Een anomalie die in de Sysmon-gebeurtenisstroom werd waargenomen, hing samen met een configuratiewijziging en niet met een geïdentificeerd beveiligingsincident.

De oorzaak was de invoering van een nieuwe Sysmon-configuratie met een nieuwe set regels voor het opnemen van Sysmon-gebeurtenissen.

Locatie van de gebeurtenis

Locatie: EventChannel

Kanaal: Sysmon

De waargenomen activiteit kwam van Sysmon-telemetrie die in het monitoringplatform werd opgenomen.

Oorzaak van de gebeurteniswijziging

De anomalie werd veroorzaakt door de invoering van een nieuwe configuratie.

Deze configuratie introduceerde een nieuwe set regels voor het opnemen van Sysmon-gebeurtenissen.

Hierdoor veranderden de kenmerken van de gebeurtenisstroom en nam het monitoringplatform een ander gebeurtenispatroon waar.

Configuratiewijzigingen en anomaliedetectie

Wijzigingen in regels voor gebeurtenisopname kunnen het type en het volume van de telemetrie die een monitoringsysteem ontvangt rechtstreeks beïnvloeden.

Wanneer een nieuwe configuratie wordt ingevoerd, kunnen eerder waargenomen patronen veranderen, ook als er geen onderliggend beveiligingsprobleem is.

In dit geval werd de verandering in Sysmon-activiteit verklaard door de nieuw ingevoerde opnameconfiguratie.

Operationele context

De belangrijke context voor deze anomalie is dat de verandering in gebeurtenisactiviteit plaatsvond na de invoering van een nieuwe Sysmon-configuratie.

Inzicht in recente configuratiewijzigingen is daarom belangrijk bij het analyseren van anomalieën die telemetriebronnen treffen.

Conclusie

De Sysmon-anomalie werd veroorzaakt door de invoering van een nieuwe configuratie met een nieuwe set regels voor het opnemen van Sysmon-gebeurtenissen.

De waargenomen gebeurteniswijziging was dus configuratiegedreven en weerspiegelde een wijziging in de opname van telemetrie.