↳ Source GitHubRègle analytiqueHigh
Utimaco ESKM - Burst of KMIP DESTROY operations by a single user
Description
Identifies a single KMIP user issuing 20 or more DESTROY operations within 10 minutes on Utimaco ESKM. May indicate mass key/object deletion, insider sabotage, or ransomware-style cryptographic-material destruction.
- Type de règle
- Scheduled
- Version
- 1.0.0
- Statut déclaré
- Available
- Fréquence
- 10m
- Période analysée
- 10m
- Déclenchement
- gt 0
Couverture MITRE déclarée
Sources déclarées
Métadonnées du fichier source. Aucune dépendance déduite du KQL.
Connecteurs
Types de données
Requête KQL
Requête originale, sans modification.
UtimacoESKMKmipServerLogs_CL
| where TimeGenerated > ago(10m)
| where Operation == "DESTROY"
| where Result == "SUCCESS"
| where isnotempty(User)
| summarize DestroyCount = count(), StartTime = min(TimeGenerated), EndTime = max(TimeGenerated), ObjectTypes = make_set(ObjectType, 25), UUIDs = make_set(UUID, 100), SourceIPs = make_set(IP, 25) by User
| where DestroyCount >= 20
| extend AccountCustomEntity = User
Entités déclarées
Contenus associés
Liens établis à partir des identifiants déclarés et des manifests des solutions.
Traçabilité de la source
GitHubLes valeurs affichées proviennent des fichiers du dépôt Azure/Azure-Sentinel. Elles décrivent le modèle publié, pas la configuration de votre workspace.
- Fichier
- Solutions/Utimaco Enterprise Secure Key Manager/Analytic Rules/UtimacoESKM_DestroyBurst.yaml ↗
- Commit
629d1d3↗- Identifiant source
9b1a3b3e-7e16-4a3b-8a8f-7f1f2b1c0a03
GSTEP / SUIVI DU CATALOGUE
Ajouté au catalogue : 16 sept. 2026 · 05:49 UTC
Dernier changement observé : 16 sept. 2026 · 05:49 UTC