¿Qué hace Análisis de Registros de Actividad de Azure para Amenazas?
Cuándo usar
- Al investigar incidentes de seguridad que requieren analizar los registros de actividad de Azure en busca de amenazas
- Al construir reglas de detección o consultas de búsqueda de amenazas para este dominio
- Cuando los analistas de SOC necesitan procedimientos estructurados para este tipo de análisis
- Al validar la cobertura de monitoreo de seguridad para técnicas de ataque relacionadas
Prerrequisitos
- Familiaridad con conceptos y herramientas de operaciones de seguridad
- Acceso a un entorno de pruebas o laboratorio para ejecución segura
- Python 3.8+ con las dependencias requeridas instaladas
- Autorización apropiada para cualquier actividad de prueba
Instrucciones
Usa azure-monitor-query para ejecutar consultas KQL contra workspaces de Azure Log Analytics, detectando operaciones administrativas sospechosas y anomalías en inicios de sesión.
from azure.identity import DefaultAzureCredential
from azure.monitor.query import LogsQueryClient
from datetime import timedelta
credential = DefaultAzureCredential()
client = LogsQueryClient(credential)
response = client.query_workspace(
workspace_id="WORKSPACE_ID",
query="AzureActivity | where OperationNameValue has 'MICROSOFT.AUTHORIZATION/ROLEASSIGNMENTS/WRITE' | take 10",
timespan=timedelta(hours=24),
)
Consultas clave de detección:
- Cambios en asignaciones de roles (escalada de privilegios)
- Modificaciones en grupos de recursos y suscripciones
- Acceso a secretos de Key Vault desde nuevas IPs
- Cambios en reglas de grupos de seguridad de red
- Modificaciones en políticas de acceso condicional
Ejemplos
# Detectar nuevas asignaciones de rol de Administrador Global
query = '''
AuditLogs
| where OperationName == "Add member to role"
| where TargetResources[0].modifiedProperties[0].newValue has "Global Administrator"
'''