analyzing-azure-activity-logs-for-threats

脅威を検出するための Azure Activity Logs の分析

使用するタイミング

• Azure Activity Logs を分析して脅威を調査する必要があるセキュリティインシデントを調査する場合
• このドメインの検出ルールや脅威ハンティングクエリを作成する場合
• SOC アナリストが、この種の分析に関する体系的な手順を必要とする場合
• 関連する攻撃手法に対するセキュリティ監視のカバレッジを検証する場合

前提条件

• セキュリティ運用の概念とツールに精通していること
• 安全に実行するためのテスト環境またはラボ環境へのアクセス
• 必要な依存関係をインストールした Python 3.8 以降
• テスト活動に必要な適切な権限

手順

azure-monitor-query を使用して Azure Log Analytics ワークスペースに対して KQL クエリを実行し、 疑わしい管理者操作やサインインの異常を検出します。

from azure.identity import DefaultAzureCredential
from azure.monitor.query import LogsQueryClient
from datetime import timedelta

credential = DefaultAzureCredential()
client = LogsQueryClient(credential)

response = client.query_workspace(
    workspace_id="WORKSPACE_ID",
    query="AzureActivity | where OperationNameValue has 'MICROSOFT.AUTHORIZATION/ROLEASSIGNMENTS/WRITE' | take 10",
    timespan=timedelta(hours=24),
)

主な検出クエリ：

1. ロール割り当ての変更（権限昇格）
2. リソースグループとサブスクリプションの変更
3. 新しい IP アドレスからの Key Vault シークレットへのアクセス
4. ネットワークセキュリティグループのルール変更
5. 条件付きアクセス ポリシーの変更

例

# Detect new Global Admin role assignments
query = '''
AuditLogs
| where OperationName == "Add member to role"
| where TargetResources[0].modifiedProperties[0].newValue has "Global Administrator"
'''