detecting-azure-lateral-movement

检测 Azure 横向移动

概述

Azure AD/Entra ID 中的横向移动与本地环境不同。攻击者通过 OAuth 应用程序同意授权、服务主体滥用、跨租户访问策略和窃取的刷新令牌进行横向移动，而不是通过 SMB/RDP 连接。检测需要在 Microsoft Sentinel 中使用 KQL 查询，关联 Microsoft Graph API 审核日志、Azure AD 登录日志和 Entra ID 保护风险事件。本技能涵盖为常见 Azure 横向移动技术构建检测分析，包括应用程序模拟、邮箱委派滥用和条件访问策略绕过。

何时使用

• 当调查需要检测 azure 横向移动的安全事件时
• 当为该领域构建检测规则或威胁狩猎查询时
• 当 SOC 分析师需要该分析类型的结构化流程时
• 当验证相关攻击技术的安全监控覆盖时

先决条件

• 已配置 Microsoft Sentinel 工作区的 Azure 订阅
• 用于基于风险登录检测的 Azure AD P2 或 Entra ID P2 许可证
• Microsoft Graph API 权限：AuditLog.Read.All、Directory.Read.All、SecurityEvents.Read.All
• 正在摄取 AuditLogs、SigninLogs 和 AADServicePrincipalSignInLogs 的 Log Analytics 工作区
• 熟悉 KQL（Kusto 查询语言）

步骤

步骤 1：配置日志摄取

启用诊断设置以将 Azure AD 日志流式传输到 Log Analytics：

• 登录日志（交互式和非交互式）
• 审核日志（目录更改、应用同意）
• 服务主体登录日志
• 预配日志
• 风险用户和风险检测

步骤 2：构建检测查询

在 Sentinel 中为以下内容创建 KQL 分析规则：

• 异常的服务主体凭据添加
• 向未知应用的 OAuth 应用程序同意授权
• 来自新租户的跨租户登录
• 来自不同 IP/用户代理组合的令牌重放
• 邮箱委派更改（FullAccess、SendAs）

步骤 3：关联事件

通过在时间窗口内关联登录异常与目录更改，将多个低置信度指标串联为高置信度的横向移动检测。

步骤 4：自动化响应

创建 Sentinel playbook（Logic Apps），以自动撤销可疑的 OAuth 授权、禁用受陷的服务主体并强制执行提升身份验证。

预期输出

包含检测到的横向移动指标、关联事件链、受影响身份以及推荐遏制措施的 JSON 报告，并带有 MITRE ATT&CK 技术映射。