Que fait Analyse des journaux d'activité Azure pour les menaces ?
Quand utiliser
- Lors de l'investigation d'incidents de sécurité nécessitant l'analyse des journaux d'activité Azure pour les menaces
- Lors de la création de règles de détection ou de requêtes de chasse aux menaces pour ce domaine
- Lorsque les analystes SOC ont besoin de procédures structurées pour ce type d'analyse
- Lors de la validation de la couverture de la surveillance de sécurité pour les techniques d'attaque associées
Prérequis
- Familiarité avec les concepts et outils des opérations de sécurité
- Accès à un environnement de test ou de laboratoire pour une exécution sécurisée
- Python 3.8+ avec les dépendances requises installées
- Autorisation appropriée pour toute activité de test
Instructions
Utilisez azure-monitor-query pour exécuter des requêtes KQL dans les espaces de travail Azure Log Analytics, détectant les opérations administratives suspectes et les anomalies de connexion.
from azure.identity import DefaultAzureCredential
from azure.monitor.query import LogsQueryClient
from datetime import timedelta
credential = DefaultAzureCredential()
client = LogsQueryClient(credential)
response = client.query_workspace(
workspace_id="WORKSPACE_ID",
query="AzureActivity | where OperationNameValue has 'MICROSOFT.AUTHORIZATION/ROLEASSIGNMENTS/WRITE' | take 10",
timespan=timedelta(hours=24),
)
Requêtes de détection clés :
- Modifications des attributions de rôles (escalade de privilèges)
- Modifications des groupes de ressources et des abonnements
- Accès aux secrets Key Vault depuis de nouvelles adresses IP
- Modifications des règles de groupe de sécurité réseau
- Modifications des stratégies d'accès conditionnel
Exemples
# Détecter les nouvelles attributions de rôles d'administrateur général
query = '''
AuditLogs
| where OperationName == "Add member to role"
| where TargetResources[0].modifiedProperties[0].newValue has "Global Administrator"
'''