› › ›

异常进程向外部设备写入数据

异常进程向外部设备写入数据编辑

机器学习任务已检测到一个罕见进程向外部设备写入数据。恶意行为者通常使用看起来无害的进程来掩盖其数据窃取活动。发现此类进程没有正当理由向外部设备写入数据，可能表明存在窃取行为。

规则类型: machine_learning

规则索引: 无

严重性: 低

风险评分: 21

运行频率: 15 分钟

从以下时间起搜索索引: now-2h（日期数学格式，另请参阅 附加回溯时间）

每次执行的最大警报数: 100

参考:

标签:

版本: 4

规则作者:

规则许可: Elastic 许可证 v2

设置

此规则要求安装数据外泄检测集成资产，以及由 Elastic Defend 和网络数据包捕获（仅适用于网络事件）等集成收集的网络和文件事件。

数据外泄检测设置

数据外泄检测集成通过识别网络和文件事件中的异常情况来检测数据外泄活动。异常情况使用 Elastic 的异常检测功能检测。

先决条件要求

应执行以下步骤以安装与数据外泄检测集成关联的资产

框架：MITRE ATT&CK^TM

策略
- 名称：外泄
- ID：TA0010
- 参考 URL：https://attack.mitre.org/tactics/TA0010/
技术
- 名称：通过物理介质进行外泄
- ID：T1052
- 参考 URL：https://attack.mitre.org/techniques/T1052/