Для виявлення дій маскувальника (ransomware) у Splunk використовується запит Sysmon. Який вираз відстежує масову створення нових файлів за хвилину?

Question

Answer

cisco:asa | stats count by src_ip | where count > 1000

Answer

index

Answer

count() | search deauth_count > 50

Answer

select * from syslog where severity

Answer

0x0c | eval deauth_count

Answer

'Emergency' order by timestamp desc limit 10

Answer

wlan.fc.type_subtype

Answer

main sourcetype

Answer

1m count(EventDescription) AS "new_files" | search new_files>10

Answer

streamstats time_window

Crowdly