Akademiya
TerminMüdafiə

Sorğuların izlənməsi

Query monitoring

Verilənlər bazalarında və məlumat anbarlarında işə salınan sorğuların qeyd edilib qeyri-adi giriş və kütləvi məlumat çıxarılması baxımından izlənməsi.

Axın

  1. 1Qeyd
  2. 2Baza
  3. 3Xəbərdarlıq
Əlaqəli ailələr
—
MITRE ATT&CK
T1213 · Data from Information Repositories
Mənbə
4 mənbə
01

Ümumi baxış

Oğurlanmış giriş məlumatı ilə daxil olan hücumçu qanuni istifadəçi kimi görünür. Fərq onun nə etdiyindədir: bütün cədvəlləri siyahılayan, böyük həcmdə məlumat kopyalayan sorğular. Google Cloud (Mandiant)

MITRE ATT&CK məlumat anbarlarından məlumat toplanmasını ayrıca texnika kimi təyin edir; sorğu qeydləri bu texnikanın ən birbaşa izidir. MITRE ATT&CK

02

Necə işləyir

  1. 1

    Qeyd

    Hər sorğu istifadəçi, mənbə ünvanı və vaxtla saxlanılır. MITRE ATT&CK

  2. 2

    Baza

    Hər hesabın adi sorğu həcmi və növləri müəyyən edilir.

  3. 3

    Xəbərdarlıq

    Kütləvi siyahılama və ixrac sorğuları işarələnir. Google Cloud (Mandiant)

03

Real nümunələr

Snowflake: SHOW TABLES və COPY INTO

Mandiant-a görə UNC5537 SHOW TABLES ilə verilənlər bazalarını siyahıladı, sonra COPY INTO ilə məlumatları müvəqqəti mərhələyə kopyalayıb kənara çıxardı; giriş üçün FROSTBITE adlı alətdən istifadə olundu. Google Cloud (Mandiant)

04

Necə aşkar edilir

  • Hesabın ilk dəfə bütün sxemləri siyahılaması və ya xarici məkana kütləvi kopyalama etməsi. Google Cloud (Mandiant)
05

Nə etməli

  • Məlumat anbarına girişi etibarlı şəbəkələrlə məhdudlaşdırın və çoxfaktorlu autentifikasiya tələb edin. MITRE ATT&CK
06

MITRE ATT&CK

T1213Data from Information RepositoriesT1078Valid Accounts
07

Əlaqəli terminlər

Terminlər

Məlumatın çıxarılmasıHesabın ələ keçirilməsiSızmanın təsir təhlili
08

Mənbələr

  1. 1Data from Information Repositories (T1213) · MITRE ATT&CK
  2. 2Valid Accounts (T1078) · MITRE ATT&CK
  3. 3UNC5537 targets Snowflake customer instances · Google Cloud (Mandiant), 2024
  4. 4Multi-factor Authentication (M1032) · MITRE ATT&CK