O anomalie observată în fluxul de evenimente Sysmon a fost asociată unei modificări de configurație, mai degrabă decât unui incident de securitate identificat.

Cauza a fost implementarea unei noi configurații Sysmon care conținea un nou set de reguli utilizate pentru ingestia evenimentelor Sysmon.

Locația evenimentelor

Locație: EventChannel

Canal: Sysmon

Activitatea observată a provenit din telemetria Sysmon care era ingerată în platforma de monitorizare.

Cauza modificării evenimentelor

Anomalia a fost cauzată de implementarea unei noi configurații.

Această configurație a introdus un nou set de reguli pentru ingestia evenimentelor Sysmon.

Ca urmare, caracteristicile fluxului de evenimente s-au modificat, iar platforma de monitorizare a observat un tipar de evenimente diferit.

Modificările de configurație și detectarea anomaliilor

Modificările regulilor de ingestie a evenimentelor pot influența direct tipul și volumul telemetriei primite de un sistem de monitorizare.

Atunci când este introdusă o nouă configurație, tiparele observate anterior se pot modifica chiar și atunci când nu există o problemă de securitate subiacentă.

În acest caz, modificarea activității Sysmon a fost explicată de configurația de ingestie nou implementată.

Context operațional

Contextul important pentru această anomalie este că modificarea activității evenimentelor a apărut după introducerea unei noi configurații Sysmon.

Înțelegerea modificărilor recente de configurație este, prin urmare, importantă atunci când se analizează anomalii care afectează sursele de telemetrie.

Concluzie

Anomalia Sysmon a fost cauzată de implementarea unei noi configurații cu un nou set de reguli pentru ingestia evenimentelor Sysmon.

Modificarea observată a evenimentelor a fost, prin urmare, determinată de configurație și reflecta o schimbare în ingestia telemetriei.