Analysieren von Azure-Aktivitätsprotokollen auf Bedrohungen

Was macht Analysieren von Azure-Aktivitätsprotokollen auf Bedrohungen?

Wann verwenden

• Bei der Untersuchung von Sicherheitsvorfällen, die die Analyse von Azure-Aktivitätsprotokollen auf Bedrohungen erfordern.
• Beim Erstellen von Erkennungsregeln oder Threat-Hunting-Abfragen für diesen Bereich.
• Wenn SOC-Analysten strukturierte Verfahren für diese Art von Analyse benötigen.
• Bei der Validierung der Sicherheitsüberwachungsabdeckung für relevante Angriffstechniken.

Voraussetzungen

• Vertrautheit mit Konzepten und Werkzeugen der Sicherheitsoperationen.
• Zugriff auf eine Test- oder Laborumgebung zur sicheren Ausführung.
• Python 3.8+ mit installierten erforderlichen Abhängigkeiten.
• Entsprechende Autorisierung für jegliche Testaktivitäten.

Anleitung

Verwenden Sie azure-monitor-query, um KQL-Abfragen gegen Azure Log Analytics-Arbeitsbereiche auszuführen und verdächtige Administratorvorgänge sowie Anmeldeanomalien zu erkennen.

from azure.identity import DefaultAzureCredential
from azure.monitor.query import LogsQueryClient
from datetime import timedelta

credential = DefaultAzureCredential()
client = LogsQueryClient(credential)

response = client.query_workspace(
    workspace_id="WORKSPACE_ID",
    query="AzureActivity | where OperationNameValue has 'MICROSOFT.AUTHORIZATION/ROLEASSIGNMENTS/WRITE' | take 10",
    timespan=timedelta(hours=24),
)

Wichtige Erkennungsabfragen:

1. Änderungen an Rollenzuweisungen (Rechteausweitung)
2. Änderungen an Ressourcengruppen und Abonnements
3. Zugriff auf Key Vault-Geheimnisse von neuen IPs
4. Änderungen an Netzwerksicherheitsgruppen-Regeln
5. Änderungen an Richtlinien für bedingten Zugriff

Beispiele

# Neue Global Admin-Rollenzuweisungen erkennen
query = '''
AuditLogs
| where OperationName == "Add member to role"
| where TargetResources[0].modifiedProperties[0].newValue has "Global Administrator"
'''