分析Azure活动日志以识别威胁

分析Azure活动日志以识别威胁 是做什么的？

何时使用

• 调查需要对Azure活动日志进行以威胁为导向的分析的安全事件时
• 需要为此领域构建检测规则或威胁狩猎查询时
• SOC分析师需要对该分析类型有结构化的操作流程时
• 验证相关攻击技术对应的安全监控覆盖范围时

前提条件

• 熟悉安全运营概念和工具
• 拥有一个测试或实验环境以安全执行操作
• Python 3.8+ 及已安装所需依赖
• 对任何测试活动具有适当的授权

操作说明

使用azure-monitor-query对Azure Log Analytics工作区执行KQL查询，检测可疑的管理操作和登录异常。

from azure.identity import DefaultAzureCredential
from azure.monitor.query import LogsQueryClient
from datetime import timedelta

credential = DefaultAzureCredential()
client = LogsQueryClient(credential)

response = client.query_workspace(
    workspace_id="WORKSPACE_ID",
    query="AzureActivity | where OperationNameValue has 'MICROSOFT.AUTHORIZATION/ROLEASSIGNMENTS/WRITE' | take 10",
    timespan=timedelta(hours=24),
)

关键检测查询：

1. 角色分配变更（特权提升）
2. 资源组和订阅修改
3. 从新IP访问Key Vault密钥
4. 网络安全组规则变更
5. 条件访问策略修改

示例

# 检测新的全局管理员角色分配
query = '''
AuditLogs
| where OperationName == "Add member to role"
| where TargetResources[0].modifiedProperties[0].newValue has "Global Administrator"
'''