Akademi
TerimSavunma

Sorgu izleme

Query monitoring

Veritabanı ve veri ambarlarında çalıştırılan sorguların kaydedilip olağandışı erişim ve toplu veri çıkışı açısından izlenmesi.

Akış

  1. 1Kayıt
  2. 2Temel
  3. 3Uyarı
İlgili aileler
—
MITRE ATT&CK
T1213 · Data from Information Repositories
Kaynak
4 kaynak
01

Genel bakış

Çalınan kimlik bilgisiyle giriş yapan saldırgan meşru bir kullanıcı gibi görünür. Fark, ne yaptığındadır: tüm tabloları listeleyen, büyük hacimde veri kopyalayan sorgular. Google Cloud (Mandiant)

MITRE ATT&CK, bilgi depolarından veri toplamayı ayrı bir teknik olarak tanımlar; sorgu kayıtları bu tekniğin en doğrudan izidir. MITRE ATT&CK

02

Nasıl çalışır

  1. 1

    Kayıt

    Her sorgu, kullanıcı, kaynak adres ve zamanla saklanır. MITRE ATT&CK

  2. 2

    Temel

    Her hesabın olağan sorgu hacmi ve türü belirlenir.

  3. 3

    Uyarı

    Toplu listeleme ve dışa aktarım sorguları işaretlenir. Google Cloud (Mandiant)

03

Gerçek örnekler

Snowflake: SHOW TABLES ve COPY INTO

Mandiant’a göre UNC5537 SHOW TABLES ile veritabanlarını listeledi, ardından COPY INTO ile verileri geçici bir aşamaya kopyalayıp dışarı aldı; erişimde FROSTBITE adlı araç kullanıldı. Google Cloud (Mandiant)

04

Nasıl fark edilir

  • Bir hesabın ilk kez tüm şemaları listelemesi ya da dış konuma toplu kopyalama yapması. Google Cloud (Mandiant)
05

Ne yapılmalı

  • Veri ambarı erişimini güvenilen ağlarla sınırlayın ve çok aşamalı doğrulama isteyin. MITRE ATT&CK
06

MITRE ATT&CK

T1213Data from Information RepositoriesT1078Valid Accounts
07

İlgili terimler

Terimler

Veri sızdırmaHesap ele geçirmeSızıntı etki analizi
08

Kaynaklar

  1. 1Data from Information Repositories (T1213) · MITRE ATT&CK
  2. 2Valid Accounts (T1078) · MITRE ATT&CK
  3. 3UNC5537 targets Snowflake customer instances · Google Cloud (Mandiant), 2024
  4. 4Multi-factor Authentication (M1032) · MITRE ATT&CK