Databricks 发布凭据攻击检测方法

Databricks 发布博客，说明如何用 verbose audit logs 与 Genie 检测凭据驱动攻击中的身份行为偏移。据其介绍，攻击者使用泄露的 session cookie、PAT 或 service-principal 凭据登录后，活动可归为从有效凭据登录、环境侦察到权限提升的六个阶段，事件按 service_name.action_name 记录，例如 secrets.getSecret。 使用前需安装 Detection App，为 Databricks 审计日志添加 Genie agent。Databricks 提示：查询结果为空不代表没有发生，可能是事件不在时间窗口内或 verbose audit logging 未开启；审计日志通常只记录变更及操作者，不记录变更前后的值；命令文本仅在开启记录时才会留下。 该博客描述的是检测思路与响应、限制被盗凭据影响范围的控制措施，未给出实际拦截或减少攻击的效果数据。

AI 根据报道生成 · 27 分钟前更新

还没有足够的连续观测数据，暂不绘制趋势。