Analisando Logs de Atividade do Azure em Busca de Ameaças

Quando Usar

• Ao investigar incidentes de segurança que exigem a análise de logs de atividade do Azure em busca de ameaças
• Ao criar regras de detecção ou consultas de caça a ameaças para este domínio
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas

Pré-requisitos

• Familiaridade com conceitos e ferramentas de operações de segurança
• Acesso a um ambiente de teste ou laboratório para execução segura
• Python 3.8+ com as dependências necessárias instaladas
• Autorização apropriada para quaisquer atividades de teste

Instruções

Use azure-monitor-query para executar consultas KQL contra workspaces do Azure Log Analytics, detectando operações administrativas suspeitas e anomalias de login.

from azure.identity import DefaultAzureCredential
from azure.monitor.query import LogsQueryClient
from datetime import timedelta

credential = DefaultAzureCredential()
client = LogsQueryClient(credential)

response = client.query_workspace(
    workspace_id="WORKSPACE_ID",
    query="AzureActivity | where OperationNameValue has 'MICROSOFT.AUTHORIZATION/ROLEASSIGNMENTS/WRITE' | take 10",
    timespan=timedelta(hours=24),
)

Consultas de detecção chave:

1. Alterações de atribuição de função (escalonamento de privilégios)
2. Modificações de grupo de recursos e assinatura
3. Acesso a segredos do Key Vault de novos IPs
4. Alterações de regras do grupo de segurança de rede
5. Modificações de política de acesso condicional

Exemplos

# Detect new Global Admin role assignments
query = '''
AuditLogs
| where OperationName == "Add member to role"
| where TargetResources[0].modifiedProperties[0].newValue has "Global Administrator"
'''