Un’anomalia osservata nel flusso di eventi Sysmon era collegata a una modifica di configurazione e non a un incidente di sicurezza identificato.
La causa era l'implementazione di una nuova configurazione Sysmon contenente un nuovo insieme di regole utilizzate per acquisire gli eventi Sysmon.
Posizione dell'evento
Posizione: EventChannel
Canale: Sysmon
L'attività osservata proveniva dalla telemetria Sysmon acquisita nella piattaforma di monitoraggio.
Causa della variazione degli eventi
L'anomalia è stata causata dall'implementazione di una nuova configurazione.
Questa configurazione ha introdotto un nuovo insieme di regole per l'acquisizione degli eventi Sysmon.
Di conseguenza, le caratteristiche del flusso di eventi sono cambiate e la piattaforma di monitoraggio ha osservato uno schema di eventi diverso.
Modifiche di configurazione e rilevamento delle anomalie
Le modifiche alle regole di acquisizione degli eventi possono influenzare direttamente il tipo e il volume di telemetria ricevuti da un sistema di monitoraggio.
Quando viene introdotta una nuova configurazione, gli schemi osservati in precedenza possono cambiare anche in assenza di un problema di sicurezza sottostante.
In questo caso, la variazione dell'attività Sysmon era spiegata dalla nuova configurazione di acquisizione implementata.
Contesto operativo
Il contesto importante per questa anomalia è che la variazione dell'attività degli eventi si è verificata dopo l'introduzione di una nuova configurazione Sysmon.
Comprendere le recenti modifiche di configurazione è quindi importante quando si analizzano anomalie che interessano le fonti di telemetria.
Conclusione
L'anomalia Sysmon è stata causata dall'implementazione di una nuova configurazione con un nuovo insieme di regole per l'acquisizione degli eventi Sysmon.
La variazione degli eventi osservata era quindi guidata dalla configurazione e rifletteva una modifica nell'acquisizione della telemetria.
