› › ›

Azure 自动化 Runbook 创建或修改

编辑

Azure 自动化 Runbook 创建或修改编辑

识别 Azure 自动化 Runbook 何时创建或修改。攻击者可能会创建或修改 Azure 自动化 Runbook，以执行恶意代码并在其目标环境中维持持久性。

规则类型：查询

规则索引:

filebeat-*
logs-azure*

严重程度：低

风险评分: 21

运行频率：5 分钟

搜索索引范围：now-25m（日期数学格式，另请参阅 额外回溯时间）

每次执行的最大警报数: 100

参考:

标签:

域：云
数据源：Azure
用例：配置审计
策略：持久性

版本: 102

规则作者:

Elastic

规则许可证：Elastic 许可证 v2

调查指南编辑

设置编辑

要与此规则兼容，需要 Azure Fleet 集成、Filebeat 模块或类似结构的数据。

规则查询编辑

event.dataset:azure.activitylogs and
  azure.activitylogs.operation_name:
  (
    "MICROSOFT.AUTOMATION/AUTOMATIONACCOUNTS/RUNBOOKS/DRAFT/WRITE" or
    "MICROSOFT.AUTOMATION/AUTOMATIONACCOUNTS/RUNBOOKS/WRITE" or
    "MICROSOFT.AUTOMATION/AUTOMATIONACCOUNTS/RUNBOOKS/PUBLISH/ACTION"
  ) and
  event.outcome:(Success or success)

« Azure 自动化帐户创建 Azure 自动化 Runbook 删除 »