analisando-logs-de-atividade-do-azure-para-ameaças

Analisando Logs de Atividade do Azure para Ameaças

Quando Usar

• Ao investigar incidentes de segurança que exigem análise de logs de atividade do Azure para ameaças
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas

Pré-requisitos

• Familiaridade com conceitos e ferramentas de operações de segurança
• Acesso a um ambiente de teste ou laboratório para execução segura
• Python 3.8+ com as dependências necessárias instaladas
• Autorização apropriada para quaisquer atividades de teste

Instruções

Use azure-monitor-query para executar consultas KQL contra workspaces do Azure Log Analytics, detectando operações administrativas suspeitas e anomalias de login.

from azure.identity import DefaultAzureCredential
from azure.monitor.query import LogsQueryClient
from datetime import timedelta

credential = DefaultAzureCredential()
client = LogsQueryClient(credential)

response = client.query_workspace(
    workspace_id="WORKSPACE_ID",
    query="AzureActivity | where OperationNameValue has 'MICROSOFT.AUTHORIZATION/ROLEASSIGNMENTS/WRITE' | take 10",
    timespan=timedelta(hours=24),
)

Consultas-chave de detecção:

1. Alterações de atribuições de função (escalonamento de privilégios)
2. Modificações em grupos de recursos e assinaturas
3. Acesso a segredos do Key Vault a partir de novos IPs
4. Alterações em regras de grupos de segurança de rede
5. Modificações em políticas de acesso condicional

Exemplos

# Detectar novas atribuições de função de Administrador Global
query = '''
AuditLogs
| where OperationName == "Add member to role"
| where TargetResources[0].modifiedProperties[0].newValue has "Global Administrator"
'''