Azure
/
Azure-Sentinel
зеркало из
1
0
Форкнуть 0
Код Задачи Пакеты Проекты Релизы Вики Активность

Update ProcessEntropy.yaml

This commit is contained in:
Shain 2020-11-30 08:43:21 -08:00 коммит произвёл GitHub
Родитель cca66ba911
Коммит 4984b862af
Не найден ключ, соответствующий данной подписи
Идентификатор ключа GPG: 4AEE18F83AFDEB23
1 изменённых файлов: 4 добавлений и 2 удалений
Показать статистику Скачать Patch файл Скачать Diff файл Показать все файлы Свернуть все файлы

6
Hunting Queries/SecurityEvent/ProcessEntropy.yaml
Просмотреть файл

@ -120,8 +120,10 @@ query: |
SecEvents
| project TimeGenerated, EventID, Computer, SubjectUserSid, Account, AccountType, Process, NewProcessName, CommandLine, ParentProcessName, _ResourceId, SourceComputerId
) on Computer, Process
| project TimeGenerated, EventID, Computer, SubjectUserSid, Account, AccountType, Weight, ProcessEntropy,
Process, NewProcessName, CommandLine, ParentProcessName, AllHostsProcessCount, ProcessCountOnHost, DistinctHostsProcessCount, _ResourceId, SourceComputerId
| summarize StartTime = min(TimeGenerated), EndTime = max(TimeGenerated), ResultCount = count() by EventID, Computer, SubjectUserSid, Account, AccountType, Weight, ProcessEntropy,
Process, NewProcessName, CommandLine, ParentProcessName, AllHostsProcessCount, ProcessCountOnHost, DistinctHostsProcessCount, _ResourceId, SourceComputerId
| project-reorder StartTime, EndTime, ResultCount, EventID, Computer, SubjectUserSid, Account, AccountType, Weight, ProcessEntropy,
Process, NewProcessName, CommandLine, ParentProcessName, AllHostsProcessCount, ProcessCountOnHost, DistinctHostsProcessCount, _ResourceId, SourceComputerId
| sort by Weight asc, ProcessEntropy asc, NewProcessName asc
| extend timestamp = TimeGenerated, HostCustomEntity = Computer, AccountCustomEntity = Account