Una anomalía observada en el flujo de eventos de Sysmon estaba vinculada a un cambio de configuración y no a un incidente de seguridad identificado.
La causa fue la implementación de una nueva configuración de Sysmon que contenía un nuevo conjunto de reglas utilizadas para ingerir eventos de Sysmon.
Ubicación del evento
Ubicación: EventChannel
Canal: Sysmon
La actividad observada procedía de telemetría de Sysmon ingerida en la plataforma de monitorización.
Causa del cambio en los eventos
La anomalía fue causada por la implementación de una nueva configuración.
Esta configuración introdujo un nuevo conjunto de reglas para la ingesta de eventos de Sysmon.
Como resultado, cambiaron las características del flujo de eventos y la plataforma de monitorización observó un patrón de eventos diferente.
Cambios de configuración y detección de anomalías
Los cambios en las reglas de ingesta de eventos pueden influir directamente en el tipo y el volumen de telemetría que recibe un sistema de monitorización.
Cuando se introduce una nueva configuración, los patrones observados anteriormente pueden cambiar aunque no exista ningún problema de seguridad subyacente.
En este caso, el cambio en la actividad de Sysmon se explicaba por la nueva configuración de ingesta implementada.
Contexto operativo
El contexto importante de esta anomalía es que el cambio en la actividad de eventos se produjo tras la introducción de una nueva configuración de Sysmon.
Por lo tanto, comprender los cambios de configuración recientes es importante al analizar anomalías que afectan a las fuentes de telemetría.
Conclusión
La anomalía de Sysmon fue causada por la implementación de una nueva configuración con un nuevo conjunto de reglas para la ingesta de eventos de Sysmon.
Por tanto, el cambio de eventos observado fue impulsado por la configuración y reflejó una modificación en la ingesta de telemetría.
