不寻常的 Windows 网络活动

分类和分析

调查不寻常的网络活动

此规则的检测告警指示来自 Windows 进程的网络活动，该进程的网络活动非常不寻常。以下是一些可能的调查途径： - 考虑 IP 地址、协议和端口。这些是否被正常但偶尔使用的网络工作流程使用？它们是预期还是意外的？ - 如果目标 IP 地址是远程或外部的，它是否与预期的域、组织或地理位置相关联？注意：避免直接与可疑的恶意 IP 地址交互。 - 考虑由 username 字段标识的用户。此网络活动是否是运行该程序的用户的预期工作流程的一部分？ - 检查执行历史记录。如果此进程最近才出现，则它可能是新软件包的一部分。如果它具有一致的节奏（例如，如果它每月或每季度运行），则它可能是每月或每季度业务流程的一部分。 - 检查进程参数、标题和工作目录。这些可能会提供有关程序来源或它正在执行的任务性质的指示。 - 考虑父进程的相同情况。如果父进程是合法的系统实用程序或服务，则这可能与软件更新或系统管理有关。如果父进程是面向用户的应用程序（例如 Office 应用程序），则此进程可能更可疑。 - 如果事件数据中有文件哈希值，并且您怀疑是恶意软件，您可以选择搜索文件哈希值，以查看该文件是否被反恶意软件工具识别为恶意软件。

设置

此规则需要安装关联的机器学习作业，以及来自以下集成之一的数据： - Elastic Defend - Windows

异常检测设置

启用规则后，关联的机器学习作业将自动启动。您可以在检测规则的“定义”面板下查看链接的机器学习作业。如果由于错误而导致作业未启动，则必须解决该问题才能使作业成功启动。有关设置异常检测作业的更多详细信息，请参阅 帮助指南。

Elastic Defend 集成设置

Elastic Defend 使用 Fleet 集成到 Elastic Agent 中。配置后，该集成允许 Elastic Agent 监视主机上的事件并将数据发送到 Elastic Security 应用。

先决条件

应执行以下步骤，以便将 Elastic Defend 集成添加到您的系统

Windows 集成设置

Windows 集成允许您监视 Windows 操作系统、服务、应用程序等。

应执行以下步骤，以便将 Elastic Agent 系统集成“windows”添加到您的系统