Leer en inglés

Compartir a través de

已弃用的安全警报

  • Artículo
  • 29/08/2024

本文列出了 Microsoft Defender for Cloud 中的已弃用安全警报。

已弃用的 Defender for Containers 警报

以下列表包括已弃用的 Defender for Containers 安全警报。

检测到主机防火墙操作

(K8S.NODE_FirewallDisabled)

说明：对容器内运行的或直接在 Kubernetes 节点上运行的进程的分析检测到可能存在对主机上的防火墙的操作。 攻击者通常会禁用防火墙以外泄数据。

MITRE 策略：DefenseEvasion、外泄

严重性：中等

通过 HTTPS 对 DNS 的可疑使用

(K8S.NODE_SuspiciousDNSOverHttps)

说明：对容器内运行的或直接在 Kubernetes 节点上运行的进程的分析检测到有人在以不常见的方式通过 HTTPS 使用 DNS 调用。 攻击者使用此方法隐藏对可疑或恶意网站的调用。

MITRE 策略：DefenseEvasion、外泄

严重性：中等

检测到可能与恶意位置存在连接

(K8S.NODE_ThreatIntelCommandLineSuspectDomain)

说明：对容器内运行的或直接在 Kubernetes 节点上运行的进程的分析检测到与报告为恶意位置或异常位置的位置建立了连接。 这表明可能已经发生了入侵。

MITRE 策略：InitialAccess

严重性：中等

数字货币挖掘活动

(K8S.NODE_CurrencyMining)

说明：对 DNS 事务的分析检测到了数字货币挖掘活动。 此类活动虽然可能是合法的用户行为，但经常在资源遭受入侵后被攻击者执行。 典型的相关攻击者活动可能包括下载和执行常见挖掘工具。

MITRE 策略：外泄

严重性：低

已弃用的 Defender for Servers Linux 警报

VM_AbnormalDaemonTermination

警报显示名称：异常终止

严重性：低

VM_BinaryGeneratedFromCommandLine

警报显示名称：检测到可疑的二进制文件

严重性：中等

VM_CommandlineSuspectDomain Suspicious

警报显示名称：域名参考

严重性：低

VM_CommonBot

警报显示名称：检测到与常见的 Linux 机器人类似的行为

严重性：中等

VM_CompCommonBots

警报显示名称：检测到与常见的 Linux 机器人类似的命令

严重性：中等

VM_CompSuspiciousScript

警报显示名称：检测到 Shell 脚本

严重性：中等

VM_CompTestRule

警报显示名称：复合分析测试警报

严重性：低

VM_CronJobAccess

警报显示名称：检测到对计划任务的操作

严重性：信息

VM_CryptoCoinMinerArtifacts

警报显示名称：检测到与数字货币挖掘有关的进程

严重性：中等

VM_CryptoCoinMinerDownload

警报显示名称：检测到潜在 Cryptocoinminer 下载

严重性：中等

VM_CryptoCoinMinerExecution

警报显示名称：启动了潜在的加密货币挖矿机

严重性：中等

VM_DataEgressArtifacts

警报显示名称：检测到可能的数据外泄

严重性：中等

VM_DigitalCurrencyMining

警报显示名称：检测到数字货币挖掘相关行为

严重性：高

VM_DownloadAndRunCombo

警报显示名称：可疑的先下载后运行活动

严重性：中等

VM_EICAR

警报显示名称：Microsoft Defender for Cloud 测试警报(不是威胁)

严重性：高

VM_ExecuteHiddenFile

警报显示名称：执行隐藏文件

严重性：信息

VM_ExploitAttempt

警报显示名称：可能在尝试利用命令行

严重性：中等

VM_ExposedDocker

警报显示名称：TCP 套接字上公开的 Docker 守护程序

严重性：中等

VM_FairwareMalware

警报显示名称：检测到与 Fairware 勒索软件类似的行为

严重性：中等

VM_FirewallDisabled

警报显示名称：检测到主机防火墙操作

严重性：中等

VM_HadoopYarnExploit

警报显示名称：可能存在 Hadoop Yarn 利用

严重性：中等

VM_HistoryFileCleared

警报显示名称：已清除历史记录文件

严重性：中等

VM_KnownLinuxAttackTool

警报显示名称：检测到可能存在攻击工具

严重性：中等

VM_KnownLinuxCredentialAccessTool

警报显示名称：检测到可能存在凭据访问工具

严重性：中等

VM_KnownLinuxDDoSToolkit

警报显示名称：检测到 DDOS 工具包的相关痕迹

严重性：中等

VM_KnownLinuxScreenshotTool

警报显示名称：在主机上拍摄屏幕截图

严重性：低

VM_LinuxBackdoorArtifact

警报显示名称：检测到可能存在后门程序

严重性：中等

VM_LinuxReconnaissance

警报显示名称：检测到本地主机侦查

严重性：中等

VM_MismatchedScriptFeatures

警报显示名称：检测到脚本扩展不匹配

严重性：中等

VM_MitreCalderaTools

警报显示名称：检测到 MITRE Caldera 代理

严重性：中等

VM_NewSingleUserModeStartupScript

警报显示名称：检测到持久性尝试

严重性：中等

VM_NewSudoerAccount

警报显示名称：帐户添加到 sudo 组

严重性：低

VM_OverridingCommonFiles

警报显示名称：常用文件的潜在重写活动

严重性：中等

VM_PrivilegedContainerArtifacts

警报显示名称：容器在特权模式下运行

严重性：低

VM_PrivilegedExecutionInContainer

警报显示名称：容器中的命令在以高特权模式运行

严重性：低

VM_ReadingHistoryFile

警报显示名称：以异常方式访问了 bash 历史记录文件

严重性：信息

VM_ReverseShell

警报显示名称：检测到潜在的反向 shell

严重性：中等

VM_SshKeyAccess

警报显示名称：检测到进程以异常方式访问 SSH 授权密钥文件

严重性：低

VM_SshKeyAddition

警报显示名称：添加了新的 SSH 密钥

严重性：低

VM_SuspectCompilation

警报显示名称：检测到可疑的编译

严重性：中等

VM_SuspectConnection

警报显示名称：检测到不常见的连接尝试

严重性：中等

VM_SuspectDownload

警报显示名称：检测到自已知恶意来源的文件下载

严重性：中等

VM_SuspectDownloadArtifacts

警报显示名称：检测到可疑的文件下载

严重性：低

VM_SuspectExecutablePath

警报显示名称：检测到可执行文件正在从可疑位置运行

严重性：中等

VM_SuspectHtaccessFileAccess

警报显示名称：检测到对 htaccess 文件的访问

严重性：中等

VM_SuspectInitialShellCommand

警报显示名称：shell 中的第一个命令可疑

严重性：低

VM_SuspectMixedCaseText

警报显示名称：在命令行中检测到大小写字符的异常混用

严重性：中等

VM_SuspectNetworkConnection

警报显示名称：可疑的网络连接

严重性：信息

VM_SuspectNohup

警报显示名称：检测到对 nohup 命令的可疑使用

严重性：中等

VM_SuspectPasswordChange

警报显示名称：检测到可能有人使用 crypt 方法更改密码

严重性：中等

VM_SuspectPasswordFileAccess

警报显示名称：可疑的密码访问

严重性：信息

VM_SuspectPhp

警报显示名称：检测到可疑的 PHP 执行

严重性：中等

VM_SuspectPortForwarding

警报显示名称：对外部 IP 地址的潜在端口转发活动

严重性：中等

VM_SuspectProcessAccountPrivilegeCombo

警报显示名称：在服务帐户中运行的进程意外地成为根进程

严重性：中等

VM_SuspectProcessTermination

警报显示名称：检测到与安全性相关的进程终止

严重性：低

VM_SuspectUserAddition

警报显示名称：检测到对 useradd 命令的可疑使用

严重性：中等

VM_SuspiciousCommandLineExecution

警报显示名称：可疑的命令执行

严重性：高

VM_SuspiciousDNSOverHttps

警报显示名称：通过 HTTPS 对 DNS 进行了可疑的使用

严重性：中等

VM_SystemLogRemoval

警报显示名称：检测到可能存在日志篡改活动

严重性：中等

VM_ThreatIntelCommandLineSuspectDomain

警报显示名称：检测到可能与恶意位置存在连接

严重性：中等

VM_ThreatIntelSuspectLogon

警报显示名称：检测到来自恶意 IP 的登录

严重性：高

VM_TimerServiceDisabled

警报显示名称：检测到尝试停止 apt-daily-upgrade.timer 服务

严重性：信息

VM_TimestampTampering

警报显示名称：可疑文件时间戳修改操作

严重性：低

VM_Webshell

警报显示名称：检测到可能存在恶意的 Web shell

严重性：中等

已弃用的 Defender for Servers Windows 警报

SCUBA_MULTIPLEACCOUNTCREATE

警报显示名称：在多个主机上以可疑的方式创建帐户

严重性：中等

SCUBA_PSINSIGHT_CONTEXT

警报显示名称：检测到对 PowerShell 进行了可疑的使用

严重性：信息

SCUBA_RULE_AddGuestToAdministrators

警报显示名称：向本地管理员组添加来宾帐户

严重性：中等

SCUBA_RULE_Apache_Tomcat_executing_suspicious_commands

警报显示名称：Apache_Tomcat_executing_suspicious_commands

严重性：中等

SCUBA_RULE_KnownBruteForcingTools

警报显示名称：执行了可疑的进程

严重性：高

SCUBA_RULE_KnownCollectionTools

警报显示名称：执行了可疑的进程

严重性：高

SCUBA_RULE_KnownDefenseEvasionTools

警报显示名称：执行了可疑的进程

严重性：高

SCUBA_RULE_KnownExecutionTools

警报显示名称：执行了可疑的进程

严重性：高

SCUBA_RULE_KnownPassTheHashTools

警报显示名称：执行了可疑的进程

严重性：高

SCUBA_RULE_KnownSpammingTools

警报显示名称：执行了可疑的进程

严重性：中等

SCUBA_RULE_Lowering_Security_Settings

警报显示名称：检测到关键服务被禁用

严重性：中等

SCUBA_RULE_OtherKnownHackerTools

警报显示名称：执行了可疑的进程

严重性：高

SCUBA_RULE_RDP_session_hijacking_via_tscon

警报显示名称：涉及 RDP 劫持的可疑完整性级别

严重性：中等

SCUBA_RULE_RDP_session_hijacking_via_tscon_service

警报显示名称：可疑的服务安装

严重性：中等

SCUBA_RULE_Suppress_pesky_unauthorized_use_prohibited_notices

警报显示名称：检测到禁止向登录用户显示法律声明

严重性：低

SCUBA_RULE_WDigest_Enabling

警报显示名称：检测到启用 WDigest UseLogonCredential 注册表项

严重性：中等

VM.Windows_ApplockerBypass

警报显示名称：检测到尝试绕过 AppLocker 的行为

严重性：高

VM.Windows_BariumKnownSuspiciousProcessExecution

警报显示名称：检测到可疑的文件创建操作

严重性：高

VM.Windows_Base64EncodedExecutableInCommandLineParams

警报显示名称：在命令行数据中检测到被编码的可执行文件

严重性：高

VM.Windows_CalcsCommandLineUse

警报显示名称：检测到使用 Cacls 来降低系统安全状态的可疑行为

严重性：中等

VM.Windows_CommandLineStartingAllExe

警报显示名称：检测到用于启动目录中所有可执行文件的可疑命令行

严重性：中等

VM.Windows_DisablingAndDeletingIISLogFiles

警报显示名称：检测到禁用和删除 IIS 日志文件的操作

严重性：中等

VM.Windows_DownloadUsingCertutil

警报显示名称：检测到使用 Certutil 进行可疑下载

严重性：中等

VM.Windows_EchoOverPipeOnLocalhost

警报显示名称：检测到可疑的命名管道通信

严重性：高

VM.Windows_EchoToConstructPowerShellScript

警报显示名称：动态 PowerShell 脚本构造

严重性：中等

VM.Windows_ExecutableDecodedUsingCertutil

警报显示名称：检测到使用内置的 certutil.exe 工具解码可执行文件

严重性：中等

VM.Windows_FileDeletionIsSospisiousLocation

警报显示名称：检测到可疑的文件删除操作

严重性：中等

VM.Windows_KerberosGoldenTicketAttack

警报显示名称：已发现可疑的 Kerberos 黄金票证攻击参数

严重性：中等

VM.Windows_KeygenToolKnownProcessName

警报显示名称：检测到可能在执行 keygen 可执行文件执行了可疑的进程

严重性：中等

VM.Windows_KnownCredentialAccessTools

警报显示名称：执行了可疑的进程

严重性：高

VM.Windows_KnownSuspiciousPowerShellScript

警报显示名称：检测到对 PowerShell 进行了可疑的使用

严重性：高

VM.Windows_KnownSuspiciousSoftwareInstallation

警报显示名称：检测到高风险软件

严重性：中等

VM.Windows_MsHtaAndPowerShellCombination

警报显示名称：检测到 HTA 和 PowerShell 的可疑组合

严重性：中等

VM.Windows_MultipleAccountsQuery

警报显示名称：查询了多个域帐户

严重性：中等

VM.Windows_NewAccountCreation

警报显示名称：检测到帐户创建操作

严重性：信息

VM.Windows_ObfuscatedCommandLine

警报显示名称：检测到混淆的命令行。

严重性：高

VM.Windows_PcaluaUseToLaunchExecutable

警报显示名称：检测到使用 Pcalua.exe 启动可执行代码的可疑行为

严重性：中等

VM.Windows_PetyaRansomware

警报显示名称：检测到 Petya 勒索痕迹

严重性：高

VM.Windows_PowerShellPowerSploitScriptExecution

警报显示名称：执行了可疑的 PowerShell cmdlet

严重性：中等

VM.Windows_RansomwareIndication

警报显示名称：检测到勒索软件痕迹

严重性：高

VM.Windows_SqlDumperUsedSuspiciously

警报显示名称：检测到可能存在凭据转储活动 [出现多次]

严重性：中等

VM.Windows_StopCriticalServices

警报显示名称：检测到关键服务被禁用

严重性：中等

VM.Windows_SubvertingAccessibilityBinary

警报显示名称：检测到粘滞密钥攻击检测到可疑的帐户创建操作检测到中等

VM.Windows_SuspiciousAccountCreation

警报显示名称：检测到可疑的帐户创建操作

严重性：中等

VM.Windows_SuspiciousFirewallRuleAdded

警报显示名称：检测到可疑的新防火墙规则

严重性：中等

VM.Windows_SuspiciousFTPSSwitchUsage

警报显示名称：检测到对 FTP -s 交换机的可疑使用

严重性：中等

VM.Windows_SuspiciousSQLActivity

警报显示名称：可疑的 SQL 活动

严重性：中等

VM.Windows_SVCHostFromInvalidPath

警报显示名称：执行了可疑的进程

严重性：高

VM.Windows_SystemEventLogCleared

警报显示名称：已清除 Windows 安全日志

严重性：信息

VM.Windows_TelegramInstallation

警报显示名称：检测到 Telegram 工具可疑的使用方式

严重性：中等

VM.Windows_UndercoverProcess

警报显示名称：检测到名称可疑的进程

严重性：高

VM.Windows_UserAccountControlBypass

警报显示名称：检测到更改了可能会被滥用于规避 UAC 的注册表项

严重性：中等

VM.Windows_VBScriptEncoding

警报显示名称：检测到执行 VBScript.Encode 命令的方式可疑

严重性：中等

VM.Windows_WindowPositionRegisteryChange

警报显示名称：检测到可疑的 WindowPosition 注册表值

严重性：低

VM.Windows_ZincPortOpenningUsingFirewallRule

警报显示名称：ZINC 服务器植入软件创建了恶意防火墙规则

严重性：高

VM_DigitalCurrencyMining

警报显示名称：检测到数字货币挖掘相关行为

严重性：高

VM_MaliciousSQLActivity

警报显示名称：恶意 SQL 活动

严重性：高

VM_ProcessWithDoubleExtensionExecution

警报显示名称：执行了可疑的双扩展名文件

严重性：高

VM_RegistryPersistencyKey

警报显示名称：检测到 Windows 注册表持久性方法

严重性：低

VM_ShadowCopyDeletion

警报显示名称：可疑的卷影复制活动检测到可执行文件正在从可疑位置运行

严重性：高

VM_SuspectExecutablePath

警报显示名称：发现从可疑的位置运行可执行文件在命令行中检测到大小写字符的异常混用

严重性：信息

中

VM_SuspectPhp

警报显示名称：检测到可疑的 PHP 执行

严重性：中等

VM_SuspiciousCommandLineExecution

警报显示名称：可疑的命令执行

严重性：高

VM_SuspiciousScreenSaverExecution

警报显示名称：执行了可疑的屏幕保护进程

严重性：中等

VM_SvcHostRunInRareServiceGroup

警报显示名称：已执行罕见 SVCHOST 服务组

严重性：信息

VM_SystemProcessInAbnormalContext

警报显示名称：执行了可疑的系统进程

严重性：中等

VM_ThreatIntelCommandLineSuspectDomain

警报显示名称：检测到可能与恶意位置存在连接

严重性：中等

VM_ThreatIntelSuspectLogon

警报显示名称：检测到来自恶意 IP 的登录

严重性：高

VM_VbScriptHttpObjectAllocation

警报显示名称：检测到 VBScript HTTP 对象分配活动

严重性：高

VM_TaskkillBurst

警报显示名称：可疑的进程终止突发

严重性：低

VM_RunByPsExec

警报显示名称：检测到 PsExec 执行

严重性：信息

Nota

对于处于预览状态的警报：Azure 预览版补充条款包含适用于 beta 版、预览版或其他尚未正式发布的 Azure 功能的其他法律条款。

后续步骤

Nota: El autor ha creado este artículo con ayuda de inteligencia artificial. Más información