
Typ anomalii: UEBA
Źródła danych: Dzienniki inspekcji usługi Microsoft Entra
TAKTYKA MITRE ATT&CK: Persistence
TECHNIKI MITRE ATT&CK: T1098 — manipulowanie kontem
Activity: Katalog podstawowy/użytkownikZarządzanie/Aktualizowanie użytkownika

Powrót do listy | Powrót do góry

Nietypowe działanie UEBA w dziennikach inspekcji GCP (wersja zapoznawcza)

Opis: Nieudane próby dostępu do zasobów platformy Google Cloud Platform (GCP) na podstawie wpisów związanych z zarządzaniem dostępem i tożsamościami w dziennikach inspekcji GCP. Te błędy mogą odzwierciedlać błędnie skonfigurowane uprawnienia, próby uzyskania dostępu do nieautoryzowanych usług lub wczesne zachowania osoby atakującej, takie jak sondowanie uprawnień lub trwałość za pośrednictwem kont usług.

Attribute Value
Typ anomalii: UEBA
Źródła danych: Dzienniki inspekcji GCP
TAKTYKA MITRE ATT&CK: Odkrycie
TECHNIKI MITRE ATT&CK: T1087 — odnajdywanie kont, T1069 — odnajdywanie grup uprawnień
Activity: iam.googleapis.com

Powrót do listy | Powrót do góry

Nietypowe działanie UEBA w Okta_CL (wersja zapoznawcza)

Opis: Nieoczekiwane działania uwierzytelniania lub zmiany konfiguracji związane z zabezpieczeniami w usłudze Okta, w tym modyfikacje reguł logowania, wymuszanie uwierzytelniania wieloskładnikowego (MFA) lub uprawnienia administracyjne. Takie działanie może wskazywać na próby zmiany mechanizmów kontroli zabezpieczeń tożsamości lub utrzymania dostępu za pośrednictwem uprzywilejowanych zmian.

Attribute Value
Typ anomalii: UEBA
Źródła danych: Dzienniki chmury Okta
TAKTYKA MITRE ATT&CK: Trwałość, eskalacja uprawnień
TECHNIKI MITRE ATT&CK: T1098 — Manipulowanie kontem, T1556 — modyfikowanie procesu uwierzytelniania
Activity: user.session.impersonation.grant
user.session.impersonation.initiate
user.session.start
app.oauth2.admin.consent.grant_success
app.oauth2.authorize.code_success
device.desktop_mfa.recovery_pin.generate
user.authentication.auth_via_mfa
user.mfa.attempt_bypass
user.mfa.factor.dezaktywuj
user.mfa.factor.reset_all
user.mfa.factor.suspend
user.mfa.okta_verify

Powrót do listy | Powrót do góry

Uwierzytelnianie nietypowe UEBA (wersja zapoznawcza)

Opis: Nietypowe działanie uwierzytelniania między sygnałami z usługi Microsoft Defender dla punktów końcowych i identyfikatora Entra firmy Microsoft, w tym logowania urządzeń, logowania tożsamości zarządzanej i uwierzytelniania jednostki usługi z identyfikatora Entra firmy Microsoft. Te anomalie mogą sugerować niewłaściwe użycie poświadczeń, nadużycie tożsamości nieludzkiej lub próby przenoszenia bocznego poza typowymi wzorcami dostępu.

Attribute Value
Typ anomalii: UEBA
Źródła danych: Microsoft Defender for Endpoint, Microsoft Entra ID
TAKTYKA MITRE ATT&CK: Dostęp początkowy
TECHNIKI MITRE ATT&CK: T1078 — prawidłowe konta
Activity:

Powrót do listy | Powrót do góry

Nietypowe wykonywanie kodu UEBA

Opis: Przeciwnicy mogą nadużywać interpreterów poleceń i skryptów w celu wykonywania poleceń, skryptów lub plików binarnych. Te interfejsy i języki zapewniają sposoby interakcji z systemami komputerowymi i są wspólną funkcją na wielu różnych platformach.

Attribute Value
Typ anomalii: UEBA
Źródła danych: Dzienniki aktywności platformy Azure
TAKTYKA MITRE ATT&CK: Execution
TECHNIKI MITRE ATT&CK: T1059 — interpreter poleceń i skryptów
Techniki podrzędne MITRE ATT&CK: PowerShell
Activity: Microsoft.Compute/virtualMachines/runCommand/action

Powrót do listy | Powrót do góry

Nietypowe niszczenie danych UEBA

Opis: Przeciwnicy mogą zniszczyć dane i pliki w określonych systemach lub w dużej liczbie w sieci, aby przerwać dostępność systemów, usług i zasobów sieciowych. Niszczenie danych może renderować przechowywane dane w sposób nieodzyskiwalny przez techniki kryminalistyczne poprzez zastępowanie plików lub danych na lokalnych i zdalnych dyskach.

Attribute Value
Typ anomalii: UEBA
Źródła danych: Dzienniki aktywności platformy Azure
TAKTYKA MITRE ATT&CK: Impact
TECHNIKI MITRE ATT&CK: T1485 — niszczenie danych
Activity: Microsoft.Compute/disks/delete
Microsoft.Compute/galleries/images/delete
Microsoft.Compute/hostGroups/delete
Microsoft.Compute/hostGroups/hosts/delete
Microsoft.Compute/images/delete
Microsoft.Compute/virtualMachines/delete
Microsoft.Compute/virtualMachineScaleSets/delete
Microsoft.Compute/virtualMachineScaleSets/virtualMachines/delete
Microsoft.Devices/digitalTwins/Delete
Microsoft.Devices/iotHubs/Delete
Microsoft.KeyVault/vaults/delete
Microsoft.Logic/integrationAccounts/delete
Microsoft.Logic/integrationAccounts/maps/delete
Microsoft.Logic/integrationAccounts/schemas/delete
Microsoft.Logic/integrationAccounts/partners/delete
Microsoft.Logic/integrationServiceEnvironments/delete
Microsoft.Logic/workflows/delete
Microsoft.Resources/subscriptions/resourceGroups/delete
Microsoft.Sql/instancePools/delete
Microsoft.Sql/managedInstances/delete
Microsoft.Sql/managedInstances/administrators/delete
Microsoft.Sql/managedInstances/databases/delete
Microsoft.Storage/storageAccounts/delete
Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete
Microsoft.Storage/storageAccounts/fileServices/fileshares/files/delete
Microsoft.Storage/storageAccounts/blobServices/containers/delete
Microsoft.AAD/domainServices/delete

Powrót do listy | Powrót do góry

Nietypowy transfer danych UEBA z usługi Amazon S3 (wersja zapoznawcza)

Opis: Odchylenia w zakresie dostępu do danych lub wzorców pobierania z usługi Amazon Simple Storage Service (S3). Anomalia jest określana przy użyciu planów bazowych zachowań dla każdego użytkownika, usługi i zasobu, porównując wolumin transferu danych, częstotliwość i liczbę obiektów, do których uzyskiwano dostęp względem norm historycznych. Znaczące odchylenia — takie jak dostęp zbiorczy po raz pierwszy, niezwykle duże pobieranie danych lub aktywność z nowych lokalizacji lub aplikacji — mogą wskazywać na potencjalne eksfiltrację danych, naruszenia zasad lub niewłaściwe użycie naruszonych poświadczeń.

Attribute Value
Typ anomalii: UEBA
Źródła danych: Dzienniki usługi CLOUDTrail platformy AWS
TAKTYKA MITRE ATT&CK: Exfiltration
TECHNIKI MITRE ATT&CK: T1567 — eksfiltracja za pośrednictwem usługi internetowej
Activity: PutObject, CopyObject, UploadPart, UploadPartCopy, CreateJob, CompleteMultipartUpload

Powrót do listy | Powrót do góry

Modyfikacja nietypowego mechanizmu obronnego UEBA

Opis: Przeciwnicy mogą wyłączyć narzędzia zabezpieczeń, aby uniknąć możliwego wykrywania ich narzędzi i działań.

Attribute Value
Typ anomalii: UEBA
Źródła danych: Dzienniki aktywności platformy Azure
TAKTYKA MITRE ATT&CK: Uchylanie się od obrony
TECHNIKI MITRE ATT&CK: T1562 - Upośledzenie obrony
Techniki podrzędne MITRE ATT&CK: Wyłączanie lub modyfikowanie narzędzi
Wyłączanie lub modyfikowanie zapory w chmurze
Activity: Microsoft.Sql/managedInstances/databases/vulnerabilityAssessments/rules/baselines/delete
Microsoft.Sql/managedInstances/databases/vulnerabilityAssessments/delete
Microsoft.Network/networkSecurityGroups/securityRules/delete
Microsoft.Network/networkSecurityGroups/delete
Microsoft.Network/ddosProtectionPlans/delete
Microsoft.Network/ApplicationGatewayWebApplicationFirewallPolicies/delete
Microsoft.Network/applicationSecurityGroups/delete
Microsoft.Authorization/policyAssignments/delete
Microsoft.Sql/servers/firewallRules/delete
Microsoft.Network/firewallPolicies/delete
Microsoft.Network/azurefirewalls/delete

Powrót do listy | Powrót do góry

Nietypowe logowanie w trybie UEBA nie powiodło się

Opis: Przeciwnicy bez wcześniejszej wiedzy na temat wiarygodnych poświadczeń w systemie lub środowisku mogą odgadnąć hasła do próby uzyskania dostępu do kont.

Attribute Value
Typ anomalii: UEBA
Źródła danych: Dzienniki logowania w usłudze Microsoft Entra
dzienniki Zabezpieczenia Windows
TAKTYKA MITRE ATT&CK: Dostęp poświadczeń
TECHNIKI MITRE ATT&CK: T1110 — Siły brutalne
Activity: Microsoft Entra ID: Działanie logowania
Zabezpieczenia systemu Windows: Logowanie nie powiodło się (zdarzenie o identyfikatorze 4625)

Powrót do listy | Powrót do góry

Nietypowe działanie tożsamości UEBA lub SAML w usłudze AwsCloudTrail (wersja zapoznawcza)

Opis: Nietypowe działanie przez tożsamości oparte na protokole FEDErated lub Security Assertion Markup Language (SAML) obejmujące akcje po raz pierwszy, nieznane lokalizacje geograficzne lub nadmierne wywołania interfejsu API. Takie anomalie mogą wskazywać na przejęcie sesji lub niewłaściwe użycie poświadczeń federacyjnych.

Attribute Value
Typ anomalii: UEBA
Źródła danych: Dzienniki usługi CLOUDTrail platformy AWS
TAKTYKA MITRE ATT&CK: Dostęp początkowy, trwałość
TECHNIKI MITRE ATT&CK: T1078 — prawidłowe konta, T1550 — używanie alternatywnego materiału uwierzytelniania
Activity: UserAuthentication (EXTERNAL_IDP)

Powrót do listy | Powrót do góry

Anomalii modyfikacji uprawnień IAM w usłudze AwsCloudTrail (wersja zapoznawcza)

Opis: Odchylenia w zachowaniu administracyjnym zarządzania tożsamościami i dostępem (IAM), takie jak tworzenie, modyfikowanie lub usuwanie ról, użytkowników i grup lub załącznik nowych zasad wbudowanych lub zarządzanych. Mogą one wskazywać na eskalację uprawnień lub nadużycie zasad.

Attribute Value
Typ anomalii: UEBA
Źródła danych: Dzienniki usługi CLOUDTrail platformy AWS
TAKTYKA MITRE ATT&CK: Eskalacja uprawnień, trwałość
TECHNIKI MITRE ATT&CK: T1136 — Tworzenie konta, T1098 — manipulowanie kontem
Activity: Tworzenie, dodawanie, dołączanie, usuwanie, dezaktywowanie, umieszczanie i aktualizowanie operacji na iam.amazonaws.com, sso-directory.amazonaws.com

Powrót do listy | Powrót do góry

Nietypowe logowanie UEBA w usłudze AwsCloudTrail (wersja zapoznawcza)

Opis: Nietypowe działanie logowania w usługach Amazon Web Services (AWS) oparte na zdarzeniach CloudTrail, takich jak ConsoleLogin i inne atrybuty związane z uwierzytelnianiem. Anomalie są określane przez odchylenia zachowania użytkownika na podstawie atrybutów, takich jak geolokalizacja, odcisk palca urządzenia, usługodawca internetowy i metoda dostępu, i mogą wskazywać na nieautoryzowane próby dostępu lub potencjalne naruszenia zasad.

Attribute Value
Typ anomalii: UEBA
Źródła danych: Dzienniki usługi CLOUDTrail platformy AWS
TAKTYKA MITRE ATT&CK: Dostęp początkowy
TECHNIKI MITRE ATT&CK: T1078 — prawidłowe konta
Activity: Dziennik konsoli

Powrót do listy | Powrót do góry

Nietypowe błędy uwierzytelniania wieloskładnikowego UEBA w Okta_CL (wersja zapoznawcza)

Opis: Nietypowe wzorce nieudanych prób uwierzytelniania wieloskładnikowego w usłudze Okta. Te anomalie mogą wynikać z nieprawidłowego użycia konta, wypychania poświadczeń lub niewłaściwego używania zaufanych mechanizmów urządzeń i często odzwierciedlają wczesne zachowania przeciwników, takie jak testowanie skradzionych poświadczeń lub sprawdzanie zabezpieczeń tożsamości.

Attribute Value
Typ anomalii: UEBA
Źródła danych: Dzienniki chmury Okta
TAKTYKA MITRE ATT&CK: Trwałość, eskalacja uprawnień
TECHNIKI MITRE ATT&CK: T1078 — prawidłowe konta, T1556 — modyfikowanie procesu uwierzytelniania
Activity: app.oauth2.admin.consent.grant_success
app.oauth2.authorize.code_success
device.desktop_mfa.recovery_pin.generate
user.authentication.auth_via_mfa
user.mfa.attempt_bypass
user.mfa.factor.dezaktywuj
user.mfa.factor.reset_all
user.mfa.factor.suspend
user.mfa.okta_verify

Powrót do listy | Powrót do góry

Nietypowe resetowanie hasła w usłudze UEBA

Opis: Przeciwnicy mogą przerwać dostępność zasobów systemowych i sieciowych, hamując dostęp do kont używanych przez uprawnionych użytkowników. Konta mogą zostać usunięte, zablokowane lub manipulowane (np. zmienione poświadczenia), aby usunąć dostęp do kont.

Attribute Value
Typ anomalii: UEBA
Źródła danych: Dzienniki inspekcji usługi Microsoft Entra
TAKTYKA MITRE ATT&CK: Impact
TECHNIKI MITRE ATT&CK: T1531 — usuwanie dostępu do konta
Activity: Katalog podstawowy/UserManagement/Resetowanie hasła użytkownika

Powrót do listy | Powrót do góry

Przyznane nietypowe uprawnienia UEBA

Opis: Przeciwnicy mogą dodawać poświadczenia kontrolowane przez przeciwników dla jednostek usługi platformy Azure oprócz istniejących wiarygodnych poświadczeń w celu utrzymania trwałego dostępu do kont platformy Azure ofiary.

Attribute Value
Typ anomalii: UEBA
Źródła danych: Dzienniki inspekcji usługi Microsoft Entra
TAKTYKA MITRE ATT&CK: Persistence
TECHNIKI MITRE ATT&CK: T1098 — manipulowanie kontem
Techniki podrzędne MITRE ATT&CK: Dodatkowe poświadczenia jednostki usługi platformy Azure
Activity: Aprowizowanie konta/zarządzanie aplikacjami/Dodawanie przypisania roli aplikacji do jednostki usługi

Powrót do listy | Powrót do góry

Dostęp do nietypowego wpisu tajnego lub klucza USŁUGI KMS w usłudze AwsCloudTrail (wersja zapoznawcza)

Opis: Podejrzany dostęp do zasobów usługi AWS Secrets Manager lub zarządzania kluczami (KMS). Dostęp po raz pierwszy lub niezwykle wysoka częstotliwość dostępu może wskazywać na próby zbierania poświadczeń lub eksfiltracji danych.

Attribute Value
Typ anomalii: UEBA
Źródła danych: Dzienniki usługi CLOUDTrail platformy AWS
TAKTYKA MITRE ATT&CK: Dostęp poświadczeń, kolekcja
TECHNIKI MITRE ATT&CK: T1555 — poświadczenia z magazynów haseł
Activity: GetSecretValue
BatchGetSecretValue
ListKeys
ListSecrets
PutSecretValue
CreateSecret
UpdateSecret
Usuńsecret
Createkey
PutKeyPolicy

Powrót do listy | Powrót do góry

Nietypowe logowanie ueBA

Opis: Przeciwnicy mogą ukraść poświadczenia określonego użytkownika lub konta usługi przy użyciu technik dostępu poświadczeń lub przechwytywać poświadczenia wcześniej w procesie rekonesansu za pomocą inżynierii społecznej w celu uzyskania trwałości.

Attribute Value
Typ anomalii: UEBA
Źródła danych: Dzienniki logowania w usłudze Microsoft Entra
dzienniki Zabezpieczenia Windows
TAKTYKA MITRE ATT&CK: Persistence
TECHNIKI MITRE ATT&CK: T1078 — prawidłowe konta
Activity: Microsoft Entra ID: Działanie logowania
Zabezpieczenia systemu Windows: Pomyślne zalogowanie (identyfikator zdarzenia 4624)

Powrót do listy | Powrót do góry

Nietypowe zachowanie UEBA STS AssumeRole w usłudze AwsCloudTrail (wersja zapoznawcza)

Opis: Nietypowe użycie usługi AWS Security Token Service (STS) AssumeRole akcji, szczególnie w przypadku ról uprzywilejowanych lub dostępu między kontami. Odchylenia od typowego użycia mogą wskazywać na eskalację uprawnień lub naruszenie tożsamości.

Attribute Value
Typ anomalii: UEBA
Źródła danych: Dzienniki usługi CLOUDTrail platformy AWS
TAKTYKA MITRE ATT&CK: Eskalacja przywilejów, uchylanie się od obrony
TECHNIKI MITRE ATT&CK: T1548 — Mechanizm kontroli podniesienia uprawnień nadużyć, T1078 — prawidłowe konta
Activity: Przyjmijrole
AssumeRoleWithSAML
AssumeRoleWithWebIdentity
Przyjmijroot

Powrót do listy | Powrót do góry

Anomalie oparte na uczeniu maszynowym

Dostosowywalne anomalie oparte na uczeniu maszynowym w usłudze Microsoft Sentinel mogą identyfikować nietypowe zachowanie za pomocą szablonów reguł analitycznych, które można umieścić w odpowiednim czasie. Chociaż anomalie niekoniecznie wskazują złośliwe lub nawet podejrzane zachowanie, mogą służyć do ulepszania wykrywania, badania i wyszukiwania zagrożeń.

Nietypowe operacje platformy Azure

Opis: Ten algorytm wykrywania zbiera 21 dni danych dotyczących operacji platformy Azure pogrupowanych według użytkownika w celu wytrenowania tego modelu uczenia maszynowego. Następnie algorytm generuje anomalie w przypadku użytkowników, którzy wykonali sekwencje operacji rzadko w swoich obszarach roboczych. Wytrenowany model uczenia maszynowego ocenia operacje wykonywane przez użytkownika i uwzględnia nietypowe, których wynik jest większy niż zdefiniowany próg.

Attribute Value
Typ anomalii: Możliwość dostosowywania uczenia maszynowego
Źródła danych: Dzienniki aktywności platformy Azure
TAKTYKA MITRE ATT&CK: Dostęp początkowy
TECHNIKI MITRE ATT&CK: T1190 — Wykorzystanie aplikacji dostępnej publicznie

Powrót do listy anomalii opartych na uczeniu maszynowym | Powrót do góry

Nietypowe wykonywanie kodu

Opis: Osoby atakujące mogą nadużywać interpreterów poleceń i skryptów w celu wykonywania poleceń, skryptów lub plików binarnych. Te interfejsy i języki zapewniają sposoby interakcji z systemami komputerowymi i są wspólną funkcją na wielu różnych platformach.

Attribute Value
Typ anomalii: Możliwość dostosowywania uczenia maszynowego
Źródła danych: Dzienniki aktywności platformy Azure
TAKTYKA MITRE ATT&CK: Execution
TECHNIKI MITRE ATT&CK: T1059 — interpreter poleceń i skryptów

Powrót do listy anomalii opartych na uczeniu maszynowym | Powrót do góry

Nietypowe tworzenie konta lokalnego

Opis: Ten algorytm wykrywa nietypowe tworzenie konta lokalnego w systemach Windows. Osoby atakujące mogą tworzyć konta lokalne, aby zachować dostęp do systemów docelowych. Ten algorytm analizuje działania tworzenia konta lokalnego w ciągu ostatnich 14 dni od użytkowników. Szuka podobnych działań w bieżącym dniu od użytkowników, którzy nie byli wcześniej widziani w działaniu historycznym. Możesz określić listę dozwolonych, aby filtrować znanych użytkowników z wyzwalania tej anomalii.

Attribute Value
Typ anomalii: Możliwość dostosowywania uczenia maszynowego
Źródła danych: dzienniki Zabezpieczenia Windows
TAKTYKA MITRE ATT&CK: Persistence
TECHNIKI MITRE ATT&CK: T1136 — Tworzenie konta

Powrót do listy anomalii opartych na uczeniu maszynowym | Powrót do góry

Nietypowe działania użytkownika w programie Office Exchange

Opis: Ten model uczenia maszynowego grupuje dzienniki programu Office Exchange dla poszczególnych użytkowników w zasobnikach godzinowych. Definiujemy jedną godzinę jako sesję. Model jest trenowany w ciągu ostatnich 7 dni od wszystkich zwykłych (niebędących administratorami) użytkowników. Wskazuje on nietypowe sesje programu Office Exchange użytkownika w ciągu ostatniego dnia.

Attribute Value
Typ anomalii: Możliwość dostosowywania uczenia maszynowego
Źródła danych: Dziennik aktywności pakietu Office (Exchange)
TAKTYKA MITRE ATT&CK: Persistence
Collection
TECHNIKI MITRE ATT&CK: Collection:
T1114 — Kolekcja wiadomości e-mail
T1213 — dane z repozytoriów informacji

Persistence:
T1098 — manipulowanie kontem
T1136 — Tworzenie konta
T1137 — Uruchamianie aplikacji pakietu Office
T1505 — składnik oprogramowania serwera

Powrót do listy anomalii opartych na uczeniu maszynowym | Powrót do góry

Podjęto próbę ataku siłowego komputera

Opis: Ten algorytm wykrywa niezwykle dużą liczbę nieudanych prób logowania (identyfikator zdarzenia zabezpieczeń 4625) na komputer w ciągu ostatniego dnia. Model jest trenowany w ciągu ostatnich 21 dni dzienników zdarzeń zabezpieczeń systemu Windows.

Attribute Value
Typ anomalii: Możliwość dostosowywania uczenia maszynowego
Źródła danych: dzienniki Zabezpieczenia Windows
TAKTYKA MITRE ATT&CK: Dostęp poświadczeń
TECHNIKI MITRE ATT&CK: T1110 — Siły brutalne

Powrót do listy anomalii opartych na uczeniu maszynowym | Powrót do góry

Podjęto próbę ataku siłowego konta użytkownika

Opis: Ten algorytm wykrywa niezwykle dużą liczbę nieudanych prób logowania (identyfikator zdarzenia zabezpieczeń 4625) na konto użytkownika w ciągu ostatniego dnia. Model jest trenowany w ciągu ostatnich 21 dni dzienników zdarzeń zabezpieczeń systemu Windows.

Attribute Value
Typ anomalii: Możliwość dostosowywania uczenia maszynowego
Źródła danych: dzienniki Zabezpieczenia Windows
TAKTYKA MITRE ATT&CK: Dostęp poświadczeń
TECHNIKI MITRE ATT&CK: T1110 — Siły brutalne

Powrót do listy anomalii opartych na uczeniu maszynowym | Powrót do góry

Podjęto próbę ataku siłowego konta użytkownika na typ logowania

Opis: Ten algorytm wykrywa niezwykle dużą liczbę nieudanych prób logowania (identyfikator zdarzenia zabezpieczeń 4625) na konto użytkownika na typ logowania w ciągu ostatniego dnia. Model jest trenowany w ciągu ostatnich 21 dni dzienników zdarzeń zabezpieczeń systemu Windows.

Attribute Value
Typ anomalii: Możliwość dostosowywania uczenia maszynowego
Źródła danych: dzienniki Zabezpieczenia Windows
TAKTYKA MITRE ATT&CK: Dostęp poświadczeń
TECHNIKI MITRE ATT&CK: T1110 — Siły brutalne

Powrót do listy anomalii opartych na uczeniu maszynowym | Powrót do góry

Podjęto próbę ataku siłowego konta użytkownika na przyczynę niepowodzenia

Opis: Ten algorytm wykrywa niezwykle dużą liczbę nieudanych prób logowania (identyfikator zdarzenia zabezpieczeń 4625) na konto użytkownika na przyczynę niepowodzenia w ciągu ostatniego dnia. Model jest trenowany w ciągu ostatnich 21 dni dzienników zdarzeń zabezpieczeń systemu Windows.

Attribute Value
Typ anomalii: Możliwość dostosowywania uczenia maszynowego
Źródła danych: dzienniki Zabezpieczenia Windows
TAKTYKA MITRE ATT&CK: Dostęp poświadczeń
TECHNIKI MITRE ATT&CK: T1110 — Siły brutalne

Powrót do listy anomalii opartych na uczeniu maszynowym | Powrót do góry

Wykrywanie zachowania sygnału nawigacyjnego wygenerowanego przez maszynę

Opis: Ten algorytm identyfikuje wzorce sygnałów nawigacyjnych z dzienników połączeń ruchu sieciowego na podstawie cyklicznych wzorców różnic czasu. Każde połączenie sieciowe w niezaufanych sieciach publicznych w powtarzającym się czasie różnice wskazuje na wywołania zwrotne złośliwego oprogramowania lub próby eksfiltracji danych. Algorytm obliczy różnicę czasu między kolejnymi połączeniami sieciowymi między tym samym źródłowym adresem IP i docelowym adresem IP, a także liczbą połączeń w sekwencji różnic czasowej między tymi samymi źródłami i miejscami docelowymi. Wartość procentowa sygnału nawigacyjnego jest obliczana jako połączenia w sekwencji różnic czasu względem łącznej liczby połączeń w ciągu dnia.

Attribute Value
Typ anomalii: Możliwość dostosowywania uczenia maszynowego
Źródła danych: CommonSecurityLog (PAN)
TAKTYKA MITRE ATT&CK: Sterowanie i kontrola
TECHNIKI MITRE ATT&CK: T1071 — Protokół warstwy aplikacji
T1132 — kodowanie danych
T1001 — zaciemnianie danych
T1568 — rozdzielczość dynamiczna
T1573 — szyfrowany kanał
T1008 — kanały rezerwowe
T1104 — kanały wieloetapowe
T1095 — protokół warstwy aplikacji nienależące do aplikacji
T1571 — port inny niż standardowy
T1572 — tunelowanie protokołu
T1090 — serwer proxy
T1205 — Sygnalizacja ruchu
T1102 — usługa sieci Web

Powrót do listy anomalii opartych na uczeniu maszynowym | Powrót do góry

Algorytm generowania domeny (DGA) w domenach DNS

Opis: Ten model uczenia maszynowego wskazuje potencjalne domeny DGA z ostatniego dnia w dziennikach DNS. Algorytm dotyczy rekordów DNS rozpoznawanych jako adresy IPv4 i IPv6.

Attribute Value
Typ anomalii: Możliwość dostosowywania uczenia maszynowego
Źródła danych: Zdarzenia DNS
TAKTYKA MITRE ATT&CK: Sterowanie i kontrola
TECHNIKI MITRE ATT&CK: T1568 — rozdzielczość dynamiczna

Powrót do listy anomalii opartych na uczeniu maszynowym | Powrót do góry

Nadmierne pobieranie za pośrednictwem aplikacji Palo Alto GlobalProtect

Opis: Ten algorytm wykrywa niezwykle dużą ilość pobierania na konto użytkownika za pośrednictwem rozwiązania Palo Alto VPN. Model jest trenowany w ciągu ostatnich 14 dni dzienników sieci VPN. Wskazuje to nietypowe duże ilości pobrań w ciągu ostatniego dnia.

Attribute Value
Typ anomalii: Możliwość dostosowywania uczenia maszynowego
Źródła danych: CommonSecurityLog (PAN VPN)
TAKTYKA MITRE ATT&CK: Exfiltration
TECHNIKI MITRE ATT&CK: T1030 — limity rozmiaru transferu danych
T1041 — Eksfiltracja przez kanał C2
T1011 — eksfiltracja za pośrednictwem innego medium sieciowego
T1567 — eksfiltracja za pośrednictwem usługi internetowej
T1029 — Zaplanowany transfer
T1537 — transfer danych na konto w chmurze

Powrót do listy anomalii opartych na uczeniu maszynowym | Powrót do góry

Nadmierne przekazywanie za pośrednictwem aplikacji Palo Alto GlobalProtect

Opis: Ten algorytm wykrywa niezwykle dużą ilość przekazywania na konto użytkownika za pośrednictwem rozwiązania Palo Alto VPN. Model jest trenowany w ciągu ostatnich 14 dni dzienników sieci VPN. Wskazuje on nietypowy duży wolumen przekazywania w ciągu ostatniego dnia.

Attribute Value
Typ anomalii: Możliwość dostosowywania uczenia maszynowego
Źródła danych: CommonSecurityLog (PAN VPN)
TAKTYKA MITRE ATT&CK: Exfiltration
TECHNIKI MITRE ATT&CK: T1030 — limity rozmiaru transferu danych
T1041 — Eksfiltracja przez kanał C2
T1011 — eksfiltracja za pośrednictwem innego medium sieciowego
T1567 — eksfiltracja za pośrednictwem usługi internetowej
T1029 — Zaplanowany transfer
T1537 — transfer danych na konto w chmurze

Powrót do listy anomalii opartych na uczeniu maszynowym | Powrót do góry

Potencjalny algorytm generowania domeny (DGA) w domenach DNS na następnym poziomie

Opis: Ten model uczenia maszynowego wskazuje domeny następnego poziomu (trzeci poziom i wyższy) nazw domen z ostatniego dnia dzienników DNS, które są nietypowe. Potencjalnie mogą to być dane wyjściowe algorytmu generowania domeny (DGA). Anomalia dotyczy rekordów DNS rozpoznawanych jako adresy IPv4 i IPv6.

Attribute Value
Typ anomalii: Możliwość dostosowywania uczenia maszynowego
Źródła danych: Zdarzenia DNS
TAKTYKA MITRE ATT&CK: Sterowanie i kontrola
TECHNIKI MITRE ATT&CK: T1568 — rozdzielczość dynamiczna

Powrót do listy anomalii opartych na uczeniu maszynowym | Powrót do góry

Podejrzana liczba wywołań interfejsu API platformy AWS ze źródłowego adresu IP innego niż AWS

Opis: Ten algorytm wykrywa niezwykle dużą liczbę wywołań interfejsu API platformy AWS na konto użytkownika na obszar roboczy z źródłowych adresów IP spoza źródłowych zakresów adresów IP platformy AWS w ciągu ostatniego dnia. Model jest trenowany w ciągu ostatnich 21 dni zdarzeń dziennika platformy AWS CloudTrail według źródłowego adresu IP. To działanie może wskazywać, że konto użytkownika zostało naruszone.

Attribute Value
Typ anomalii: Możliwość dostosowywania uczenia maszynowego
Źródła danych: Dzienniki usługi CLOUDTrail platformy AWS
TAKTYKA MITRE ATT&CK: Dostęp początkowy
TECHNIKI MITRE ATT&CK: T1078 — prawidłowe konta

Powrót do listy anomalii opartych na uczeniu maszynowym | Powrót do góry

Podejrzana liczba wywołań interfejsu API zapisu platformy AWS z konta użytkownika

Opis: Ten algorytm wykrywa niezwykle dużą liczbę wywołań interfejsu API zapisu platformy AWS na konto użytkownika w ciągu ostatniego dnia. Model jest trenowany w ciągu ostatnich 21 dni zdarzeń dziennika usługi AWS CloudTrail według konta użytkownika. To działanie może wskazywać, że konto zostało naruszone.

Attribute Value
Typ anomalii: Możliwość dostosowywania uczenia maszynowego
Źródła danych: Dzienniki usługi CLOUDTrail platformy AWS
TAKTYKA MITRE ATT&CK: Dostęp początkowy
TECHNIKI MITRE ATT&CK: T1078 — prawidłowe konta

Powrót do listy anomalii opartych na uczeniu maszynowym | Powrót do góry

Podejrzana liczba logowań na komputerze

Opis: Ten algorytm wykrywa niezwykle dużą liczbę pomyślnych logowań (identyfikator zdarzenia zabezpieczeń 4624) na komputer w ciągu ostatniego dnia. Model jest trenowany w ciągu ostatnich 21 dni Zabezpieczenia Windows dzienników zdarzeń.

Attribute Value
Typ anomalii: Możliwość dostosowywania uczenia maszynowego
Źródła danych: dzienniki Zabezpieczenia Windows
TAKTYKA MITRE ATT&CK: Dostęp początkowy
TECHNIKI MITRE ATT&CK: T1078 — prawidłowe konta

Powrót do listy anomalii opartych na uczeniu maszynowym | Powrót do góry

Podejrzana liczba logowań na komputerze z podwyższonym poziomem uprawnień

Opis: Ten algorytm wykrywa niezwykle dużą liczbę pomyślnych logowań (identyfikator zdarzenia zabezpieczeń 4624) z uprawnieniami administracyjnymi na komputer w ciągu ostatniego dnia. Model jest trenowany w ciągu ostatnich 21 dni Zabezpieczenia Windows dzienników zdarzeń.

Attribute Value
Typ anomalii: Możliwość dostosowywania uczenia maszynowego
Źródła danych: dzienniki Zabezpieczenia Windows
TAKTYKA MITRE ATT&CK: Dostęp początkowy
TECHNIKI MITRE ATT&CK: T1078 — prawidłowe konta

Powrót do listy anomalii opartych na uczeniu maszynowym | Powrót do góry

Podejrzana liczba logowań do konta użytkownika

Opis: Ten algorytm wykrywa niezwykle dużą liczbę pomyślnych logowań (identyfikator zdarzenia zabezpieczeń 4624) na konto użytkownika w ciągu ostatniego dnia. Model jest trenowany w ciągu ostatnich 21 dni Zabezpieczenia Windows dzienników zdarzeń.

Attribute Value
Typ anomalii: Możliwość dostosowywania uczenia maszynowego
Źródła danych: dzienniki Zabezpieczenia Windows
TAKTYKA MITRE ATT&CK: Dostęp początkowy
TECHNIKI MITRE ATT&CK: T1078 — prawidłowe konta

Powrót do listy anomalii opartych na uczeniu maszynowym | Powrót do góry

Podejrzana liczba logowań do konta użytkownika według typów logowania

Opis: Ten algorytm wykrywa niezwykle dużą liczbę pomyślnych logowań (identyfikator zdarzenia zabezpieczeń 4624) na konto użytkownika według różnych typów logowania w ciągu ostatniego dnia. Model jest trenowany w ciągu ostatnich 21 dni Zabezpieczenia Windows dzienników zdarzeń.

Attribute Value
Typ anomalii: Możliwość dostosowywania uczenia maszynowego
Źródła danych: dzienniki Zabezpieczenia Windows
TAKTYKA MITRE ATT&CK: Dostęp początkowy
TECHNIKI MITRE ATT&CK: T1078 — prawidłowe konta

Powrót do listy anomalii opartych na uczeniu maszynowym | Powrót do góry

Podejrzana liczba logowań do konta użytkownika z podwyższonym poziomem uprawnień

Opis: Ten algorytm wykrywa niezwykle dużą liczbę pomyślnych logowań (identyfikator zdarzenia zabezpieczeń 4624) z uprawnieniami administracyjnymi na konto użytkownika w ciągu ostatniego dnia. Model jest trenowany w ciągu ostatnich 21 dni Zabezpieczenia Windows dzienników zdarzeń.

Attribute Value
Typ anomalii: Możliwość dostosowywania uczenia maszynowego
Źródła danych: dzienniki Zabezpieczenia Windows
TAKTYKA MITRE ATT&CK: Dostęp początkowy
TECHNIKI MITRE ATT&CK: T1078 — prawidłowe konta

Powrót do listy anomalii opartych na uczeniu maszynowym | Powrót do góry

Dalsze kroki

  • Last updated on