Azure WAF에서 웹 애플리케이션 취약점 스캐닝을 탐지하는 경우 이벤트를 생성합니다.
Overview
| Priority | Low |
|---|---|
| Type | Stream |
| Log schema | azure-waf-detect |
| Message | 웹 애플리케이션 취약점 스캔: $src_ip |
| Output field order | _log_time, gw_instance_id, session_id, src_ip, signature, reason, action, matched_data, host, path, query, sid, rule_group |
| MITRE Techniques | T1595.002 Active Scanning: Vulnerability Scanning |
| MITRE tactics | TA0043 Reconnaissance |
Query
1| search rule_group == "*SCANNER-DETECTION*"
Azure WAF 탐지 로그에서 rule_group 이 SCANNER-DETECTION 문자열을 포함한 경우에 탐지합니다.
탐지 대상 rule_group은 구체적으로 아래와 같습니다:
- REQUEST-913-SCANNER-DETECTION
Target logger models
- Azure WAF azure-event-hubs
Threat analysis
- 공격자는 취약점 진단으로 식별된 웹 애플리케이션 취약점을 공격할 수 있습니다.
Response actions
- 지속적으로 취약점을 탐색하거나 취약점 공격을 시도하는 경우 위협 IP 주소를 방화벽, 침입방지시스템, 웹방화벽 등에서 일정 기간 동안 차단 조치합니다.