Finde die Fehler
Rate zuerst, ohne Punktabzug. Du hast nach „Konten mit mehr als 20 fehlgeschlagenen Anmeldungen von einer IP in der letzten Stunde“ gefragt. Die KQL-Abfrage der KI läuft. Tipp auf die Zeile, durch die sie das Falsche zählt.
Die Abfrage, Zeile für Zeile
0 von 1 gefunden
Eine Event-ID ist die Nummer, die Windows jeder Art von Sicherheitsereignis gibt. Microsofts Referenzseiten benennen sie genau. Event 4625 heißt „An account failed to log on“ (eine Anmeldung ist fehlgeschlagen), und laut der Seite wird es „bei jedem Anmeldefehler protokolliert“. Event 4624 heißt „An account was successfully logged on“ (eine Anmeldung war erfolgreich).
Eine einzige Ziffer schickt eine Abfrage hinter normaler Aktivität her statt hinter einem Angriff. Sie läuft trotzdem und liefert Ergebnisse: die Konten, die sich oft anmelden. Das sieht wie eine Antwort aus, und genau das macht es schlimmer als eine Fehlermeldung.
Dieselbe Seite listet Statuscodes, die sagen, warum eine Anmeldung fehlschlug. 0xC000006A bedeutet ein falsches Passwort. 0xC0000064 bedeutet einen falsch geschriebenen oder ungültigen Benutzernamen, und Microsoft schreibt, dass mehrere davon hintereinander „ein Zeichen für einen User-Enumeration-Angriff sein können“ (jemand rät, welche Konten es gibt).
Prüf also jede Event-ID und jeden Wert, den eine KI verwendet, auf der Referenzseite des Herstellers, bevor du auch nur einem Ergebnis vertraust.
Ein Beispiel
Korrigierte Abfrage:
SecurityEvent
| where TimeGenerated > ago(1h)
| where EventID == 4625
| summarize Attempts = count() by Account, IpAddress
| where Attempts > 20
Prüfnotiz: 4625 = „An account failed to log on“ (Microsofts Event-Referenz).Lücken füllen
Füll die Lücken.
Prüfnotiz
Fehlgeschlagene Anmeldungen sind Event , laut . Eine Reihe von Status 0xC0000064 kann bedeuten, dass jemand .
Probier es aus
Deine Schritte, etwa 2 Minuten
- 1.Nimm eine Abfrage, die du nutzt, und schlag jede Event-ID darin auf Microsofts Referenzseiten nach. Füg „jede Event-ID mit der Hersteller-Referenz abgleichen“ deiner Checkliste hinzu.2 Min.