detecting-azure-lateral-movement

Azure のラテラルムーブメントの検出

概要

Azure AD／Entra ID におけるラテラルムーブメントは、オンプレミス環境とは異なります。攻撃者は SMB／RDP 接続ではなく、OAuth アプリケーションの同意付与、サービスプリンシパルの悪用、テナント間アクセス ポリシー、盗まれたリフレッシュトークンを利用して横展開します。検出には、Microsoft Sentinel で KQL クエリを使用して、Microsoft Graph API の監査ログ、Azure AD のサインインログ、Entra ID Protection のリスクイベントを関連付ける必要があります。このスキルでは、アプリケーションのなりすまし、メールボックスの委任権限の悪用、条件付きアクセス ポリシーのバイパスなど、一般的な Azure のラテラルムーブメント手法に対する検出分析の構築について説明します。

使用する場面

• Azure のラテラルムーブメントを検出する必要があるセキュリティインシデントを調査するとき
• この分野の検出ルールや脅威ハンティングクエリを作成するとき
• SOC アナリストがこの種の分析に対する構造化された手順を必要とするとき
• 関連する攻撃手法に対するセキュリティ監視の範囲を検証するとき

前提条件

• Microsoft Sentinel ワークスペースが構成された Azure サブスクリプション
• リスクベースのサインイン検出に必要な Azure AD P2 または Entra ID P2 ライセンス
• Microsoft Graph API のアクセス許可：AuditLog.Read.All、Directory.Read.All、SecurityEvents.Read.All
• AuditLogs、SigninLogs、AADServicePrincipalSignInLogs を取り込む Log Analytics ワークスペース
• KQL（Kusto Query Language）の知識

手順

ステップ 1：ログの取り込みを構成する

Azure AD のログを Log Analytics にストリーミングするよう、診断設定を有効にします。

• サインインログ（対話型および非対話型）
• 監査ログ（ディレクトリの変更、アプリの同意）
• サービスプリンシパルのサインインログ
• プロビジョニングログ
• リスクのあるユーザーとリスク検出

ステップ 2：検出クエリを作成する

次の項目を対象とした KQL 分析ルールを Sentinel で作成します。

• 不審なサービスプリンシパルの資格情報追加
• 不明なアプリへの OAuth アプリケーションの同意付与
• 新しいテナントからのテナント間サインイン
• 異なる IP／ユーザーエージェントの組み合わせからのトークンリプレイ
• メールボックスの委任権限の変更（FullAccess、SendAs）

ステップ 3：イベントを関連付ける

サインインの異常と、一定の時間枠内に発生したディレクトリ変更を関連付け、信頼度の低い複数の指標を高信頼度のラテラルムーブメント検出へと組み合わせます。

ステップ 4：対応を自動化する

不審な OAuth の同意付与の取り消し、侵害されたサービスプリンシパルの無効化、追加認証の強制を自動的に実行する Sentinel プレイブック（Logic Apps）を作成します。

期待される出力

検出されたラテラルムーブメントの指標、関連付けられたイベントの連鎖、影響を受けた ID、MITRE ATT&CK の手法マッピングを含む、推奨される封じ込め措置を記載した JSON レポート。