Une anomalie observée dans le flux d’événements Sysmon était liée à une modification de configuration plutôt qu’à un incident de sécurité identifié.

La cause était la mise en œuvre d'une nouvelle configuration Sysmon contenant un nouvel ensemble de règles utilisées pour l'ingestion des événements Sysmon.

Emplacement de l'événement

Emplacement : EventChannel

Canal : Sysmon

L'activité observée provenait de la télémétrie Sysmon ingérée dans la plateforme de surveillance.

Cause du changement d'événements

L'anomalie a été causée par la mise en œuvre d'une nouvelle configuration.

Cette configuration a introduit un nouvel ensemble de règles pour l'ingestion des événements Sysmon.

En conséquence, les caractéristiques du flux d'événements ont changé et la plateforme de surveillance a observé un schéma d'événements différent.

Changements de configuration et détection d'anomalies

Les modifications des règles d'ingestion d'événements peuvent influencer directement le type et le volume de télémétrie reçus par un système de surveillance.

Lorsqu'une nouvelle configuration est introduite, les schémas précédemment observés peuvent changer même en l'absence de problème de sécurité sous-jacent.

Dans ce cas, le changement d'activité Sysmon s'expliquait par la nouvelle configuration d'ingestion mise en œuvre.

Contexte opérationnel

Le contexte important pour cette anomalie est que le changement d'activité des événements s'est produit après l'introduction d'une nouvelle configuration Sysmon.

Comprendre les changements de configuration récents est donc important lors de l'analyse d'anomalies affectant des sources de télémétrie.

Conclusion

L'anomalie Sysmon a été causée par la mise en œuvre d'une nouvelle configuration avec un nouvel ensemble de règles d'ingestion des événements Sysmon.

Le changement d'événements observé était donc lié à la configuration et reflétait une modification de l'ingestion de la télémétrie.