创建 Azure 自动化 Webhook

识别何时创建 Azure 自动化 Webhook。Azure 自动化 Runbook 可以配置为通过 Webhook 执行。Webhook 使用传递给 Azure 自动化的自定义 URL，以及特定于 Runbook 的数据有效负载。攻击者可能会创建 Webhook 以触发包含恶意代码的 Runbook。

规则类型: 查询

规则索引:

filebeat-*
logs-azure*

严重性: 低

风险评分: 21

运行频率: 5 分钟

搜索索引自: now-25m (日期数学格式，另见 额外回溯时间)

每次执行的最大告警数: 100

参考资料:

标签:

领域: 云
数据源: Azure
用例: 配置审计
策略: 持久性

版本: 102

规则作者:

Elastic

规则许可证: Elastic License v2

调查指南

编辑

设置

编辑

需要 Azure 集群集成、Filebeat 模块或类似结构的数据才能与该规则兼容。

规则查询

编辑

event.dataset:azure.activitylogs and
  azure.activitylogs.operation_name:
    (
      "MICROSOFT.AUTOMATION/AUTOMATIONACCOUNTS/WEBHOOKS/ACTION" or
      "MICROSOFT.AUTOMATION/AUTOMATIONACCOUNTS/WEBHOOKS/WRITE"
    ) and
  event.outcome:(Success or success)

« 删除 Azure 自动化 Runbook 修改 Azure Blob 容器访问级别 »