mcpField
A
analyzing-azure-activity-logs-for-threats

analyzing-azure-activity-logs-for-threats

github.com/mukul975安全35.2k473 次安装8 周前更新
代码仓库

关于 analyzing-azure-activity-logs-for-threats

面向 SOC 分析人员的 Azure Activity Logs 威胁分析技能，提供通过 Azure Log Analytics 执行 KQL 查询的说明。检测场景包括权限变更、资源修改、密钥访问异常及策略调整。

主要功能

  1. 01使用 KQL 查询 Azure Activity Logs
  2. 02检测角色分配变更
  3. 03检查资源组与订阅修改
  4. 04发现来自新 IP 的 Key Vault 密钥访问
  5. 05监控网络安全组与条件访问策略变更

适用场景

  1. 01调查 Azure 活动日志中的安全事件
  2. 02构建威胁检测规则或狩猎查询
  3. 03检查特权提升与管理操作
  4. 04验证相关攻击技术的监控覆盖

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill analyzing-azure-activity-logs-for-threats

安装后在 Claude Code 中输入/analyzing-azure-activity-logs-for-threats确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
references/
api-reference.md
scripts/
agent.py

详细介绍

分析 Azure 活动日志中的威胁

适用场景

  • 调查需要分析 Azure 活动日志以发现威胁的安全事件时
  • 为此领域构建检测规则或威胁狩猎查询时
  • SOC 分析师需要此类分析的结构化流程时
  • 验证对相关攻击技术的安全监控覆盖情况时

前提条件

  • 熟悉安全运营概念和工具
  • 可访问用于安全执行的测试或实验环境
  • 已安装所需依赖项的 Python 3.8+
  • 已获得开展任何测试活动的适当授权

使用说明

使用 azure-monitor-query 对 Azure Log Analytics 工作区执行 KQL 查询， 检测可疑的管理员操作和登录异常。

from azure.identity import DefaultAzureCredential
from azure.monitor.query import LogsQueryClient
from datetime import timedelta

credential = DefaultAzureCredential()
client = LogsQueryClient(credential)

response = client.query_workspace(
    workspace_id="WORKSPACE_ID",
    query="AzureActivity | where OperationNameValue has 'MICROSOFT.AUTHORIZATION/ROLEASSIGNMENTS/WRITE' | take 10",
    timespan=timedelta(hours=24),
)

关键检测查询：

  1. 角色分配变更（权限提升）
  2. 资源组和订阅修改
  3. 来自新 IP 的密钥保管库机密访问
  4. 网络安全组规则变更
  5. 条件访问策略修改

示例

# Detect new Global Admin role assignments
query = '''
AuditLogs
| where OperationName == "Add member to role"
| where TargetResources[0].modifiedProperties[0].newValue has "Global Administrator"
'''

评论

支持 Markdown