↳ Source GitHubRègle analytiqueMedium
Forescout-DNS_Sniff_Event_Monitor
Description
This rule creates an incident when more than certain number of Dnsniff events are generated from a host
- Type de règle
- Scheduled
- Version
- 2.0.2
- Fréquence
- 5m
- Période analysée
- 5m
- Déclenchement
- gt 0
Requête KQL
Requête originale, sans modification.
ForescoutHostProperties_CL | extend d = parse_json(HostProperties) | where d.DnsniffEvent matches regex "DNS Query Type:.A;DNS Query/Response:.Query" | extend ipaddress = iif(isnotempty(Ipv4Addr), Ipv4Addr, (iif(isnotempty(Ipv6Addr), Ipv6Addr, ""))) | where isnotempty(ipaddress) and isnotempty(EmIpAddr) | summarize NumEvents_d =count() by ipaddress, EmIpAddr | where NumEvents_d > 2 | sort by NumEvents_d asc | project NumEvents_d, ipaddress, EmIpAddrEntités déclarées
Contenus associés
Liens établis à partir des identifiants déclarés et des manifests des solutions.
Traçabilité de la source
GitHubLes valeurs affichées proviennent des fichiers du dépôt Azure/Azure-Sentinel. Elles décrivent le modèle publié, pas la configuration de votre workspace.
- Commit
629d1d3↗- Identifiant source
d272e277-f285-4dbc-ae2d-7f65ba64a79e
GSTEP / SUIVI DU CATALOGUE
Ajouté au catalogue : 16 sept. 2026 · 05:49 UTC
Dernier changement observé : 16 sept. 2026 · 05:49 UTC