Güvenlik uyarıları - başvuru kılavuzu

Makale
05/01/2024

Bu makalede, Bulut için Microsoft Defender ve etkinleştirdiğiniz tüm Microsoft Defender planlarından alabileceğiniz güvenlik uyarıları listelenir. Ortamınızda gösterilen uyarılar, koruduğunuz kaynaklara ve hizmetlere ve özelleştirilmiş yapılandırmanıza bağlıdır.

Bu sayfanın alt kısmında MITRE ATT&CK matrisinin 9. sürümüyle hizalanmış Bulut için Microsoft Defender sonlandırma zincirini açıklayan bir tablo yer alır.

Bu uyarılara nasıl yanıt vereceğinizi öğrenin.

Uyarıları dışarı aktarmayı öğrenin.

Not

Farklı kaynaklardan gelen uyarıların görünmesi farklı zaman alabilir. Örneğin, ağ trafiğinin analizini gerektiren uyarıların görünmesi, sanal makinelerde çalışan şüpheli işlemlerle ilgili uyarılardan daha uzun sürebilir.

Windows makineleri için uyarılar

Sunucular için Microsoft Defender Plan 2, Uç Nokta için Microsoft Defender tarafından sağlananlara ek olarak benzersiz algılamalar ve uyarılar sağlar. Windows makineleri için sağlanan uyarılar şunlardır:

Diğer ayrıntılar ve notlar

Kötü amaçlı bir IP'den oturum açma algılandı. [birden çok kez görüldü]

Açıklama: [account] hesabı ve işlemi [işlem] için başarılı bir uzaktan kimlik doğrulaması oluştu, ancak oturum açma IP adresi (x.x.x.x) daha önce kötü amaçlı veya son derece olağan dışı olarak bildirildi. Başarılı bir saldırı gerçekleşmiş olabilir. .scr uzantılı dosyalar ekran koruyucu dosyalarıdır ve normalde Windows sistem dizininde bulunur ve yürütülür.

MITRE taktikleri: -

Önem Derecesi: Yüksek

Uyarlamalı uygulama denetimi ilkesi ihlali denetlendi

VM_AdaptiveApplicationControlWindowsViolationAudited

Açıklama: Aşağıdaki kullanıcılar bu makinede kuruluşunuzun uygulama denetim ilkesini ihlal eden uygulamalar çalıştırmıştı. Makineyi kötü amaçlı yazılımlara veya uygulama güvenlik açıklarına maruz bırakabilir.

MITRE taktikleri: Yürütme

Önem Derecesi: Bilgilendiren

Konuk hesabının Yerel Yönetici istrators grubuna eklenmesi

Açıklama: Konak verilerinin analizinde, %{Güvenliği Aşılmış Konak} üzerindeki Yerel Yönetici istrators grubuna yerleşik Konuk hesabının eklendiği algılandı ve bu grup saldırgan etkinliğiyle güçlü bir şekilde ilişkilendirildi.

MITRE taktikleri: -

Önem Derecesi: Orta

Olay günlüğü temizlendi

Açıklama: Makine günlükleri, '%{CompromisedEntity}' makinesindeki '%{user name}' kullanıcı tarafından yapılan şüpheli olay günlüğü temizleme işlemini gösteriyor. %{log channel} günlüğü temizlendi.

MITRE taktikleri: -

Önem Derecesi: Bilgilendiren

Kötü Amaçlı Yazılımdan Koruma Eylemi Başarısız Oldu

Açıklama: Microsoft Kötü Amaçlı Yazılımdan Koruma kötü amaçlı yazılım veya diğer istenmeyebilecek yazılımlar üzerinde eylem yaparken bir hatayla karşılaştı.

MITRE taktikleri: -

Önem Derecesi: Orta

Kötü Amaçlı Yazılımdan Koruma Eylemi Gerçekleştirilen

MITRE taktikleri: Savunma Kaçamak

Önem Derecesi: Orta

Sanal makinenizde kötü amaçlı yazılımdan koruma geçici olarak devre dışı bırakıldı

(VM_AmTemporarilyDisablement)

Açıklama: Sanal makinenizde kötü amaçlı yazılımdan koruma geçici olarak devre dışı bırakıldı. Bu, aboneliğinizdeki Azure Resource Manager işlemleri çözümlenerek algılandı. Saldırganlar algılamayı önlemek için sanal makinenizde kötü amaçlı yazılımdan koruma yazılımını devre dışı bırakabilir.

MITRE taktikleri: -

Önem Derecesi: Orta

Sanal makinenizde kötü amaçlı yazılımdan koruma olağandışı dosya dışlaması

(VM_UnusualAmFileExclusion)

Açıklama: Aboneliğinizdeki Azure Resource Manager işlemleri çözümlenerek sanal makinenizde kötü amaçlı yazılımdan koruma uzantısından olağan dışı dosya dışlaması algılandı. Saldırganlar, rastgele kod çalıştırırken veya makineye kötü amaçlı yazılım bulaştırırken algılamayı önlemek için sanal makinenizdeki kötü amaçlı yazılımdan koruma taramasından dosyaları dışlayabilir.

MITRE taktikleri: Savunma Kaçamak

Önem Derecesi: Orta

Tehdit bilgileri tarafından tanımlanan şüpheli etki alanıyla iletişim

Açıklama: %{Güvenliği Aşılmış Ana Bilgisayar} üzerindeki konak verilerinin analizi, SharedAccess veya Windows Güvenliği uygulaması gibi kritik hizmetleri durdurmak için kullanılan "net.exe stop" komutunun yürütülmesini algılandı. Bu hizmetlerden herhangi birinin durdurulması kötü amaçlı bir davranışın göstergesi olabilir.

MITRE taktikleri: -

Önem Derecesi: Orta

Açıklama: %{Güvenliği Aşılmış Konak} üzerindeki konak verilerinin analizi, normalde dijital para birimi madenciliğiyle ilişkili bir işlemin veya komutun yürütülmesini algılandı.

MITRE taktikleri: -

Önem Derecesi: Yüksek

Dinamik PS betik oluşturma

Açıklama: %{Güvenliği Aşılmış Konak} üzerindeki konak verilerinin analizi, dinamik olarak oluşturulan bir PowerShell betiği algıladı. Saldırganlar bazen IDS sistemlerinden kurtulmak için aşamalı olarak bir betik oluşturma yaklaşımını kullanır. Bu yasal bir etkinlik veya makinelerinizden birinin gizliliğinin ihlal edildiğinin göstergesi olabilir.

MITRE taktikleri: -

Önem Derecesi: Orta

Şüpheli bir konumdan çalıştırılan yürütülebilir dosya bulundu

Açıklama: Konak verilerinin analizi, bilinen şüpheli dosyalarla ortak bir konumdan çalışan %{Güvenliği Aşılmış Konak} üzerinde yürütülebilir bir dosya algılandı. Bu yürütülebilir dosya yasal etkinlik veya güvenliği aşılmış bir konağın göstergesi olabilir.

MITRE taktikleri: -

Önem Derecesi: Yüksek

Dosyasız saldırı davranışı algılandı

(VM_FilelessAttackBehavior.Windows)

Açıklama: Belirtilen işlemin belleği, dosyasız saldırılar tarafından yaygın olarak kullanılan davranışları içerir. Belirli davranışlar şunlardır:

Shellcode, genellikle bir yazılım güvenlik açığının kötüye kullanılmasında yük olarak kullanılan küçük bir kod parçasıdır.
Etkin ağ bağlantıları. Ayrıntılar için aşağıdaki Ağ Bağlan ions bölümüne bakın.
Güvenlik duyarlı işletim sistemi arabirimlerine işlev çağrıları. Başvuruda olunan işletim sistemi özellikleri için aşağıdaki Özellikler bölümüne bakın.
Dinamik olarak ayrılmış bir kod kesiminde başlatılan bir iş parçacığı içerir. Bu, işlem ekleme saldırıları için yaygın bir desendir.

MITRE taktikleri: Savunma Kaçamak

Önem Derecesi: Düşük

Dosyasız saldırı tekniği algılandı

(VM_FilelessAttackTechnique.Windows)

Açıklama: Aşağıda belirtilen işlemin belleği, dosyasız saldırı tekniğinin kanıtlarını içerir. Dosyasız saldırılar, güvenlik yazılımı tarafından algılanmaktan kaçınılırken kod yürütmek için saldırganlar tarafından kullanılır. Belirli davranışlar şunlardır:

Shellcode, genellikle bir yazılım güvenlik açığının kötüye kullanılmasında yük olarak kullanılan küçük bir kod parçasıdır.
Kod ekleme saldırısı gibi işleme eklenen yürütülebilir görüntü.
Etkin ağ bağlantıları. Ayrıntılar için aşağıdaki Ağ Bağlan ions bölümüne bakın.
Güvenlik duyarlı işletim sistemi arabirimlerine işlev çağrıları. Başvuruda olunan işletim sistemi özellikleri için aşağıdaki Özellikler bölümüne bakın.
İşlem içi boşlama, kötü amaçlı yazılımlar tarafından kullanılan ve saldırgan kod için kapsayıcı görevi görmek üzere sisteme meşru bir işlemin yüklendiği bir tekniktir.
Dinamik olarak ayrılmış bir kod kesiminde başlatılan bir iş parçacığı içerir. Bu, işlem ekleme saldırıları için yaygın bir desendir.

MITRE taktikleri: Savunma Kaçamak, Yürütme

Önem Derecesi: Yüksek

Dosyasız saldırı araç seti algılandı

(VM_FilelessAttackToolkit.Windows)

Açıklama: Belirtilen işlemin belleği dosyasız saldırı araç seti içeriyor: [araç seti adı]. Dosyasız saldırı araç setleri, disk üzerindeki kötü amaçlı yazılım izlemelerini en aza indiren veya ortadan kaldıran ve disk tabanlı kötü amaçlı yazılım tarama çözümleriyle algılama olasılığını büyük ölçüde azaltan teknikler kullanır. Belirli davranışlar şunlardır:

İyi bilinen araç setleri ve kripto madenciliği yazılımı.
Shellcode, genellikle bir yazılım güvenlik açığının kötüye kullanılmasında yük olarak kullanılan küçük bir kod parçasıdır.
İşlem belleğine kötü amaçlı yürütülebilir dosya eklendi.

Açıklama: Sistem işlemi SVCHOST'un nadir bir hizmet grubu çalıştırıldığı gözlemlendi. Kötü amaçlı yazılım genellikle kötü amaçlı etkinliğini maskelemek için SVCHOST kullanır.

MITRE taktikleri: Savunma Kaçamak, Yürütme

Önem Derecesi: Bilgilendiren

Yapışkan anahtar saldırısı algılandı

Açıklama: Konak verilerinin analizi, saldırganın %{Güvenliği Aşılmış Konak} konağına arka kapı erişimi sağlamak için erişilebilirlik ikili dosyasını (örneğin yapışkan tuşlar, ekran klavyesi, ekran okuyucusu) devre dışı bırakabileceğini gösterir.

MITRE taktikleri: -

Önem Derecesi: Orta

Başarılı deneme yanılma saldırısı

(VM_LoginBruteForceSuccess)

Açıklama: Aynı kaynaktan birkaç oturum açma girişimi algılandı. Bazıları konakta başarıyla kimlik doğrulaması yaptı. Bu, bir saldırganın geçerli hesap kimlik bilgilerini bulmak için çok sayıda kimlik doğrulaması girişiminde bulunduğu ani bir saldırıya benzer.

MITRE taktikleri: Exploitation

Önem Derecesi: Orta/Yüksek

RDP ele geçirmesinin şüpheli bütünlük düzeyi göstergesi

Açıklama: Konak verilerinin analizi, SİSTEM ayrıcalıklarıyla çalışan tscon.exe algılamıştır. Bu, bir saldırganın bu konakta oturum açmış diğer kullanıcılara bağlamı değiştirmek için bu ikili dosyaya kötü davrandığını gösteriyor olabilir; bu, daha fazla kullanıcı hesabının güvenliğini aşmak ve bir ağ üzerinde daha sonra hareket etmek için bilinen bir saldırgan tekniğidir.

MITRE taktikleri: -

Önem Derecesi: Orta

Şüpheli hizmet yüklemesi

Açıklama: Konak verilerinin analizi, hizmet olarak tscon.exe yüklemesini algılamıştır: Hizmet olarak başlatılan bu ikili, bir saldırganın RDP bağlantılarını ele geçirerek bu konakta oturum açmış diğer kullanıcılara önemsiz bir şekilde geçiş yapmasına olanak tanır; bu, daha fazla kullanıcı hesabının güvenliğini aşmak ve ağ üzerinde yan yana hareket etmek için bilinen bir saldırgan tekniğidir.

MITRE taktikleri: -

Önem Derecesi: Orta

Şüpheli Kerberos Altın Anahtar saldırı parametreleri gözlemlendi

Açıklama: Kerberos Altın Anahtar saldırısıyla tutarlı olarak algılanan konak verileri komut satırı parametrelerinin analizi.

MITRE taktikleri: -

Önem Derecesi: Orta

Açıklama: Yansıtıcı ekleme ve işlem içi boşlama gibi standart olmayan yöntemler kullanılarak bir kod kesiminin ayrıldığını gösterir. Uyarı, bildirilen kod kesiminin özelliklerine ve davranışlarına bağlam sağlamak için işlenen kod kesiminin daha fazla özelliğini sağlar.

MITRE taktikleri: -

Önem Derecesi: Orta

Şüpheli çift uzantı dosyası yürütüldü

Açıklama: Konak verilerinin analizi, şüpheli çift uzantılı bir işlemin yürütülmesini gösterir. Bu uzantı, kullanıcıları dosyaların açılmasının güvenli olduğunu düşünmeleri için kandırabilir ve sistemde kötü amaçlı yazılım olduğunu gösterebilir.

MITRE taktikleri: -

Önem Derecesi: Yüksek

Certutil kullanılarak şüpheli indirme algılandı [birden çok kez görüldü]

Açıklama: %{Güvenliği Aşılmış Ana Bilgisayar} üzerindeki konak verilerinin analizi, yerleşik bir yönetici yardımcı programı olan certutil.exe'nin, sertifikaları ve sertifika verilerini düzenlemeyle ilgili temel amacı yerine ikili dosya indirilmesi için kullanıldığını algılamıştır. Saldırganların kötü amaçlı eylemler gerçekleştirmek için meşru yönetici araçlarının işlevselliğini kötüye kullandığı bilinmektedir. Örneğin, daha sonra yürütülecek kötü amaçlı yürütülebilir dosyaları indirmek ve kodunu çözmek için certutil.exe kullanma. Bu davranış bugün şu makinelerde [x] kez görüldü: [Makine adları]

MITRE taktikleri: -

Önem Derecesi: Orta

MITRE taktikleri: -

Önem Derecesi: Orta

Sanal makinenizde olağan dışı kullanıcı SSH anahtarı sıfırlama

(VM_VMAccessUnusualSSHReset)

Açıklama: Aboneliğinizdeki Azure Resource Manager işlemleri çözümlenerek sanal makinenizde olağan dışı bir kullanıcı SSH anahtarı sıfırlaması algılandı. Bu eylem yasal olsa da, saldırganlar sanal makinenizdeki bir kullanıcı hesabının SSH anahtarını sıfırlamak ve güvenliğini aşmak için VM Erişim uzantısını kullanmayı deneyebilir.

MITRE taktikleri: Kimlik Bilgisi Erişimi

Önem Derecesi: Orta

VBScript HTTP nesne ayırma algılandı

Açıklama: Komut İstemi kullanılarak VBScript dosyası oluşturma işlemi algılandı. Aşağıdaki betik HTTP nesne ayırma komutunu içerir. Bu eylem kötü amaçlı dosyaları indirmek için kullanılabilir.

Sanal makinenizde ŞÜPHELI GPU uzantısı yüklemesi (Önizleme)

(VM_GPUDriverExtensionUnusualExecution)

Açıklama: Aboneliğinizdeki Azure Resource Manager işlemleri çözümlenerek sanal makinenizde şüpheli bir GPU uzantısı yüklemesi algılandı. Saldırganlar şifreleme hırsızlığı gerçekleştirmek için Azure Resource Manager aracılığıyla sanal makinenize GPU sürücüleri yüklemek için GPU sürücü uzantısını kullanabilir.

MITRE taktikleri: Etki

Önem Derecesi: Düşük

(VM_AmTempRealtimeProtectionDisablement)

MITRE taktikleri: Savunma Kaçamak

Önem Derecesi: Orta

Sanal makinenizde kod yürütülürken kötü amaçlı yazılımdan koruma gerçek zamanlı koruma geçici olarak devre dışı bırakıldı

(VM_AmRealtimeProtectionDisablementAndCodeExec)

MITRE taktikleri: -

Önem Derecesi: Yüksek

MITRE taktikleri: -

Önem Derecesi: Düşük

Açıklama: %{Güvenliği Aşılmış Konak} üzerindeki konak verilerinin analizi, normalde dijital para birimi madenciliğiyle ilişkili bir işlemin veya komutun yürütülmesini algılandı.

MITRE taktikleri: -

Önem Derecesi: Yüksek

Denetlenen günlüğü devre dışı bırakma [birden çok kez görüldü]

Açıklama: Linux Denetim sistemi, sistemle ilgili güvenlikle ilgili bilgileri izlemek için bir yol sağlar. Sisteminizde gerçekleşen olaylar hakkında mümkün olduğunca çok bilgi kaydeder. Denetlenen günlüğün devre dışı bırakılması, sistemde kullanılan güvenlik ilkelerinin ihlallerinin keşfedilmesine neden olabilir. Bu davranış bugün şu makinelerde [x] kez görüldü: [Makine adları]

MITRE taktikleri: -

Önem Derecesi: Düşük

Xorg güvenlik açığından yararlanma [birden çok kez görüldü]

Açıklama: %{Güvenliği Aşılmış Konak} üzerindeki konak verilerinin analizinde, Xorg kullanıcısı şüpheli bağımsız değişkenlerle algılandı. Saldırganlar ayrıcalık yükseltme girişimlerinde bu tekniği kullanabilir. Bu davranış bugün şu makinelerde [x] kez görüldü: [Makine adları]

MITRE taktikleri: -

Önem Derecesi: Orta

Başarısız SSH deneme yanılma saldırısı

(VM_SshBruteForceFailed)

Açıklama: Başarısız deneme yanılma saldırıları şu saldırganlardan algılandı: %{Saldırganlar}. Saldırganlar ana bilgisayara şu kullanıcı adlarıyla erişmeye çalışıyorlardı: %{Konak denemelerinde başarısız oturum açmada kullanılan hesaplar}.

MITRE taktikleri: Yoklama

Önem Derecesi: Orta

Dosyasız Saldırı Davranışı Algılandı

(VM_FilelessAttackBehavior.Linux)

Açıklama: Aşağıda belirtilen işlemin belleği, dosyasız saldırılar tarafından yaygın olarak kullanılan davranışları içerir. Belirli davranışlar şunlardır: {gözlemlenen davranış listesi}

MITRE taktikleri: Yürütme

Önem Derecesi: Düşük

Dosyasız Saldırı Tekniği Algılandı

(VM_FilelessAttackTechnique.Linux)

MITRE taktikleri: Yürütme

Önem Derecesi: Yüksek

Dosyasız Saldırı Araç Seti Algılandı

(VM_FilelessAttackToolkit.Linux)

Açıklama: Aşağıda belirtilen işlemin belleği dosyasız bir saldırı araç seti içeriyor: {ToolKitName}. Dosyasız saldırı araç setleri genellikle dosya sisteminde bulunmaz ve geleneksel virüsten koruma yazılımı tarafından algılamayı zorlaştırır. Belirli davranışlar şunlardır: {gözlemlenen davranış listesi}

MITRE taktikleri: Savunma Kaçamak, Yürütme

Önem Derecesi: Yüksek

Gizli dosya yürütme algılandı

Açıklama: Konak verilerinin analizi, gizli bir dosyanın %{user name} tarafından yürütüldüğünü gösterir. Bu etkinlik meşru bir etkinlik veya güvenliği aşılmış bir konağın göstergesi olabilir.

MITRE taktikleri: -

Önem Derecesi: Bilgilendiren

Yeni SSH anahtarı eklendi [birden çok kez görüldü]

(VM_SshKeyAddition)

Açıklama: Yetkili anahtarlar dosyasına yeni bir SSH anahtarı eklendi. Bu davranış bugün şu makinelerde [x] kez görüldü: [Makine adları]

MITRE taktikleri: Kalıcılık

Önem Derecesi: Düşük

Yeni SSH anahtarı eklendi

Açıklama: Yetkili anahtarlar dosyasına yeni bir SSH anahtarı eklendi.

MITRE taktikleri: -

Önem Derecesi: Düşük

Olası arka kapı algılandı [birden çok kez görüldü]

Açıklama: Konak verilerinin analizinde şüpheli bir dosyanın indirildiği algılandı ve aboneliğinizde %{Güvenliği Aşılmış Konak} üzerinde çalıştırıldı. Bu etkinlik daha önce bir arka kapı yüklemesiyle ilişkilendirilmiştir. Bu davranış bugün şu makinelerde [x] kez görüldü: [Makine adları]

MITRE taktikleri: -

Önem Derecesi: Orta

Algılanan posta sunucusu için olası açıklardan yararlanma

(VM_MailserverExploitation )

Açıklama: %{Güvenliği Aşılmış Konak} üzerindeki konak verilerinin analizi, posta sunucusu hesabı altında olağan dışı bir yürütme algılandı

MITRE taktikleri: Exploitation

Önem Derecesi: Orta

Olası kötü amaçlı web kabuğu algılandı

(VM_KubernetesDashboard)

(AzureDNS_ProtocolAnomaly)

Açıklama: %{CompromisedEntity} kaynaklı DNS işlemlerinin analizinde anormal protokol kullanımı algılandı. Bu tür trafik, muhtemelen zararsız olsa da, ağ trafiği filtrelemesini atlamak için bu ortak protokolün kötüye kullanıldığına işaret edebilir. Tipik bir saldırgan etkinliği, uzaktan yönetim araçlarını güvenliği aşılmış bir konağa kopyalamayı ve kullanıcı verilerini oradan dışarı aktarmayı içerir.

MITRE taktikleri: Sızdırma

Önem Derecesi: -

Anonimlik ağ etkinliği

(AzureDNS_DarkWeb)

Açıklama: %{CompromisedEntity} kaynaklı DNS işlemlerinin analizinde anonim ağ etkinliği algılandı. Bu tür etkinlikler, büyük olasılıkla meşru bir kullanıcı davranışı olsa da, saldırganlar tarafından ağ iletişimlerinin izlenmesini ve parmak izini kullanmaktan kaçınma amacıyla sıklıkla kullanılır. Tipik bir saldırgan etkinliği, kötü amaçlı yazılımların veya uzaktan yönetim araçlarının indirilip yürütülmesini içerebilir.

MITRE taktikleri: Sızdırma

Önem Derecesi: Düşük

Web ara sunucusu kullanan anonim ağ etkinliği

(AzureDNS_DarkWebProxy)

MITRE taktikleri: Sızdırma

Önem Derecesi: Düşük

Şüpheli havuzlu etki alanıyla iletişim denendi

(AzureDNS_SinkholedDomain)

Açıklama: %{CompromisedEntity} kaynaklı DNS işlemlerinin analizi havuza alınmış etki alanı için istek algılandı. Bu tür etkinlikler, büyük olasılıkla meşru bir kullanıcı davranışı olsa da, genellikle kötü amaçlı yazılımların indirilmesinin veya yürütülmesinin bir göstergesidir. Tipik bir saldırgan etkinliği, kötü amaçlı yazılımların veya uzaktan yönetim araçlarının indirilmesini ve yürütülmesini içerebilir.

MITRE taktikleri: Sızdırma

Önem Derecesi: Orta

Olası kimlik avı etki alanıyla iletişim

(AzureDNS_PhishingDomain)

Açıklama: %{CompromisedEntity} kaynaklı DNS işlemlerinin analizi, olası bir kimlik avı etki alanı için bir istek algılandı. Bu tür etkinlikler, muhtemelen zararsız olsa da, saldırganlar tarafından uzak hizmetlere kimlik bilgilerini toplamak için sık sık gerçekleştirilir. Tipik ilgili saldırgan etkinliği, meşru hizmette kimlik bilgilerinin kötüye kullanılmasını içerebilir.

MITRE taktikleri: Sızdırma

Önem Derecesi: Bilgilendiren

Şüpheli algoritmik olarak oluşturulan etki alanıyla iletişim

(AzureDNS_DomainGenerationAlgorithm)

Açıklama: %{CompromisedEntity} kaynaklı DNS işlemlerinin analizinde etki alanı oluşturma algoritmasının olası kullanımı algılandı. Bu tür etkinlikler, muhtemelen zararsız olsa da, saldırganlar tarafından ağ izleme ve filtrelemeden kaçınma amacıyla sık sık gerçekleştirilir. Tipik bir saldırgan etkinliği, kötü amaçlı yazılımların veya uzaktan yönetim araçlarının indirilip yürütülmesini içerebilir.

MITRE taktikleri: Sızdırma

Önem Derecesi: Bilgilendiren

Tehdit bilgileri tarafından tanımlanan şüpheli etki alanıyla iletişim

(AzureDNS_ThreatIntelSuspectDomain)

MITRE taktikleri: İlk Erişim

Önem Derecesi: Orta

Şüpheli rastgele etki alanı adıyla iletişim

(AzureDNS_RandomizedDomain)

Açıklama: %{CompromisedEntity} kaynaklı DNS işlemlerinin analizinde, rastgele oluşturulan şüpheli bir etki alanı adının kullanımı algılandı. Bu tür etkinlikler, muhtemelen zararsız olsa da, saldırganlar tarafından ağ izleme ve filtrelemeden kaçınma amacıyla sık sık gerçekleştirilir. Tipik bir saldırgan etkinliği, kötü amaçlı yazılımların veya uzaktan yönetim araçlarının indirilip yürütülmesini içerebilir.

MITRE taktikleri: Sızdırma

Önem Derecesi: Bilgilendiren

Dijital para birimi madenciliği etkinliği

(AzureDNS_CurrencyMining)

Açıklama: %{CompromisedEntity} kaynaklı DNS işlemlerinin analizinde dijital para madenciliği etkinliği algılandı. Bu tür etkinlikler, büyük olasılıkla meşru bir kullanıcı davranışı olsa da, kaynakların güvenliğinin aşılmasından sonra saldırganlar tarafından sıklıkla gerçekleştirilir. Tipik ilgili saldırgan etkinliği, yaygın madencilik araçlarının indirilmesini ve yürütülmesini içerebilir.

MITRE taktikleri: Sızdırma

Önem Derecesi: Düşük

Ağ yetkisiz erişim algılama imzası etkinleştirme

(AzureDNS_SuspiciousDomain)

Açıklama: %{CompromisedEntity} kaynaklı DNS işlemlerinin analizinde bilinen bir kötü amaçlı ağ imzası algılandı. Bu tür etkinlikler, büyük olasılıkla meşru bir kullanıcı davranışı olsa da, genellikle kötü amaçlı yazılımların indirilmesinin veya yürütülmesinin bir göstergesidir. Tipik bir saldırgan etkinliği, kötü amaçlı yazılımların veya uzaktan yönetim araçlarının indirilmesini ve yürütülmesini içerebilir.

MITRE taktikleri: Sızdırma

Önem Derecesi: Orta

DNS tüneli aracılığıyla olası veri indirme

(AzureDNS_DataInfiltration)

Açıklama: %{CompromisedEntity} kaynaklı DNS işlemlerinin analizinde olası bir DNS tüneli algılandı. Bu tür etkinlikler, büyük olasılıkla meşru bir kullanıcı davranışı olsa da, saldırganlar tarafından ağ izleme ve filtrelemeden kaçınma amacıyla sık sık gerçekleştirilir. Tipik bir saldırgan etkinliği, kötü amaçlı yazılımların veya uzaktan yönetim araçlarının indirilip yürütülmesini içerebilir.

MITRE taktikleri: Sızdırma

Önem Derecesi: Düşük

DNS tüneli aracılığıyla olası veri sızdırma

(AzureDNS_DataExfiltration)

MITRE taktikleri: Sızdırma

Önem Derecesi: Düşük

DNS tüneli üzerinden olası veri aktarımı

(AzureDNS_DataObfuscation)

MITRE taktikleri: Sızdırma

Önem Derecesi: Düşük

Azure VM uzantıları için uyarılar

Bu uyarılar, Azure sanal makine uzantılarının şüpheli etkinliklerini algılamaya odaklanır ve saldırganların sanal makinelerinizde kötü amaçlı etkinlikleri tehlikeye atma ve gerçekleştirme girişimlerine ilişkin içgörüler sağlar.

Azure sanal makine uzantıları, sanal makinelerde dağıtım sonrası çalışan ve yapılandırma, otomasyon, izleme, güvenlik ve daha fazlası gibi özellikler sağlayan küçük uygulamalardır. Uzantılar güçlü bir araç olsa da tehdit aktörleri tarafından çeşitli kötü amaçlı amaçlar için kullanılabilir, örneğin:

Veri toplama ve izleme
Yüksek ayrıcalıklara sahip kod yürütme ve yapılandırma dağıtımı
Kimlik bilgilerini sıfırlama ve yönetici kullanıcıları oluşturma
Diskleri şifreleme

Azure VM uzantılarının kötüye kullanımına karşı Bulut için Defender en son korumalar hakkında daha fazla bilgi edinin.

Aboneliğinize GPU uzantısı yükleme şüpheli hatası (Önizleme)

(VM_GPUExtensionSuspiciousFailure)

Açıklama: Desteklenmeyen VM'lere GPU uzantısı yüklemenin şüpheli amacı. Bu uzantı grafik işlemci ile donatılmış sanal makinelere yüklenmelidir ve bu durumda sanal makineler böyle bir donanıma sahip değildir. Kötü niyetli saldırganlar şifreleme madenciliği amacıyla bu uzantının birden çok yüklemesini yürüttüğünde bu hatalar görülebilir.

MITRE taktikleri: Etki

Önem Derecesi: Orta

(VM_CustomScriptExtensionSuspiciousPayload)

Açıklama: Aboneliğinizdeki Azure Resource Manager işlemleri çözümlenerek sanal makinenizde şüpheli bir GitHub deposundan yükü olan özel betik uzantısı algılandı. Saldırganlar, Azure Resource Manager aracılığıyla sanal makinelerinizde kötü amaçlı kod yürütmek için özel betik uzantıları kullanabilir.

MITRE taktikleri: Yürütme

Önem Derecesi: Yüksek

Dosyasız Saldırı Araç Seti Algılandı

(AppServices_FilelessAttackToolkitDetection)

MITRE taktikleri: Savunma Kaçamak, Yürütme

Önem Derecesi: Yüksek

App Service için test uyarısı Bulut için Microsoft Defender (tehdit değil)

(AppServices_EICAR)

Açıklama: Bu, Bulut için Microsoft Defender tarafından oluşturulan bir test uyarısıdır. Başka bir şey yapmanız gerekmez. (Şunlar için geçerlidir: Windows'ta App Service ve Linux üzerinde App Service)

MITRE taktikleri: -

Önem Derecesi: Yüksek

NMap tarama algılandı

(AppServices_Nmap)

Açıklama: Azure Uygulaması Hizmet etkinlik günlüğü, App Service kaynağınızda olası bir web parmak izi etkinliğini gösterir. Algılanan şüpheli etkinlik NMAP ile ilişkilendirildi. Saldırganlar genellikle web uygulamasının güvenlik açıklarını bulması için bu aracı kullanır. (Şunlar için geçerlidir: Windows'ta App Service ve Linux üzerinde App Service)

MITRE taktikleri: PreAttack

Önem Derecesi: Bilgilendiren

Azure WebApps'te barındırılan kimlik avı içeriği

(AppServices_PhishingContent)

Açıklama: Azure Uygulaması Services web sitesinde bulunan kimlik avı saldırısı için kullanılan URL. Bu URL, Microsoft 365 müşterilerine gönderilen kimlik avı saldırısının bir parçasıydı. İçerik genellikle ziyaretçileri kurumsal kimlik bilgilerini veya finansal bilgilerini meşru görünen bir web sitesine girmeye yönlendirir. (Şunlar için geçerlidir: Windows'ta App Service ve Linux üzerinde App Service)

MITRE taktikleri: Koleksiyon

Önem Derecesi: Yüksek

Karşıya yükleme klasöründeki PHP dosyası

(AppServices_PhpInUploadFolder)

Açıklama: Azure Uygulaması Hizmet etkinlik günlüğü, karşıya yükleme klasöründe bulunan şüpheli bir PHP sayfasına erişimi gösterir. Bu klasör türü genellikle PHP dosyalarını içermez. Bu tür bir dosyanın varlığı, rastgele dosya yükleme güvenlik açıklarından yararlanan bir açıktan yararlanmaya işaret edebilir. (Şunlar için geçerlidir: Windows'ta App Service ve Linux üzerinde App Service)

MITRE taktikleri: Yürütme

Önem Derecesi: Orta

Olası Cryptocoinminer indirmesi algılandı

(AppServices_CryptoCoinMinerDownload)

Açıklama: Konak verilerinin analizi normalde dijital para birimi madenciliğiyle ilişkili bir dosyanın indirilmesini algılamıştır. (Şunlar için geçerlidir: Linux üzerinde App Service)

MITRE taktikleri: Savunma Kaçamak, Komuta ve Kontrol, Sömürü

Önem Derecesi: Orta

Olası veri sızdırma algılandı

(AppServices_DataEgressArtifacts)

Açıklama: Konak/cihaz verilerinin analizi olası bir veri çıkış koşulu algılandı. Saldırganlar genellikle ele geçirdikleri makinelerden veri çıkışı yaparlar. (Şunlar için geçerlidir: Linux üzerinde App Service)

MITRE taktikleri: Toplama, Sızdırma

Önem Derecesi: Orta

App Service kaynağı için olası sallanan DNS kaydı algılandı

(AppServices_PotentialDanglingDomain)

Açıklama: Yakın zamanda silinen bir App Service kaynağına işaret eden bir DNS kaydı ("sallanan DNS" girişi olarak da bilinir) algılandı. Bu sizi bir alt etki alanı devralma işlemine karşı savunmasız bırakabilir. Alt etki alanı ele geçirme işlemleri, kötü niyetli aktörlerin kuruluşun etki alanına yönelik trafiği kötü niyetli etkinlik gerçekleştiren bir siteye yönlendirmesine olanak tanır. Bu durumda, Etki Alanı Doğrulama Kimliği'ne sahip bir metin kaydı bulundu. Bu tür metin kayıtları alt etki alanının devralmasını engeller, ancak yine de sarkan etki alanını kaldırmanızı öneririz. ALT etki alanını işaret eden DNS kaydını bırakırsanız, kuruluşunuzdaki herhangi biri gelecekte TXT dosyasını veya kaydını silerse risk altında olursunuz. (Şunlar için geçerlidir: Windows'ta App Service ve Linux üzerinde App Service)

MITRE taktikleri: -

Önem Derecesi: Düşük

Olası ters kabuk algılandı

(AppServices_ReverseShell)

Açıklama: Konak verilerinin analizinde olası bir ters kabuk algılandı. Bunlar, güvenliği aşılmış bir makinenin bir saldırganın sahip olduğu bir makineye geri çağrıda bulunması için kullanılır. (Şunlar için geçerlidir: Linux üzerinde App Service)

MITRE taktikleri: Sızdırma, Sömürü

Önem Derecesi: Orta

Ham veri indirme algılandı

(AppServices_DownloadCodeFromWebsite)

Açıklama: App Service işlemlerinin analizi, Pastebin gibi ham veri web sitelerinden kod indirme girişimi algılandı. Bu eylem bir PHP işlemi tarafından çalıştırıldı. Bu davranış, Web kabuklarını veya diğer kötü amaçlı bileşenleri App Service'e indirme girişimleriyle ilişkilidir. (Şunlar için geçerlidir: Windows'ta App Service)

MITRE taktikleri: Yürütme

Önem Derecesi: Orta

Curl çıkışını diske kaydetme algılandı

(AppServices_CurlToDisk)

Açıklama: App Service işlemlerinin analizi, çıkışın diske kaydedildiği curl komutunun çalıştırıldığını algılandı. Bu davranış meşru olsa da, web uygulamalarında bu davranış web sitelerine web kabukları bulaştırma girişimi gibi kötü amaçlı etkinliklerde de gözlenir. (Şunlar için geçerlidir: Windows'ta App Service)

MITRE taktikleri: -

Önem Derecesi: Düşük

İstenmeyen posta klasörüne başvuran algılandı

(AppServices_SpamReferrer)

Açıklama: Azure Uygulaması Hizmet etkinlik günlüğü, istenmeyen posta etkinliğiyle ilişkili bir web sitesinden kaynaklandığı belirlenen web etkinliğini gösterir. Web sitenizin gizliliği ihlal edilirse ve istenmeyen posta etkinliği için kullanılırsa bu durum oluşabilir. (Şunlar için geçerlidir: Windows'ta App Service ve Linux üzerinde App Service)

MITRE taktikleri: -

Önem Derecesi: Düşük

Güvenlik açığı olabilecek web sayfasına şüpheli erişim algılandı

(AppServices_ScanSensitivePage)

Açıklama: Azure Uygulaması Hizmet etkinlik günlüğü, hassas görünen bir web sayfasına erişildiğini gösterir. Bu şüpheli etkinlik, erişim deseni web tarayıcısına benzeyen bir kaynak IP adresinden kaynaklandı. Bu etkinlik genellikle bir saldırganın hassas veya savunmasız web sayfalarına erişim elde etmek için ağınızı tarama girişimiyle ilişkilendirilir. (Şunlar için geçerlidir: Windows'ta App Service ve Linux üzerinde App Service)

MITRE taktikleri: -

Önem Derecesi: Düşük

Şüpheli etki alanı adı başvurusu

(AppServices_CommandlineSuspectDomain)

Açıklama: Şüpheli etki alanı adına başvuru algılanan konak verilerinin analizi. Bu tür etkinlikler, büyük olasılıkla meşru bir kullanıcı davranışı olsa da, genellikle kötü amaçlı yazılımların indirilmesinin veya yürütülmesinin bir göstergesidir. Tipik bir saldırgan etkinliği, kötü amaçlı yazılımların veya uzaktan yönetim araçlarının indirilmesini ve yürütülmesini içerebilir. (Şunlar için geçerlidir: Linux üzerinde App Service)

MITRE taktikleri: Sızdırma

Önem Derecesi: Düşük

Certutil kullanılarak şüpheli indirme algılandı

(AppServices_DownloadUsingCertutil)

Açıklama: {NAME} üzerindeki konak verilerinin analizi, yerleşik bir yönetici yardımcı programı olan certutil.exe'nin, sertifikaları ve sertifika verilerini düzenlemeyle ilgili temel amacı yerine ikili dosya indirilmesi için kullanıldığını algılamıştır. Saldırganların kötü amaçlı eylemler gerçekleştirmek için meşru yönetici araçlarının işlevselliğini kötüye kullandığı bilinmektedir. Örneğin, daha sonra yürütülecek kötü amaçlı yürütülebilir dosyaları indirmek ve kodunu çözmek için certutil.exe kullanma. (Şunlar için geçerlidir: Windows'ta App Service)

MITRE taktikleri: Yürütme

Önem Derecesi: Orta

Şüpheli PHP yürütmesi algılandı

(AppServices_SuspectPhp)

Açıklama: Makine günlükleri şüpheli bir PHP işleminin çalıştığını gösterir. Eylem, PHP işlemini kullanarak komut satırından işletim sistemi komutlarını veya PHP kodunu çalıştırma girişimini içeriyor. Bu davranış yasal olsa da, web uygulamalarında bu davranış web sitelerine web kabukları bulaştırma girişimleri gibi kötü amaçlı etkinlikleri gösterebilir. (Şunlar için geçerlidir: Windows'ta App Service ve Linux üzerinde App Service)

MITRE taktikleri: Yürütme

Önem Derecesi: Orta

Yürütülen şüpheli PowerShell cmdlet'leri

(AppServices_PowerShellPowerSploitScriptExecution)

Açıklama: Konak verilerinin analizi, bilinen kötü amaçlı PowerShell PowerSploit cmdlet'lerinin yürütülmesini gösterir. (Şunlar için geçerlidir: Windows'ta App Service)

MITRE taktikleri: Yürütme

Önem Derecesi: Orta

Şüpheli işlem yürütüldü

(AppServices_KnownCredential AccessTools)

Açıklama: Makine günlükleri, şüpheli işlemin makinede çalıştığını ve genellikle saldırganın kimlik bilgilerine erişme girişimleriyle ilişkili olduğunu gösteriyor. (Şunlar için geçerlidir: Windows'ta App Service)

MITRE taktikleri: Kimlik Bilgisi Erişimi

Önem Derecesi: Yüksek

Şüpheli işlem adı algılandı

(AppServices_ProcessWithKnownSuspiciousExtension)

Açıklama: {NAME} üzerindeki konak verilerinin analizinde adı şüpheli olan bir işlem algılandı, örneğin bilinen bir saldırgan aracına karşılık geliyor veya düz görüşte gizlenmeye çalışan saldırgan araçlarını önerecek şekilde adlandırılıyor. Bu işlem yasal bir etkinlik veya makinelerinizden birinin gizliliğinin ihlal edildiğinin göstergesi olabilir. (Şunlar için geçerlidir: Windows'ta App Service)

MITRE taktikleri: Kalıcılık, Savunma Kaçamak

Önem Derecesi: Orta

Şüpheli SVCHOST işlemi yürütüldü

(AppServices_SVCHostFromInvalidPath)

Açıklama: Sistem işlemi SVCHOST'un anormal bir bağlamda çalıştığı gözlemlendi. Kötü amaçlı yazılım genellikle kötü amaçlı etkinliğini maskelerken SVCHOST kullanır. (Şunlar için geçerlidir: Windows'ta App Service)

MITRE taktikleri: Savunma Kaçamak, Yürütme

Önem Derecesi: Yüksek

Şüpheli Kullanıcı Aracısı algılandı

(AppServices_UserAgentInjection)

Açıklama: Azure Uygulaması Hizmet etkinlik günlüğü, şüpheli kullanıcı aracısı ile istekleri gösterir. Bu davranış, App Service uygulamanızdaki bir güvenlik açığından yararlanma girişimlerini gösterebilir. (Şunlar için geçerlidir: Windows'ta App Service ve Linux üzerinde App Service)

MITRE taktikleri: İlk Erişim

Önem Derecesi: Bilgilendiren

Şüpheli WordPress tema çağrısı algılandı

(AppServices_WpThemeInjection)

Açıklama: Azure Uygulaması Hizmet etkinlik günlüğü, App Service kaynağınızda olası bir kod ekleme etkinliğini gösterir. Algılanan şüpheli etkinlik, WordPress temasının kod için sunucu tarafı yürütmesini desteklemek için yapılan işleme ve ardından yönlendirilen tema dosyasını çağırmak için doğrudan bir web isteğine benzer. Bu tür etkinlikler geçmişte WordPress üzerinden yapılan bir saldırı kampanyasının bir parçası olarak görülmüştür. App Service kaynağınız bir WordPress sitesi barındırmıyorsa, bu özel kod ekleme açıklarına karşı savunmasız değildir ve kaynak için bu uyarıyı güvenle gizleyebilirsiniz. Güvenlik uyarılarını gizlemeyi öğrenmek için bkz. Bulut için Microsoft Defender gelen uyarıları gizleme. (Şunlar için geçerlidir: Windows'ta App Service ve Linux üzerinde App Service)

MITRE taktikleri: Yürütme

Önem Derecesi: Yüksek

Güvenlik açığı tarayıcısı algılandı

(AppServices_DrupalScanner)

Açıklama: Azure Uygulaması Hizmet etkinlik günlüğü, App Service kaynağınızda olası bir güvenlik açığı tarayıcısının kullanıldığını gösterir. Algılanan şüpheli etkinlik, bir içerik yönetim sistemini (CMS) hedefleyen araçlara benzer. App Service kaynağınız bir Drupal sitesi barındırmıyorsa, bu özel kod ekleme açıklarına karşı savunmasız değildir ve bu uyarıyı kaynak için güvenle gizleyebilirsiniz. Güvenlik uyarılarını gizlemeyi öğrenmek için bkz. Bulut için Microsoft Defender gelen uyarıları gizleme. (Şunlar için geçerlidir: Windows'ta App Service)

MITRE taktikleri: PreAttack

Önem Derecesi: Düşük

Güvenlik açığı tarayıcısı algılandı

(AppServices_JoomlaScanner)

Açıklama: Azure Uygulaması Hizmet etkinlik günlüğü, App Service kaynağınızda olası bir güvenlik açığı tarayıcısının kullanıldığını gösterir. Algılanan şüpheli etkinlik Joomla uygulamalarını hedefleyen araçlara benzer. App Service kaynağınız joomla sitesi barındırmıyorsa, bu kod ekleme açıklarına karşı savunmasız değildir ve kaynak için bu uyarıyı güvenle gizleyebilirsiniz. Güvenlik uyarılarını gizlemeyi öğrenmek için bkz. Bulut için Microsoft Defender gelen uyarıları gizleme. (Şunlar için geçerlidir: Windows'ta App Service ve Linux üzerinde App Service)

MITRE taktikleri: PreAttack

Önem Derecesi: Düşük

Güvenlik açığı tarayıcısı algılandı

(AppServices_WpScanner)

Açıklama: Azure Uygulaması Hizmet etkinlik günlüğü, App Service kaynağınızda olası bir güvenlik açığı tarayıcısının kullanıldığını gösterir. Algılanan şüpheli etkinlik, WordPress uygulamalarını hedefleyen araçlara benzer. App Service kaynağınız bir WordPress sitesi barındırmıyorsa, bu özel kod ekleme açıklarına karşı savunmasız değildir ve kaynak için bu uyarıyı güvenle gizleyebilirsiniz. Güvenlik uyarılarını gizlemeyi öğrenmek için bkz. Bulut için Microsoft Defender gelen uyarıları gizleme. (Şunlar için geçerlidir: Windows'ta App Service ve Linux üzerinde App Service)

MITRE taktikleri: PreAttack

Önem Derecesi: Düşük

Web parmak izi algılandı

(AppServices_WebFingerprinting)

Açıklama: Azure Uygulaması Hizmet etkinlik günlüğü, App Service kaynağınızda olası bir web parmak izi etkinliğini gösterir. Algılanan şüpheli etkinlik, Blind Elephant adlı bir araçla ilişkilidir. Araç parmak izi web sunucuları ve yüklü uygulamaları ve sürümü algılamaya çalışır. Saldırganlar genellikle web uygulamasının güvenlik açıklarını bulması için bu aracı kullanır. (Şunlar için geçerlidir: Windows'ta App Service ve Linux üzerinde App Service)

MITRE taktikleri: PreAttack

Önem Derecesi: Orta

Web sitesi tehdit bilgileri akışında kötü amaçlı olarak etiketlendi

(AppServices_SmartScreen)

Açıklama: Aşağıda açıklandığı gibi web siteniz Windows SmartScreen tarafından kötü amaçlı bir site olarak işaretlenir. Bunun hatalı bir pozitif olduğunu düşünüyorsanız, sağlanan rapor geri bildirimi bağlantısı aracılığıyla Windows SmartScreen ile iletişime geçin. (Şunlar için geçerlidir: Windows'ta App Service ve Linux üzerinde App Service)

MITRE taktikleri: Koleksiyon

(K8S. NODE_SuspectUserAddition) ¹

Açıklama: Kapsayıcı içinde veya doğrudan kubernetes düğümünde çalışan işlemlerin analizi, useradd komutunun şüpheli bir kullanımını algılamıştır.

MITRE taktikleri: Kalıcılık

Önem Derecesi: Orta

Dijital para birimi madenciliği kapsayıcısı algılandı

(K8S_MaliciousContainerImage) ³

Açıklama: Kubernetes denetim günlüğü analizi, dijital para birimi madenciliği aracıyla ilişkilendirilmiş bir görüntüye sahip bir kapsayıcı algılamıştır.

MITRE taktikleri: Yürütme

Önem Derecesi: Yüksek

Açıklama: Kapsayıcı içinde veya doğrudan Kubernetes düğümünde çalışan işlemlerin analizi şüpheli bir işlem algılamıştır. Bu genellikle diğer makinelere saldırmak için kötü amaçlı olarak kullanılabilecek MITRE 54ndc47 aracısı ile ilişkilendirilir.

MITRE taktikleri: Kalıcılık, PrivilegeEscalation, DefenseEvasion, CredentialAccess, Discovery, LateralMovement, Execution, Collection, Exfiltration, Command And Control, Probing, Exploitation

Önem Derecesi: Orta

¹: AKS olmayan kümeler için önizleme: Bu uyarı AKS kümeleri için genel olarak kullanılabilir, ancak Azure Arc, EKS ve GKE gibi diğer ortamlar için önizleme aşamasındadır.

²: GKE kümelerindeki sınırlamalar: GKE, tüm uyarı türlerini desteklemeyen bir Kubernetes denetim ilkesi kullanır. Sonuç olarak, Kubernetes denetim olaylarını temel alan bu güvenlik uyarısı GKE kümeleri için desteklenmez.

³: Bu uyarı Windows düğümlerinde/kapsayıcılarında desteklenir.

SQL Veritabanı ve Azure Synapse Analytics için uyarılar

Diğer ayrıntılar ve notlar

SQL Ekleme için olası bir güvenlik açığı

(SQL. SQL'i DB_VulnerabilityToSqlInjection. SQL VM_VulnerabilityToSqlInjection SQL.MI_VulnerabilityToSqlInjection. DW_VulnerabilityToSqlInjection Synapse.SQLPool_VulnerabilityToSqlInjection)

Açıklama: Bir uygulama veritabanında hatalı bir SQL deyimi oluşturdu. Bu, SQL ekleme saldırılarına karşı olası bir güvenlik açığını gösterebilir. Hatalı bir deyimin iki olası nedeni vardır. Uygulama kodundaki bir hata hatalı SQL deyimini oluşturmuydu. Öte yandan uygulama kodu veya saklı yordamlar, HATALı SQL deyimini oluştururken kullanıcı girişini temizlemedi. Bu, SQL ekleme için kötüye kullanılabilir.

MITRE taktikleri: PreAttack

Önem Derecesi: Orta

Zararlı olabilecek bir uygulama tarafından oturum açmaya çalışıldı

(SQL. SQL DB_HarmfulApplication. SQL VM_HarmfulApplication SQL.MI_HarmfulApplication. DW_HarmfulApplication Synapse.SQLPool_HarmfulApplication)

Açıklama: Zararlı olabilecek bir uygulama kaynağınıza erişmeye çalıştı.

MITRE taktikleri: PreAttack

Önem Derecesi: Yüksek

Olağan dışı bir Azure Veri Merkezi'nden oturum açma

(SQL. SQL DB_DataCenterAnomaly. SQL VM_DataCenterAnomaly. DW_DataCenterAnomaly SQL.MI_DataCenterAnomaly Synapse.SQLPool_DataCenterAnomaly)

Açıklama: Sql Server'a erişim düzeninde bir değişiklik yapılmıştır ve burada birisi olağan dışı bir Azure Veri Merkezi'nden sunucuda oturum açmıştır. Bazı durumlarda, uyarı geçerli bir eylem (yeni bir uygulama veya Azure hizmeti) algılar. Diğer durumlarda, uyarı kötü amaçlı bir eylem (Azure'da ihlal edilen kaynaktan çalışan saldırgan) algılar.

MITRE taktikleri: Yoklama

Önem Derecesi: Düşük

Olağan dışı bir konumdan oturum açma

(SQL. SQL DB_GeoAnomaly. SQL'i VM_GeoAnomaly. DW_GeoAnomaly SQL.MI_GeoAnomaly Synapse.SQLPool_GeoAnomaly)

Açıklama: SQL Server'a erişim düzeninde bir değişiklik yapıldı ve burada birisi olağandışı bir coğrafi konumdan sunucuda oturum açtı. Bazı durumlarda uyarı güvenli işlemleri (yeni bir uygulama veya geliştirici bakımı gibi) de algılar. Diğer durumlarda, uyarı kötü amaçlı bir eylem (eski bir çalışan veya dış saldırgan) algılar.

MITRE taktikleri: Exploitation

Önem Derecesi: Orta

(SQL. SQL DB_PrincipalAnomaly. SQL VM_PrincipalAnomaly. DW_PrincipalAnomaly SQL.MI_PrincipalAnomaly Synapse.SQLPool_PrincipalAnomaly)

Açıklama: Son 60 gün içinde görünmeyen bir asıl kullanıcı veritabanınızda oturum açtı. Bu veritabanı yeniyse veya veritabanına erişen kullanıcılarda yapılan son değişikliklerden kaynaklanan beklenen davranış Bulut için Defender, erişim desenlerinde önemli değişiklikleri belirler ve gelecekteki hatalı pozitif sonuçları önlemeye çalışır.

MITRE taktikleri: Exploitation

Önem Derecesi: Orta

(SQL. SQL'i DB_DomainAnomaly. SQL'VM_DomainAnomaly. DW_DomainAnomaly SQL.MI_DomainAnomaly Synapse.SQLPool_DomainAnomaly)

Açıklama: Bir kullanıcı, son 60 gün içinde başka hiçbir kullanıcının bağlanmadığı bir etki alanından kaynağınızda oturum açtı. Bu kaynak yeniyse veya kaynağa erişen kullanıcılarda yapılan son değişikliklerden kaynaklanan beklenen davranış Bulut için Defender erişim desenlerinde önemli değişiklikleri belirler ve gelecekteki hatalı pozitif sonuçları önlemeye çalışır.

MITRE taktikleri: Exploitation

Önem Derecesi: Orta

(SQL. VM_PotentialSqlInjection)

Açıklama: Birisi SQL sorgusundaki komutu gizlerken işletim sistemiyle iletişim kuran SQL Server katmanını kullanan yeni bir yük başlattı. Saldırganlar genellikle xp_cmdshell, sp_add_job ve diğerleri gibi popüler olarak izlenen etkili komutları gizler. Karartma teknikleri, regex algılamasını önlemek ve günlüklerin okunabilirliğini bozmak için dize birleştirme, atama, temel değiştirme ve diğerleri gibi meşru komutları kötüye kullanır.

(SQL. SQL PostgreSQL_HarmfulApplication. SQL MariaDB_HarmfulApplication. MySQL_HarmfulApplication)

Açıklama: Zararlı olabilecek bir uygulama kaynağınıza erişmeye çalıştı.

MITRE taktikleri: PreAttack

Önem Derecesi: Yüksek

(SQL. SQL PostgreSQL_PrincipalAnomaly. SQL MariaDB_PrincipalAnomaly. MySQL_PrincipalAnomaly)

MITRE taktikleri: Exploitation

Önem Derecesi: Orta

(SQL. SQL MariaDB_DomainAnomaly. SQL'i PostgreSQL_DomainAnomaly. MySQL_DomainAnomaly)

MITRE taktikleri: Exploitation

Önem Derecesi: Orta

Olağan dışı bir Azure Veri Merkezi'nden oturum açma

(SQL. SQL'PostgreSQL_DataCenterAnomaly. SQL'i MariaDB_DataCenterAnomaly. MySQL_DataCenterAnomaly)

(ARM_OperationFromSuspiciousProxyIP)

Açıklama: Resource Manager için Microsoft Defender, TOR gibi ara sunucu hizmetleriyle ilişkili bir IP adresinden bir kaynak yönetimi işlemi algılamıştı. Bu davranış meşru olsa da, tehdit aktörleri kaynak IP'lerini gizlemeye çalıştığında genellikle kötü amaçlı etkinliklerde görülür.

MITRE taktikleri: Savunma Kaçamak

Önem Derecesi: Orta

Aboneliklerinizdeki kaynakları listelemek için kullanılan MicroBurst yararlanma araç seti

(ARM_MicroBurst.AzDomainInfo)

Açıklama: Aboneliğinizde bir PowerShell betiği çalıştırıldı ve kaynakları, izinleri ve ağ yapılarını bulmak için bilgi toplama işlemlerini yürütmek için şüpheli bir desen gerçekleştirdiniz. Tehdit aktörleri, kötü amaçlı etkinliklerle ilgili bilgi toplamak için MicroBurst gibi otomatik betikler kullanır. Bu, aboneliğinizdeki Azure Resource Manager işlemleri çözümlenerek algılandı. Bu işlem, kuruluşunuzdaki bir kimliğin ihlal edildiğine ve tehdit aktörünün kötü amaçlı amaçlar için ortamınızı tehlikeye atmaya çalıştığına işaret edebilir.

MITRE taktikleri: -

Önem Derecesi: Düşük

(Depolama. Blob_SuspiciousApp)

Açıklama: Şüpheli bir uygulamanın kimlik doğrulamasıyla bir depolama hesabının kapsayıcıya başarıyla erişildiğini gösterir. Bu, bir saldırganın hesaba erişmek için gerekli kimlik bilgilerini edindiğini ve bu kimlik bilgilerinden yararlandığını gösterebilir. Bu, kuruluşunuzda gerçekleştirilen sızma testinin bir göstergesi de olabilir. Şunlar için geçerlidir: Azure Blob Depolama, Azure Data Lake Storage 2. Nesil

MITRE taktikleri: İlk Erişim

Önem Derecesi: Yüksek/Orta

Şüpheli bir IP adresinden erişim

(Depolama. Blob_SuspiciousIp Depolama. Files_SuspiciousIp)

Açıklama: Bu depolama hesabına şüpheli olarak kabul edilen bir IP adresinden başarıyla erişildiğini gösterir. Bu uyarı Microsoft Threat Intelligence tarafından desteklenir. Microsoft'un tehdit bilgileri özellikleri hakkında daha fazla bilgi edinin. Şunlar için geçerlidir: Azure Blob Depolama, Azure Dosyalar, Azure Data Lake Storage 2. Nesil

MITRE taktikleri: Saldırı Öncesi

Önem Derecesi: Yüksek/Orta/Düşük

Depolama hesabında barındırılan kimlik avı içeriği

(Depolama. Blob_PhishingContent Depolama. Files_PhishingContent)

Açıklama: Kimlik avı saldırısında kullanılan bir URL, Azure Depolama hesabınızı işaret ediyor. Bu URL, Microsoft 365 kullanıcılarını etkileyen kimlik avı saldırısının bir parçasıydı. Genellikle, bu tür sayfalarda barındırılan içerik, ziyaretçileri kurumsal kimlik bilgilerini veya finansal bilgilerini yasal görünen bir web formuna girmeleri için kandırmak için tasarlanmıştır. Bu uyarı Microsoft Threat Intelligence tarafından desteklenir. Microsoft'un tehdit bilgileri özellikleri hakkında daha fazla bilgi edinin. Şunlar için geçerlidir: Azure Blob Depolama, Azure Dosyalar

MITRE taktikleri: Koleksiyon

Önem Derecesi: Yüksek

Kötü amaçlı yazılım dağıtımı için kaynak olarak tanımlanan Depolama hesabı

(Depolama. Files_WidespreadeAm)

Açıklama: Kötü amaçlı yazılımdan koruma uyarıları, virüs bulaşmış bir dosyanın birden çok VM'ye bağlı bir Azure dosya paylaşımında depolandığını gösterir. Saldırganlar bağlı bir Azure dosya paylaşımına sahip bir VM'ye erişim elde ederse, aynı paylaşımı takan diğer VM'lere kötü amaçlı yazılım yaymak için bu sanal makineyi kullanabilir. Şunlar için geçerlidir: Azure Dosyalar

MITRE taktikleri: Yürütme

Önem Derecesi: Orta

Hassas olabilecek bir depolama blob kapsayıcısının erişim düzeyi, kimliği doğrulanmamış genel erişime izin verecek şekilde değiştirildi

(Depolama. Blob_OpenACL)

Açıklama: Uyarı, birisinin kimliği doğrulanmamış (anonim) genel erişime izin vermek için depolama hesabındaki hassas veriler içerebilen blob kapsayıcısının erişim düzeyini 'Kapsayıcı' düzeyine değiştirdiğini gösterir. Değişiklik Azure portalı üzerinden yapıldı. İstatistiksel analize bağlı olarak, blob kapsayıcısı hassas veriler içeriyor gibi işaretlenir. Bu analiz, blob kapsayıcılarının veya benzer adlara sahip depolama hesaplarının genel erişime açık olmadığını önerir. Şunlar için geçerlidir: Azure Blob (Standart genel amaçlı v2, Azure Data Lake Storage 2. Nesil veya premium blok blobları) depolama hesapları.

MITRE taktikleri: Koleksiyon

Önem Derecesi: Orta

Tor çıkış düğümünden kimliği doğrulanmış erişim

(Depolama. Blob_TorAnomaly Depolama. Files_TorAnomaly)

Açıklama: Depolama hesabınızdaki bir veya daha fazla depolama kapsayıcısına/dosya paylaşımına, Tor'un etkin çıkış düğümü (anonimleşen bir ara sunucu) olduğu bilinen bir IP adresinden başarıyla erişildi. Tehdit aktörleri, etkinliğin onlara geri dönmesini zorlaştırmak için Tor kullanır. Bir Tor çıkış düğümünden kimliği doğrulanmış erişim, tehdit aktörlerinin kimliğini gizlemeye çalıştığının büyük olasılıkla bir göstergesidir. Şunlar için geçerlidir: Azure Blob Depolama, Azure Dosyalar, Azure Data Lake Storage 2. Nesil

MITRE taktikleri: İlk Erişim / Saldırı Öncesi

Önem Derecesi: Yüksek/Orta

Olağan dışı bir konumdan depolama hesabına erişim

(Depolama. Blob_GeoAnomaly Depolama. Files_GeoAnomaly)

Açıklama: Azure Depolama hesabına erişim düzeninde bir değişiklik olduğunu gösterir. Son etkinliklerle karşılaştırıldığında, birisi bu hesaba yabancı olarak kabul edilen bir IP adresinden erişmiştir. Bir saldırgan hesaba erişim elde etti veya meşru bir kullanıcı yeni veya olağan dışı bir coğrafi konumdan bağlandı. İkincisine örnek olarak yeni bir uygulama veya geliştiricinin uzaktan bakımı örnek olarak verilmiştir. Şunlar için geçerlidir: Azure Blob Depolama, Azure Dosyalar, Azure Data Lake Storage 2. Nesil

MITRE taktikleri: İlk Erişim

Önem Derecesi: Yüksek/Orta/Düşük

Depolama kapsayıcısına olağan dışı kimliği doğrulanmamış erişim

(Depolama. Blob_AnonymousAccessAnomaly)

Açıklama: Bu depolama hesabına kimlik doğrulaması olmadan erişildi. Bu, ortak erişim düzeninde bir değişikliktir. Bu kapsayıcıya okuma erişimi genellikle kimliği doğrulanır. Bu durum, bir tehdit aktörünün bu depolama hesaplarındaki depolama kapsayıcılarına genel okuma erişimi kullanma olanağına sahip olduğunu gösterebilir. Şunlar için geçerlidir: Azure Blob Depolama

MITRE taktikleri: İlk Erişim

Önem Derecesi: Yüksek/Düşük

Depolama hesabına yüklenmiş olası kötü amaçlı yazılım

(Depolama. Blob_MalwareHashReputation Depolama. Files_MalwareHashReputation)

Açıklama: Olası kötü amaçlı yazılım içeren bir blob'un bir blob kapsayıcısına veya depolama hesabındaki bir dosya paylaşımına yüklendiğini gösterir. Bu uyarı, virüsler, truva atları, casus yazılımlar ve fidye yazılımlarına yönelik karmalar içeren Microsoft tehdit zekasının gücünden yararlanan karma saygınlık analizini temel alır. Olası nedenler arasında saldırgan tarafından kasıtlı bir kötü amaçlı yazılım yüklemesi veya meşru bir kullanıcı tarafından yanlışlıkla kötü amaçlı olabilecek bir blobun karşıya yüklenmesi yer alabilir. Şunlar için geçerlidir: Azure Blob Depolama, Azure Dosyalar (Yalnızca REST API üzerinden yapılan işlemler için) Microsoft'un tehdit bilgileri özellikleri hakkında daha fazla bilgi edinin.

MITRE taktikleri: Yanal Hareket

Önem Derecesi: Yüksek

Genel olarak erişilebilir depolama kapsayıcıları başarıyla bulundu

(Depolama. Blob_OpenContainersScanning.SuccessfulDiscovery)

Açıklama: Son bir saat içinde bir tarama betiği veya aracı tarafından depolama hesabınızda genel olarak açık depolama kapsayıcılarının başarılı bir şekilde bulunması.

Bu genellikle tehdit aktörünün, içinde hassas veriler bulunan yanlış yapılandırılmış açık depolama kapsayıcıları bulma umuduyla kapsayıcı adlarını tahmin ederek blobları listelemeye çalıştığı bir keşif saldırısını gösterir.

Tehdit aktörü kendi betiğini kullanabilir veya genel olarak açık kapsayıcıları taramak için Microburst gibi bilinen tarama araçlarını kullanabilir.

✔ ✖ Azure Blob Depolama Azure Dosyalar ✖ Azure Data Lake Storage 2. Nesil

MITRE taktikleri: Koleksiyon

Önem Derecesi: Yüksek/Orta

Genel olarak erişilebilen depolama kapsayıcıları başarısız bir şekilde tarandı

(Depolama. Blob_OpenContainersScanning.FailedAttempt)

Açıklama: Son bir saat içinde genel olarak açık depolama kapsayıcılarını taramaya yönelik bir dizi başarısız deneme gerçekleştirildi.

Açıklama: Uyarı, depolama hesabından kötü amaçlı bir blob indirildiğini gösterir. Olası nedenler arasında depolama hesabına yüklenen ve kaldırılmayan veya karantinaya alınmayan kötü amaçlı yazılımlar, böylece bir tehdit aktörünün indirmesine veya kötü amaçlı yazılımların meşru kullanıcılar veya uygulamalar tarafından yanlışlıkla indirilmesine olanak sağlanabilir. Şunlar için geçerlidir: Kötü Amaçlı Yazılım Tarama özelliğinin etkinleştirildiği yeni Depolama için Defender planına sahip Azure Blob (Standart genel amaçlı v2, Azure Data Lake Storage 2. Nesil veya premium blok blobları) depolama hesapları.

MITRE taktikleri: Yanal Hareket

Önem derecesi: Yüksek, eğer Eicar ise - düşük

Azure Cosmos DB uyarıları

Diğer ayrıntılar ve notlar

Tor çıkış düğümünden erişim

(CosmosDB_TorAnomaly)

Açıklama: Bu Azure Cosmos DB hesabına, anonimleşen bir ara sunucu olan Tor'un etkin çıkış düğümü olduğu bilinen bir IP adresinden başarıyla erişildi. Bir Tor çıkış düğümünden kimliği doğrulanmış erişim, tehdit aktörlerinin kimliğini gizlemeye çalıştığının büyük olasılıkla bir göstergesidir.

MITRE taktikleri: İlk Erişim

Önem Derecesi: Yüksek/Orta

Şüpheli IP'den erişim

(CosmosDB_SuspiciousIp)

Açıklama: Bu Azure Cosmos DB hesabına, Microsoft Threat Intelligence tarafından tehdit olarak tanımlanan bir IP adresinden başarıyla erişildi.

MITRE taktikleri: İlk Erişim

Önem Derecesi: Orta

Olağan dışı bir konumdan erişim

(CosmosDB_GeoAnomaly)

Açıklama: Bu Azure Cosmos DB hesabına, alışılmış erişim deseni temelinde, tanınmadığı kabul edilen bir konumdan erişildi.

Bir tehdit aktörü hesaba erişim elde etti veya meşru bir kullanıcı yeni veya olağan dışı bir coğrafi konumdan bağlandı

MITRE taktikleri: İlk Erişim

Önem Derecesi: Düşük

Ayıklanan olağan dışı veri hacmi

(CosmosDB_DataExfiltrationAnomaly)

Açıklama: Bu Azure Cosmos DB hesabından olağan dışı derecede büyük miktarda veri ayıklandı. Bu, bir tehdit aktörün verileri dışarı aktardığını gösterebilir.

MITRE taktikleri: Sızdırma

Önem Derecesi: Orta

Kötü amaçlı olabilecek bir betik aracılığıyla Azure Cosmos DB hesap anahtarlarını ayıklama

(CosmosDB_SuspiciousListKeys.MaliciousScript)

Açıklama: Aboneliğinizde bir PowerShell betiği çalıştırıldı ve aboneliğinizdeki Azure Cosmos DB hesaplarının anahtarlarını almak için şüpheli bir anahtar listeleme işlemi düzeni gerçekleştirdi. Tehdit aktörleri, anahtarları listelemek ve erişebilecekleri Azure Cosmos DB hesaplarını bulmak için Mikro patlama gibi otomatik betikleri kullanır.

Bu işlem kuruluşunuzdaki bir kimliğin ihlal edildiğine ve tehdit aktörünün kötü amaçlı amaçlar için ortamınızdaki Azure Cosmos DB hesaplarının güvenliğini aşmaya çalıştığına işaret edebilir.

Alternatif olarak, kötü niyetli bir insider hassas verilere erişmeye ve yanal hareket gerçekleştirmeye çalışıyor olabilir.

MITRE taktikleri: Koleksiyon

Önem Derecesi: Orta

Azure Cosmos DB hesap anahtarlarının (AzureCosmosDB_SuspiciousListKeys.SuspiciousPrincipal) şüpheli ayıklaması

Açıklama: Şüpheli bir kaynak, aboneliğinizden Azure Cosmos DB hesabı erişim anahtarlarını ayıkladı. Bu kaynak geçerli bir kaynak değilse, bu yüksek etkiye sahip bir sorun olabilir. Ayıklanan erişim anahtarı, ilişkili veritabanları ve içinde depolanan veriler üzerinde tam denetim sağlar. Kaynağın neden şüpheli olarak işaretlendiği hakkında bilgi edinmek için her uyarının ayrıntılarına bakın.

MITRE taktikleri: Kimlik Bilgisi Erişimi

Önem derecesi: yüksek

SQL ekleme: olası veri sızdırma

(CosmosDB_SqlInjection.DataExfiltrasyon)

Açıklama: Bu Azure Cosmos DB hesabındaki bir kapsayıcıyı sorgulamak için şüpheli bir SQL deyimi kullanıldı.

Eklenen deyim, tehdit aktörün erişim yetkisi olmayan verileri dışarı aktarmayı başarmış olabilir.

Azure Cosmos DB sorgularının yapısı ve özellikleri nedeniyle, Azure Cosmos DB hesaplarında bilinen birçok SQL ekleme saldırısı çalışamaz. Ancak, bu saldırıda kullanılan varyasyon işe yarayabilir ve tehdit aktörleri verileri dışarı alabilir.

MITRE taktikleri: Sızdırma

Önem Derecesi: Orta

SQL ekleme: fuzzing denemesi

(CosmosDB_SqlInjection.FailedFuzzingAttempt)

Açıklama: Bu Azure Cosmos DB hesabındaki bir kapsayıcıyı sorgulamak için şüpheli bir SQL deyimi kullanıldı.

Diğer iyi bilinen SQL ekleme saldırılarında olduğu gibi bu saldırı da Azure Cosmos DB hesabının güvenliğini tehlikeye atarak başarılı olmayacaktır.

Bununla birlikte, bir tehdit aktörün bu hesaptaki kaynaklara saldırmaya çalıştığının ve uygulamanızın gizliliğinin tehlikeye girmiş olabileceğinin bir göstergesidir.

Bazı SQL ekleme saldırıları başarılı olabilir ve verileri dışarı sızdırmak için kullanılabilir. Başka bir deyişle, saldırgan SQL ekleme denemelerini gerçekleştirmeye devam ederse Azure Cosmos DB hesabınızın güvenliğini tehlikeye atabilir ve verileri dışarı aktarabilir.

Parametreli sorgular kullanarak bu tehdidi önleyebilirsiniz.

Önem Derecesi: Orta

Azure DDoS Koruması uyarıları

Diğer ayrıntılar ve notlar

Genel IP için DDoS Saldırısı algılandı

(NETWORK_DDOS_DETECTED)

Açıklama: Genel IP (IP adresi) için DDoS Saldırısı algılandı ve azaltılıyor.

MITRE taktikleri: Yoklama

Önem Derecesi: Yüksek

Genel IP için DDoS Saldırısı azaltıldı

(NETWORK_DDOS_MITIGATED)

Aşağıdaki listeler, kullanım dışı bırakılan Kapsayıcılar için Defender güvenlik uyarılarını içerir.

Konak güvenlik duvarının değiştirilmesi algılandı

(K8S. NODE_FirewallDisabled)

Açıklama: Kapsayıcı içinde veya doğrudan kubernetes düğümünde çalışan işlemlerin analizi, konaktaki güvenlik duvarında olası bir düzenleme algılamıştır. Saldırganlar genellikle verileri silmek için bunu devre dışı bırakır.

MITRE taktikleri: DefenseEvasion, Exfiltrasyon

Önem Derecesi: Orta

HTTPS üzerinden şüpheli DNS kullanımı

(K8S. NODE_SuspiciousDNSOverHttps)

Açıklama: Kapsayıcı içinde veya doğrudan kubernetes düğümünde çalışan işlemlerin analizi, HTTPS üzerinden yaygın olmayan bir şekilde DNS çağrısının kullanıldığını algılamıştır. Bu teknik saldırganlar tarafından şüpheli veya kötü amaçlı sitelere yapılan çağrıları gizlemek için kullanılır.

MITRE taktikleri: DefenseEvasion, Exfiltrasyon

Önem Derecesi: Orta

Kötü amaçlı konuma olası bir bağlantı algılandı.

(K8S. NODE_ThreatIntelCommandLineSuspectDomain)

Açıklama: Kapsayıcı içinde veya doğrudan kubernetes düğümünde çalışan işlemlerin analizi, kötü amaçlı veya olağan dışı olduğu bildirilen bir konuma bağlantı algılamıştır. Bu, bir güvenliğin aşılmış olabileceğinin göstergesidir.

MITRE taktikleri: InitialAccess

Önem Derecesi: Orta

Dijital para birimi madenciliği etkinliği

(K8S. NODE_CurrencyMining)

Açıklama: Dijital para birimi madenciliği etkinliği algılanan DNS işlemlerinin analizi. Bu tür etkinlikler, büyük olasılıkla meşru bir kullanıcı davranışı olsa da, kaynakların güvenliğinin aşılmasından sonra saldırganlar tarafından sıklıkla gerçekleştirilir. Tipik ilgili saldırgan etkinliği, yaygın madencilik araçlarının indirilmesini ve yürütülmesini içerebilir.

MITRE taktikleri: Sızdırma

Uyarı Görünen Adı: Olası kötü amaçlı web kabuğu algılandı

Uyarı Görünen Adı: Kritik hizmetlerin devre dışı bırakılması algılandı

Önem Derecesi: Orta

Bulut için Defender desteklenen sonlandırma zinciri amaçları, MITRE ATT&CK matrisinin 9. sürümünü temel alır ve aşağıdaki tabloda açıklanmıştır.

Taktik	ATT&CK Sürümü	Açıklama
PreAttack		PreAttack , kötü amaçlı bir amaç ne olursa olsun belirli bir kaynağa erişme girişimi veya açıklardan yararlanmadan önce bilgi toplamak için hedef sisteme erişim elde etme girişimi başarısız olabilir. Bu adım genellikle hedef sistemi taramak ve bir giriş noktasını tanımlamak için ağ dışından gelen bir girişim olarak algılanır.
İlk Erişim	V7, V9	İlk Erişim, saldırganın saldırıya uğrayan kaynağa bir ayak dayanağı almayı başardığı aşamadır. Bu aşama, işlem konakları ve kullanıcı hesapları, sertifikalar vb. kaynaklar için geçerlidir. Tehdit aktörleri genellikle bu aşamadan sonra kaynağı denetleyebilecektir.
Kalıcılık	V7, V9	Kalıcılık, bir sistemde tehdit aktörlerine kalıcı bir iletişim durumu sağlayan herhangi bir erişim, eylem veya yapılandırma değişikliğidir. Tehdit aktörlerinin genellikle sistem yeniden başlatmaları, kimlik bilgileri kaybı veya bir uzaktan erişim aracının yeniden başlatılmasını veya yeniden erişim kazanmaları için alternatif bir arka kapı sağlamasını gerektirecek diğer hatalar gibi kesintiler aracılığıyla sistemlere erişimi sürdürmesi gerekir.
Ayrıcalık Yükseltme	V7, V9	Ayrıcalık yükseltme, bir saldırganın bir sistem veya ağ üzerinde daha yüksek düzeyde izin almasına olanak tanıyan eylemlerin sonucudur. Belirli araçların veya eylemlerin çalışması için daha yüksek bir ayrıcalık düzeyi gerekir ve işlem boyunca birçok noktada büyük olasılıkla gereklidir. Belirli sistemlere erişme veya saldırganların hedeflerine ulaşmaları için gerekli olan belirli işlevleri gerçekleştirme izinleri olan kullanıcı hesapları da ayrıcalık yükseltmesi olarak kabul edilebilir.
Savunma Kaçamak	V7, V9	Savunma kaçışı, bir saldırganın algılamadan kaçınmak veya diğer savunmalardan kaçınmak için kullanabileceği tekniklerden oluşur. Bazen bu eylemler, belirli bir savunmayı veya azaltmayı azaltmanın ek avantajı olan diğer kategorilerdeki tekniklerle (veya varyasyonlarıyla) aynıdır.
Kimlik Bilgisi Erişimi	V7, V9	Kimlik bilgisi erişimi, kurumsal bir ortamda kullanılan sistem, etki alanı veya hizmet kimlik bilgilerine erişim veya bu kimlik bilgileri üzerinde denetime neden olan teknikleri temsil eder. Saldırganlar büyük olasılıkla ağ içinde kullanmak üzere kullanıcılardan veya yönetici hesaplarından (yerel sistem yöneticisi veya yönetici erişimi olan etki alanı kullanıcıları) meşru kimlik bilgilerini almayı dener. Bir saldırgan, ağ içinde yeterli erişimle ortamda daha sonra kullanmak üzere hesaplar oluşturabilir.
Bulma	V7, V9	Keşif, saldırganın sistem ve iç ağ hakkında bilgi edinebilmesini sağlayan tekniklerden oluşur. Saldırganlar yeni bir sisteme erişim elde ettiğinde, artık neleri denetlediklerine ve bu sistemden hangi avantajların yetkisiz erişim sırasında geçerli hedeflerine veya genel hedeflerine verdikleri avantajlara yönelmeleri gerekir. İşletim sistemi, bu ödün verme sonrası bilgi toplama aşamasında yardımcı olan birçok yerel araç sağlar.
LateralMovement	V7, V9	Yanal hareket, bir saldırganın bir ağdaki uzak sistemlere erişmesini ve bu sistemleri denetlemesini sağlayan tekniklerden oluşur ve uzak sistemlerde araçların yürütülmesini içermeyebilir. Yanal hareket teknikleri, bir saldırganın uzaktan erişim aracı gibi daha fazla aracı gerekmeden sistemden bilgi toplamasına olanak sağlayabilir. Saldırgan, araçların uzaktan Yürütülmesi, daha fazla sistem için özetleme, belirli bilgilere veya dosyalara erişim, daha fazla kimlik bilgilerine erişim veya bir etkiye neden olmak gibi birçok amaçla yanal hareket kullanabilir.
Yürütme	V7, V9	Yürütme taktiği, yerel veya uzak bir sistemde, istenmeyen bir kişi denetlenen kodun yürütülmesiyle sonuçlanan teknikleri temsil eder. Bu taktik genellikle bir ağdaki uzak sistemlere erişimi genişletmek için yanal hareketle birlikte kullanılır.
Koleksiyon	V7, V9	Koleksiyon, sızdırmadan önce hedef ağdan hassas dosyalar gibi bilgileri tanımlamak ve toplamak için kullanılan tekniklerden oluşur. Bu kategori, bir sistem veya ağdaki saldırganların dışarı sızmak için bilgi arayabileceği konumları da kapsar.
Komut ve Denetim	V7, V9	Komut ve denetim taktiği, saldırganların bir hedef ağ içindeki kontrolleri altındaki sistemlerle nasıl iletişim kursalar onu temsil eder.
Sızdırma	V7, V9	Sızdırma, saldırganın hedef ağdan dosya ve bilgi kaldırmasına neden olan veya yardımcı olan teknikleri ve öznitelikleri ifade eder. Bu kategori, bir sistem veya ağdaki saldırganların dışarı sızmak için bilgi arayabileceği konumları da kapsar.
Etki	V7, V9	Etki olayları öncelikli olarak bir sistemin, hizmetin veya ağın kullanılabilirliğini veya bütünlüğünü doğrudan azaltmaya çalışır; bir iş veya operasyonel süreci etkilemek için verilerin işlenmesini de içerir. Bu genellikle fidye yazılımı, yüz değiştirme, veri işleme ve diğerleri gibi tekniklere başvurur.

Not

Önizleme aşamasındaki uyarılar için: Azure Önizleme Ek Koşulları beta, önizleme veya başka bir şekilde genel kullanıma sunulmamış Azure özellikleri için geçerli olan ek yasal koşulları içerir.

Güvenlik uyarıları - başvuru kılavuzu

Windows makineleri için uyarılar

Kötü amaçlı bir IP'den oturum açma algılandı. [birden çok kez görüldü]

Uyarlamalı uygulama denetimi ilkesi ihlali denetlendi

Konuk hesabının Yerel Yönetici istrators grubuna eklenmesi

Olay günlüğü temizlendi

Kötü Amaçlı Yazılımdan Koruma Eylemi Başarısız Oldu

Kötü Amaçlı Yazılımdan Koruma Eylemi Gerçekleştirilen

Sanal makinenizde kötü amaçlı yazılımdan koruma geniş dosya dışlaması

Sanal makinenizde kötü amaçlı yazılımdan koruma devre dışı bırakıldı ve kod yürütme

Sanal makinenizde kötü amaçlı yazılımdan koruma devre dışı bırakıldı

Sanal makinenizde kötü amaçlı yazılımdan koruma dosyası dışlama ve kod yürütme

Sanal makinenizde kötü amaçlı yazılımdan koruma dosyası dışlama ve kod yürütme

Sanal makinenizde kötü amaçlı yazılımdan koruma dosyası dışlaması

Sanal makinenizde kötü amaçlı yazılımdan koruma gerçek zamanlı koruma devre dışı bırakıldı

Sanal makinenizde kötü amaçlı yazılımdan koruma gerçek zamanlı koruma geçici olarak devre dışı bırakıldı

Sanal makinenizde kod yürütülürken kötü amaçlı yazılımdan koruma gerçek zamanlı koruma geçici olarak devre dışı bırakıldı

Sanal makinenizdeki kötü amaçlı yazılım kampanyalarıyla ilgili olabilecek dosyalar için kötü amaçlı yazılımdan koruma taramaları engellendi (Önizleme)

Sanal makinenizde kötü amaçlı yazılımdan koruma geçici olarak devre dışı bırakıldı

Sanal makinenizde kötü amaçlı yazılımdan koruma olağandışı dosya dışlaması

Tehdit bilgileri tarafından tanımlanan şüpheli etki alanıyla iletişim

IIS günlük dosyalarını devre dışı bırakmayı ve silmeyi gösteren eylemler algılandı

Komut satırında büyük ve küçük harf karakterlerinin anormal karışımı algılandı

UAC'yi atlamak için kötüye kullanılabilecek bir kayıt defteri anahtarında değişiklik algılandı

Yerleşik certutil.exe aracı kullanılarak yürütülebilir dosyanın kodunun çözülmesi algılandı

WDigest UseLogonCredential kayıt defteri anahtarının etkinleştirilmesi algılandı

Komut satırı verilerinde kodlanmış yürütülebilir dosya algılandı

Belirsiz komut satırı algılandı

Keygen yürütülebilir dosyasının olası yürütülebilir dosyası algılandı

Kötü amaçlı yazılım bırakmanın olası yürütmesi algılandı

Olası yerel keşif etkinliği algılandı

Telegram aracının şüpheli olabilecek kullanımı algılandı

Oturum açma sırasında kullanıcılara görüntülenen yasal bildirimin gizlenmesi algılandı

HTA ve PowerShell'in şüpheli bileşimi algılandı

Şüpheli komut satırı bağımsız değişkenleri algılandı

Bir dizindeki tüm yürütülebilir dosyaları başlatmak için kullanılan şüpheli komut satırı algılandı

Komut satırında şüpheli kimlik bilgileri algılandı

Şüpheli belge kimlik bilgileri algılandı

VBScript.Encode komutunun şüpheli yürütülmesi algılandı

rundll32.exe aracılığıyla şüpheli yürütme algılandı

Şüpheli dosya temizleme komutları algılandı

Şüpheli dosya oluşturma algılandı

Şüpheli adlandırılmış kanal iletişimleri algılandı

Şüpheli ağ etkinliği algılandı

Şüpheli yeni güvenlik duvarı kuralı algılandı

Sistemin güvenlik durumunu düşürmek için Cacl'lerin şüpheli kullanımı algılandı

FTP -s Anahtarının şüpheli kullanımı algılandı

Yürütülebilir kodu başlatmak için şüpheli Pcalua.exe kullanımı algılandı

Kritik hizmetlerin devre dışı bırakılması algılandı

Dijital para birimi madenciliğiyle ilgili davranış algılandı

Dinamik PS betik oluşturma

Şüpheli bir konumdan çalıştırılan yürütülebilir dosya bulundu

Dosyasız saldırı davranışı algılandı

Dosyasız saldırı tekniği algılandı

Dosyasız saldırı araç seti algılandı

Yüksek riskli yazılım algılandı

Yerel Yönetici oluşturucular grup üyeleri numaralandırıldı

ÇINKO sunucu implantı tarafından oluşturulan kötü amaçlı güvenlik duvarı kuralı [birden çok kez görüldü]

Kötü amaçlı SQL etkinliği

Sorgulanan Birden Çok Etki Alanı Hesabı

Olası kimlik bilgisi dökümü algılandı [birden çok kez görüldü]

AppLocker'ı atlama girişimi algılandı

Seyrek yürütülen SVCHOST hizmet grubu

Yapışkan anahtar saldırısı algılandı

Başarılı deneme yanılma saldırısı

RDP ele geçirmesinin şüpheli bütünlük düzeyi göstergesi

Şüpheli hizmet yüklemesi

Şüpheli Kerberos Altın Anahtar saldırı parametreleri gözlemlendi

Şüpheli Hesap Oluşturma Algılandı

Şüpheli Etkinlik Algılandı

Şüpheli kimlik doğrulama etkinliği

Şüpheli kod kesimi algılandı

Şüpheli çift uzantı dosyası yürütüldü

Certutil kullanılarak şüpheli indirme algılandı [birden çok kez görüldü]

Certutil kullanılarak şüpheli indirme algılandı

Şüpheli PowerShell Etkinliği Algılandı

Yürütülen şüpheli PowerShell cmdlet'leri

Şüpheli işlem yürütüldü [birden çok kez görüldü]

Şüpheli işlem yürütüldü

Şüpheli işlem adı algılandı [birden çok kez görüldü]