↳ Source GitHubRègle analytiqueMedium

PaloAlto - Forbidden countries

Description

'Detects suspicious connections from forbidden countries.'
Type de règle
Scheduled
Version
1.0.4
Statut déclaré
Available
Fréquence
1h
Période analysée
1h
Déclenchement
gt 0

Couverture MITRE déclarée

Sources déclarées

Métadonnées du fichier source. Aucune dépendance déduite du KQL.

Connecteurs

Types de données

Requête KQL

Requête originale, sans modification.

let bl_countries = dynamic(['CH', 'RU']);
PaloAltoCDLEvent 
| where EventResourceId =~ 'TRAFFIC'
| where MaliciousIPCountry  in (bl_countries)
| summarize count() by DstUsername, SrcIpAddr 
| extend IPCustomEntity = SrcIpAddr, AccountCustomEntity = DstUsername

Entités déclarées

AccountIP

Contenus associés

Liens établis à partir des identifiants déclarés et des manifests des solutions.

Traçabilité de la source

GitHub

Les valeurs affichées proviennent des fichiers du dépôt Azure/Azure-Sentinel. Elles décrivent le modèle publié, pas la configuration de votre workspace.

Identifiant source
9fcc7734-4d1b-11ec-81d3-0242ac130003
Autres fichiers source 2Solutions/PaloAltoCDL/Analytic Rules/PaloAltoCDLUnexpectedCountries.yamlsource ↗Solutions/PaloAltoCDL/Data/Solution_PaloAltoCDL.jsonsolution-membership ↗
GSTEP / SUIVI DU CATALOGUE

Ajouté au catalogue : 16 sept. 2026 · 05:49 UTC
Dernier changement observé : 16 sept. 2026 · 05:49 UTC

Dates de synchronisation GSTEP, distinctes des dates de publication du contenu source.