分析 Azure 活動記錄中的威脅

分析 Azure 活動記錄中的威脅 是做什麼的？

使用時機

• 調查需要分析 Azure 活動記錄以找出威脅的安全事件時
• 為此領域建立偵測規則或威脅狩獵查詢時
• SOC 分析師需要此分析類型的結構化流程時
• 驗證相關攻擊技術的安全監控覆蓋範圍時

先決條件

• 熟悉安全營運概念與工具
• 能夠存取測試或實驗室環境以安全執行
• 已安裝 Python 3.8+ 及所需依賴項
• 獲得執行測試活動的適當授權

操作說明

使用 azure-monitor-query 對 Azure Log Analytics 工作區執行 KQL 查詢，偵測可疑的管理員操作與登入異常。

from azure.identity import DefaultAzureCredential
from azure.monitor.query import LogsQueryClient
from datetime import timedelta

credential = DefaultAzureCredential()
client = LogsQueryClient(credential)

response = client.query_workspace(
    workspace_id="WORKSPACE_ID",
    query="AzureActivity | where OperationNameValue has 'MICROSOFT.AUTHORIZATION/ROLEASSIGNMENTS/WRITE' | take 10",
    timespan=timedelta(hours=24),
)

主要偵測查詢：

1. 角色指派變更（權限提升）
2. 資源群組與訂閱修改
3. 來自新 IP 的金鑰保存庫秘密存取
4. 網路安全性群組規則變更
5. 條件式存取原則修改

範例

# 偵測新的全域管理員角色指派
query = '''
AuditLogs
| where OperationName == "Add member to role"
| where TargetResources[0].modifiedProperties[0].newValue has "Global Administrator"
'''