detecting-suspicious-oauth-application-consent について
Azure AD / Microsoft Entra IDのOAuthアプリ同意を調べるセキュリティスキルです。Microsoft Graphのデータから広範な権限、疑わしい同意イベント、未検証の発行元を特定し、リスクレポートを作成します。
主な機能
- 01OAuth2権限付与の列挙
- 02サービスプリンシパルとアプリ権限の一覧表示
- 03ディレクトリの同意監査イベントの確認
- 04高リスクのスコープと未検証発行元の検出
- 05JSONリスクレポートの生成
活用シーン
- 01疑わしいOAuth同意の調査
- 02付与済みアプリ権限の監査
- 03ユーザーとIP情報を含む同意イベントの確認
インストール
コマンドをコピーしてターミナルで実行します。
$
npx skills add https:/インストール後、Claude Code で/detecting-suspicious-oauth-application-consentを入力して読み込まれたか確認します。
同梱ファイル
SKILL.md と一緒にインストールされる参考資料やスクリプト。
LICENSEreferences/api-reference.mdscripts/agent.py詳細
不審な OAuth アプリケーションの同意を検出する
概要
不正な同意付与攻撃では、悪意のある OAuth アプリケーションに過剰なアクセス許可を付与するようユーザーを誘導します。このスキルでは、Microsoft Graph API を使用して OAuth2 のアクセス許可付与を列挙し、アプリケーションのアクセス許可を分析して過度に広範なスコープを特定し、ディレクトリ監査ログで同意イベントを確認し、発行元の確認状態とアクセス許可のスコープに基づいて高リスクのアプリケーションにフラグを付けます。
使用する場面
- 不審な OAuth アプリケーションの同意を検出する必要があるセキュリティインシデントを調査する場合
- この領域の検出ルールや脅威ハンティングクエリを作成する場合
- SOC アナリストが、この種の分析に関する体系的な手順を必要とする場合
- 関連する攻撃手法に対するセキュリティ監視の網羅性を検証する場合
前提条件
- グローバル閲覧者またはセキュリティ閲覧者のロールが割り当てられた Azure AD / Entra ID テナント
Application.Read.All、AuditLog.Read.All、Directory.Read.Allが付与された Microsoft Graph API アクセスmsal、requestsを使用する Python 3.9 以降- 認証用のクライアントシークレットまたは証明書を含むアプリ登録
手順
- MSAL のクライアント資格情報フローを使用して Microsoft Graph に認証します
/oauth2PermissionGrantsを使用して、すべての OAuth2 アクセス許可付与を列挙します- サービスプリンシパルと、割り当てられているアプリケーションのアクセス許可を一覧表示します
- ディレクトリ監査ログで
Consent to applicationイベントをクエリします - 高リスクのスコープ（Mail.Read、Files.ReadWrite.All など）を持つアプリケーションにフラグを付けます
- 各アプリケーションの発行元確認状態を確認します
- 修復に関する推奨事項を含むリスクレポートを作成します
期待される出力
- 付与されたアクセス許可、リスクスコア、未確認の発行元、不審な同意パターンを含む、すべての OAuth アプリを記載した JSON レポート
- ユーザーと IP の詳細を含む同意付与イベントの監査証跡
コメント
Markdown 対応