› › ›

Azure 自动化 Runbook 创建或修改

编辑

Azure 自动化 Runbook 创建或修改

编辑

识别何时创建或修改 Azure 自动化 Runbook。攻击者可能会创建或修改 Azure 自动化 Runbook 以执行恶意代码并在目标环境中维持持久性。

规则类型: 查询

规则索引:

filebeat-*
logs-azure*

严重性: 低

风险评分: 21

运行频率: 5 分钟

搜索索引时间范围: now-25m (日期数学格式，另见 额外回溯时间)

每次执行的最大告警数: 100

参考资料:

标签:

领域: 云
数据来源: Azure
用例: 配置审计
策略: 持久性

版本: 102

规则作者:

Elastic

规则许可证: Elastic License v2

调查指南

编辑

设置

编辑

需要 Azure Fleet 集成、Filebeat 模块或具有类似结构的数据才能与该规则兼容。

规则查询

编辑

event.dataset:azure.activitylogs and
  azure.activitylogs.operation_name:
  (
    "MICROSOFT.AUTOMATION/AUTOMATIONACCOUNTS/RUNBOOKS/DRAFT/WRITE" or
    "MICROSOFT.AUTOMATION/AUTOMATIONACCOUNTS/RUNBOOKS/WRITE" or
    "MICROSOFT.AUTOMATION/AUTOMATIONACCOUNTS/RUNBOOKS/PUBLISH/ACTION"
  ) and
  event.outcome:(Success or success)

« Azure 自动化帐户创建 Azure 自动化 Runbook 删除 »