Azure-Sentinel中SharePoint下载行为异常检测规则的分析与优化

背景介绍

在Azure-Sentinel安全分析平台中，SharePoint下载行为监控是一个重要的安全检测场景。其中"SharePoint_Downloads_byNewIP"规则用于检测用户从新IP地址下载SharePoint文件的异常行为，这是识别潜在账户泄露或内部威胁的关键指标。

问题发现

在分析该检测规则的KQL查询逻辑时，发现其基线计算部分存在潜在缺陷。原始查询通过以下方式计算用户行为基线：

1. 首先在14天的时间窗口内统计每个用户对每个站点URL从特定IP地址的操作次数
2. 然后简单地计算这些计数的平均值作为基线

这种计算方法忽略了时间维度上的分布特征，可能导致基线计算不准确。例如，一个用户在13天内有少量操作，但在第14天有大量操作，原始方法会将这些操作平均计算，无法真实反映用户日常行为模式。

技术分析

正确的基线计算方法应考虑时间维度上的分布特征。具体来说：

1. 应该先将时间划分为固定间隔（如1天）
2. 统计每个时间间隔内的操作次数
3. 然后计算这些日统计值的平均值

这种方法能更准确地反映用户的日常行为模式，避免因某天异常活动而影响整体基线计算。

优化方案

优化后的KQL查询逻辑应调整为：

let userBaseline = OfficeActivity
| where TimeGenerated between(ago(starttime)..ago(endtime))
| where RecordType =~ szSharePointFileOperation
| where Operation in~ (szOperations)
| where isnotempty(UserAgent)
| summarize Count = count() by UserId, Operation, Site_Url, ClientIP, bin(TimeGenerated, 1d)
| summarize AvgCount = avg(Count) by UserId, Operation, Site_Url, ClientIP;

关键改进点是在第一次summarize时增加了按天分组(bin(TimeGenerated, 1d))，这样后续的平均值计算才是真正的日均值，而非总平均值。

影响范围

这种基线计算方法的问题不仅存在于"SharePoint_Downloads_byNewIP"规则中，其他采用类似逻辑的检测规则也可能存在相同问题。安全团队应全面审查所有基于用户行为基线的检测规则，确保其统计方法的正确性。

实施建议

对于使用Azure-Sentinel的组织，建议：

1. 检查所有基于用户行为基线的检测规则
2. 确保时间维度被正确纳入基线计算
3. 根据实际业务场景调整时间分桶粒度（如1小时、1天等）
4. 对修改后的规则进行充分测试，验证其检测效果

正确的基线计算方法能显著提高异常检测的准确性，减少误报和漏报，提升整体安全运营效率。