↳ Source GitHubRègle analytiqueHigh

GTI - Initial Access Broker Alert Detected

Description

Triggers an incident when a GTI Relevance System Alert of type initial_access_broker is ingested. Initial Access Broker alerts indicate that a threat actor is advertising or has sold access (credentials, VPN, RDP, admin panels, etc.) to an organisation that matches your profile. These are high-urgency signals that may indicate imminent compromise or an ongoing breach. Each unique Alert ID is grouped into a single incident.

Type de règle: Scheduled
Version: 1.0.0
Statut déclaré: Available
Fréquence: 5m
Période analysée: 5m
Déclenchement: gt 0

Couverture MITRE déclarée

Sources déclarées

Métadonnées du fichier source. Aucune dépendance déduite du KQL.

Connecteurs

GoogleThreatIntelligenceRelevanceSystemAlertsAPI

Types de données

RelevanceSystemAlerts_CL

Requête KQL

Requête originale, sans modification.

GTIRelevanceSystemAlerts
| where DetailType == "initial_access_broker"
| project
    TimeGenerated,
    AlertId,
    AlertName                       = DisplayName,
    AlertState                      = State,
    BrokerSeverity                  = InitialAccessBrokerSeverity,
    DiscoveryDocuments              = InitialAccessBrokerDiscoveryDocumentIds,
    PriorityLevel,
    PriorityReasoning,
    SeverityLevel,
    SeverityConfidence,
    SeverityReasoning,
    RelevanceLevel,
    RelevanceConfidence,
    RelevanceReasoning,
    FindingCount,
    AiSummary,
    CommonThemes                    = RelevanceEvidenceCommonThemes,
    DistinctThemes                  = RelevanceEvidenceDistinctThemes,
    AuditCreateTime,
    AuditUpdateTime

Contenus associés

Liens établis à partir des identifiants déclarés et des manifests des solutions.

Traçabilité de la source

GitHub

Les valeurs affichées proviennent des fichiers du dépôt Azure/Azure-Sentinel. Elles décrivent le modèle publié, pas la configuration de votre workspace.

Fichier: Solutions/Google Threat Intelligence/Analytic Rules/RelevanceSystemAlerts/GTI_InitialAccessBrokerAlerts.yaml ↗
Commit: 9800e51 ↗
Identifiant source: c3d4e5f6-a7b8-9012-cdef-123456789013

Autres fichiers source 2

Solutions/Google Threat Intelligence/Analytic Rules/RelevanceSystemAlerts/GTI_InitialAccessBrokerAlerts.yamlsource ↗Solutions/Google Threat Intelligence/Data/Solution_GoogleThreatIntelligence.jsonsolution-membership ↗

GSTEP / SUIVI DU CATALOGUE

Ajouté au catalogue : 16 sept. 2026 · 05:49 UTC
Dernier changement observé : 16 sept. 2026 · 05:49 UTC

Dates de synchronisation GSTEP, distinctes des dates de publication du contenu source.