mcpField
D
detecting-suspicious-oauth-application-consent

detecting-suspicious-oauth-application-consent

github.com/mukul975安全35.2k78 次安装8 周前更新
代码仓库

关于 detecting-suspicious-oauth-application-consent

用于审查 Azure AD / Microsoft Entra ID 中 OAuth 应用授权的安全技能。它通过 Microsoft Graph 数据识别权限范围过广、可疑授权事件和未验证发布者，并生成风险报告。

主要功能

  1. 01枚举 OAuth2 权限授权
  2. 02列出服务主体及其应用权限
  3. 03审查目录中的授权审计事件
  4. 04标记高风险范围和未验证发布者
  5. 05生成 JSON 风险报告

适用场景

  1. 01调查可疑 OAuth 授权
  2. 02审计已授予的应用权限
  3. 03查看包含用户和 IP 信息的授权事件

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill detecting-suspicious-oauth-application-consent

安装后在 Claude Code 中输入/detecting-suspicious-oauth-application-consent确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
references/
api-reference.md
scripts/
agent.py

详细介绍

检测可疑 OAuth 应用授权

概述

非法授权授予攻击会诱骗用户向 Azure AD / Microsoft Entra ID 中的恶意 OAuth 应用授予过多权限。此技能使用 Microsoft Graph API 枚举 OAuth2 权限授权，分析应用权限是否包含范围过广的权限范围，检查目录审核日志中的授权事件，并根据发布者验证状态和权限范围标记高风险应用。

适用场景

  • 调查需要检测可疑 OAuth 应用授权的安全事件时
  • 为此领域构建检测规则或威胁狩猎查询时
  • SOC 分析师需要针对这类分析制定结构化流程时
  • 验证相关攻击技术的安全监控覆盖情况时

前提条件

  • Azure AD / Entra ID 租户，且具有 Global Reader 或 Security Reader 角色
  • 具有 Application.Read.All、AuditLog.Read.All、Directory.Read.All 权限的 Microsoft Graph API 访问权限
  • 安装了 msal、requests 的 Python 3.9+
  • 用于身份验证、包含客户端密钥或证书的应用注册

步骤

  1. 使用 MSAL 客户端凭据流向 Microsoft Graph 进行身份验证
  2. 通过 /oauth2PermissionGrants 枚举所有 OAuth2 权限授权
  3. 列出服务主体及其获分配的应用程序权限
  4. 查询目录审核日志中的 Consent to application 事件
  5. 标记具有高风险权限范围（Mail.Read、Files.ReadWrite.All 等）的应用
  6. 检查每个应用的发布者验证状态
  7. 生成包含修复建议的风险报告

预期输出

  • JSON 报告，列出所有 OAuth 应用的已授予权限、风险评分、未经验证的发布者和可疑授权模式
  • 包含用户和 IP 详细信息的授权授予事件审计轨迹

评论

支持 Markdown