설명:

아래는 Microsoft Sentinel에서 일반적으로 사용되는 ASIM 인증 스키마를 사용하여 요구 사항(지난 3시간 동안 여러 국가에서 성공적으로 로그인)을 충족하는 완성된 KQL입니다.
timeframe = ago(3h);
임계값 = 5로 두세요.
imAuthentication
| TimeGenerated > timeframe인 경우
| EventType == "Logon"이고 EventResult == "Success"인 경우
| 비어 있지 않은 곳(SrcGeoCountry)
| 요약하다
시작시간 = 분(생성시간),
종료시간 = 최대(생성된 시간),
공급업체 = make_set(EventVendor),
제품 = make_set(이벤트제품),
국가 수 = dcount(SrcGeoCountry)
TargetUserId, TargetUserPrincipalName, TargetUserType으로
| NumOfCountries > 임계값
* 블레이드/소스: imAuthentication(ASIM 파서)은 Sentinel의 소스 전반에 걸쳐 인증 데이터를 정규화하여 일관되게 로그인을 쿼리할 수 있도록 합니다.
* 필터: EventType == "Logon" 및 EventResult == "Success"는 성공적인 로그온으로 제한합니다.
* 지리적 차원: SrcGeoCountry는 로그인에 대한 정규화된 소스 국가 필드입니다.
* 논리: 3시간 전을 살펴보고 dcount(SrcGeoCountry)를 사용하여 사용자별로 서로 다른 국가를 계산하고, 선택한 임계값(예: > 5)을 초과하는 사용자만 제거합니다.
이를 통해 "지난 3시간 동안 여러 국가에서 성공적으로 로그인한 횟수"를 정확하게 전달하여 사냥 쿼리에 사용하거나 예약된 분석 규칙을 형성하는 데 사용할 수 있습니다.

참조:
https://docs.microsoft.com/en-us/azure/governance/policy/concepts/effects
https://docs.microsoft.com/en-us/azure/security-center/워크플로-오토메이션

설명
그래픽 사용자 인터페이스, 텍스트, 애플리케이션, 이메일 설명 자동 생성됨

참조:
https://docs.microsoft.com/en-us/azure/sentinel/tutorial-detect-threats-custom

설명
상자 1: AzureActivity
AzureActivity 테이블에는 Microsoft Sentinel을 포함한 여러 서비스의 데이터가 포함되어 있습니다. Microsoft Sentinel의 데이터만 필터링하려면 다음 코드로 쿼리를 시작하세요.
박스 2: autocluster()
예: 설명: |
'저장소 키 목록 작성은 Azure에서 흥미로운 작업으로, 호출자에게 추가적인 비밀과 개인 식별 정보(PII)를 노출하고 VM에 대한 액세스 권한을 부여할 수 있습니다. 이러한 유형의 무해한 작업도 많지만, 이 작업을 수행하는 계정이나 작업이 수행되는 소스 IP 주소가 비정상적인지 확인하는 것이 흥미로울 것입니다.
아래 쿼리는 호출자별 알려진 IP 주소 클러스터를 생성합니다. 단일 작업만 수행한 사용자는 이 목록에 나타나지 않습니다. 이 목록에서 해당 사용자의 일반적인 활동(단일 이벤트 기반)을 파악할 수 없기 때문입니다. 스토리지 계정 키 목록을 나열하는 활동은 이렇게 학습된 예상 활동 클러스터와 연관되며, 예상하지 못한 활동은 반환됩니다. AzureActivity
| OperationNameValue =~ "microsoft.storage/storageaccounts/listkeys/action"인 경우
| ActivityStatusValue == "성공"인 경우
| join kind= inner (
AzureActivity
| OperationNameValue =~ "microsoft.storage/storageaccounts/listkeys/action"인 경우
| ActivityStatusValue == "성공"인 경우
| 프로젝트 ExpectedIpAddress=CallerIpAddress, Caller
| autocluster()를 평가합니다
) 발신자에 대하여
| 여기서 CallerIpAddress != ExpectedIpAddress
| OperationNameValue, Caller, CallerIpAddress를 기준으로 StartTime = min(TimeGenerated), EndTime = max(TimeGenerated), ResourceIds = make_set(ResourceId), ResourceIdCount = dcount(ResourceId)를 요약합니다.
| extend timestamp = StartTime, AccountCustomEntity = Caller, IPCustomEntity = CallerIpAddress 참조:
https://github.com/Azure/Azure-Sentinel/blob/master/Hunting%20Queries/AzureActivity/Anomalous_Listing_O