检测到潜在网络扫描

此规则识别潜在的端口扫描。端口扫描是攻击者用来系统地扫描目标系统或网络以查找开放端口的一种方法，使他们能够识别可用的服务和潜在的漏洞。通过绘制开放端口的映射，攻击者可以收集关键信息来计划和执行目标攻击，获得未经授权的访问权限，破坏安全性，并可能导致数据泄露、未经授权的控制或进一步利用目标系统或网络。此规则提出阈值逻辑来检查来自一个源主机到 20 个或更多目标端口的连接尝试。

规则类型: 阈值

规则索引:

严重性: 低

风险评分: 21

每隔: 5 分钟

搜索索引时间: now-9m (日期数学格式，另请参见 其他回溯时间)

每次执行的最大告警数: 5

参考: 无

标签:

版本: 7

规则作者:

规则许可证: Elastic License v2

destination.port : * and event.action : "network_flow" and source.ip : (10.0.0.0/8 or 172.16.0.0/12 or 192.168.0.0/16)