Azure虚拟机上的命令执行
编辑Azure虚拟机上的命令执行
编辑识别Azure中虚拟机（VM）上的命令执行。虚拟机参与者角色允许您管理虚拟机，但不允许访问它们，也不允许访问它们连接到的虚拟网络或存储帐户。但是，可以通过VM上的PowerShell运行命令，这些命令作为系统执行。其他角色（例如某些管理员角色）也可能能够在VM上执行命令。
规则类型: 查询
规则索引:
- filebeat-*
- logs-azure*
严重性: 中等
风险评分: 47
每隔: 5分钟
搜索索引时间范围: now-25m (日期数学格式，另请参见 附加回溯时间)
每次执行的最大告警数: 100
参考:
标签:
- 域：云
- 数据源：Azure
- 用例：日志审计
- 战术：执行
版本: 102
规则作者:
- Elastic
规则许可证: Elastic License v2
调查指南
编辑设置
编辑需要Azure Fleet集成、Filebeat模块或类似结构的数据才能与本规则兼容。
规则查询
编辑event.dataset:azure.activitylogs and azure.activitylogs.operation_name:"MICROSOFT.COMPUTE/VIRTUALMACHINES/RUNCOMMAND/ACTION" and event.outcome:(Success or success)
框架: MITRE ATT&CKTM
-
战术
- 名称：执行
- ID：TA0002
- 参考网址：https://attack.mitre.org/tactics/TA0002/
-
技术
- 名称：命令和脚本解释器
- ID：T1059
- 参考网址：https://attack.mitre.org/techniques/T1059/