↳ Source GitHubRègle analytiqueHigh

Illumio VEN Clone Detection Rule

Voir sur GitHub ↗Fichier original ↗

Description

'Create Microsoft Sentinel Incident When A Cloned Ven Is Detected'

Type de règle: Scheduled
Version: 1.0.6
Statut déclaré: Available
Fréquence: 60m
Période analysée: 60m
Déclenchement: gt 0

Couverture MITRE déclarée

DefenseEvasion T1562

Sources déclarées

Métadonnées du fichier source. Aucune dépendance déduite du KQL.

Connecteurs

IllumioSaaSDataConnector SyslogAma

Types de données

Illumio_Auditable_Events_CL

Requête KQL

Requête originale, sans modification.

Illumio_Auditable_Events_CL
| union IllumioSyslogAuditEvents  
| where event_type has 'agent.clone_detected'
| extend hostname = created_by.agent.hostname,
        ven_href = created_by.ven.href

Entités déclarées

Host

Contenus associés

Liens établis à partir des identifiants déclarés et des manifests des solutions.

Traçabilité de la source

GitHub

Les valeurs affichées proviennent des fichiers du dépôt Azure/Azure-Sentinel. Elles décrivent le modèle publié, pas la configuration de votre workspace.

Fichier: Solutions/IllumioSaaS/Analytic Rules/Illumio_VEN_Clone_Detection_Query.yaml ↗
Commit: 9800e51 ↗
Identifiant source: b3c4b8f4-c12c-471e-9999-023c05852276

Autres fichiers source 2

Solutions/IllumioSaaS/Analytic Rules/Illumio_VEN_Clone_Detection_Query.yamlsource ↗Solutions/IllumioSaaS/data/Solution_IllumioSaaS.jsonsolution-membership ↗

GSTEP / SUIVI DU CATALOGUE

Ajouté au catalogue : 16 sept. 2026 · 05:49 UTC
Dernier changement observé : 16 sept. 2026 · 05:49 UTC

Dates de synchronisation GSTEP, distinctes des dates de publication du contenu source.