Eine im Sysmon-Ereignisstrom beobachtete Anomalie stand im Zusammenhang mit einer Konfigurationsänderung und nicht mit einem identifizierten Sicherheitsvorfall.

Die Ursache war die Einführung einer neuen Sysmon-Konfiguration mit einem neuen Satz von Regeln für die Erfassung von Sysmon-Ereignissen.

Ort des Ereignisses

Standort: EventChannel

Kanal: Sysmon

Die beobachtete Aktivität stammte aus Sysmon-Telemetrie, die in die Überwachungsplattform erfasst wurde.

Ursache der Ereignisänderung

Die Anomalie wurde durch die Einführung einer neuen Konfiguration verursacht.

Diese Konfiguration führte einen neuen Satz von Regeln für die Erfassung von Sysmon-Ereignissen ein.

Dadurch änderten sich die Merkmale des Ereignisstroms, und die Überwachungsplattform beobachtete ein anderes Ereignismuster.

Konfigurationsänderungen und Anomalieerkennung

Änderungen an Ereigniserfassungsregeln können Art und Volumen der von einem Überwachungssystem empfangenen Telemetrie direkt beeinflussen.

Wenn eine neue Konfiguration eingeführt wird, können sich zuvor beobachtete Muster ändern, auch wenn kein zugrunde liegendes Sicherheitsproblem vorliegt.

In diesem Fall wurde die Änderung der Sysmon-Aktivität durch die neu eingeführte Erfassungskonfiguration erklärt.

Betrieblicher Kontext

Der wesentliche Kontext dieser Anomalie ist, dass die Änderung der Ereignisaktivität nach der Einführung einer neuen Sysmon-Konfiguration auftrat.

Das Verständnis aktueller Konfigurationsänderungen ist daher wichtig, wenn Anomalien analysiert werden, die Telemetriequellen betreffen.

Fazit

Die Sysmon-Anomalie wurde durch die Einführung einer neuen Konfiguration mit einem neuen Regelsatz für die Erfassung von Sysmon-Ereignissen verursacht.

Die beobachtete Ereignisänderung war daher konfigurationsbedingt und spiegelte eine Änderung der Telemetrieerfassung wider.