Auditoria da Configuração do Azure Active Directory

Quando Usar

• Ao realizar uma avaliação de segurança da configuração de identidade de um tenant do Azure
• Quando auditorias de conformidade exigem a revisão de políticas de autenticação, aplicação de MFA e atribuições de função
• Ao integrar um novo tenant do Azure após fusão ou aquisição
• Ao investigar atividades de login suspeitas ou contas comprometidas
• Ao validar se as políticas de acesso condicional protegem adequadamente contra ataques baseados em identidade

Não use para auditoria de Active Directory local (use PingCastle ou BloodHound AD), para auditoria de RBAC em nível de recurso do Azure sem contexto de identidade, ou para detecção de ameaças em tempo real (use Microsoft Defender for Identity).

Pré-requisitos

• Função Leitor Global ou Leitor de Segurança no tenant do Microsoft Entra ID de destino
• Microsoft Graph PowerShell SDK instalado (Install-Module Microsoft.Graph)
• Az CLI autenticado no tenant de destino (az login --tenant TENANT_ID)
• ScoutSuite com o provedor Azure configurado para avaliação automatizada
• Acesso aos logs de auditoria do Azure AD e logs de login (requer Azure AD Premium P1/P2)

Fluxo de Trabalho

Etapa 1: Enumerar Configuração do Tenant e Padrões de Segurança

Avalie as configurações de segurança de identidade base do tenant, incluindo padrões de segurança e status de autenticação legada.

# Connect to Microsoft Graph
Connect-MgGraph -Scopes "Directory.Read.All","Policy.Read.All","AuditLog.Read.All"

# Get tenant details
Get-MgOrganization | Select-Object DisplayName, Id, VerifiedDomains

# Check if Security Defaults are enabled
Get-MgPolicyIdentitySecurityDefaultEnforcementPolicy | Select-Object IsEnabled

# List authentication methods policies
Get-MgPolicyAuthenticationMethodPolicy | ConvertTo-Json -Depth 5

# Check legacy authentication status via Conditional Access
Get-MgIdentityConditionalAccessPolicy | Where-Object {
    $_.Conditions.ClientAppTypes -contains "exchangeActiveSync" -or
    $_.Conditions.ClientAppTypes -contains "other"
} | Select-Object DisplayName, State

Etapa 2: Auditar Atribuições de Função Privilegiada

Revise as atribuições de função do diretório para identificar usuários com privilégios excessivos, contas de administrador permanentes e configurações de função arriscadas.

# List all Global Administrator assignments
az rest --method GET \
  --url "https://graph.microsoft.com/v1.0/directoryRoles/filterByIds" \
  --body '{"ids":["62e90394-69f5-4237-9190-012177145e10"]}' | \
  az rest --method GET \
  --url "https://graph.microsoft.com/v1.0/directoryRoles?filter=displayName eq 'Global Administrator'" \
  --query "value[0].id" -o tsv

# List all privileged role assignments using Graph API
az rest --method GET \
  --url "https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignments?\$expand=principal" \
  --query "value[*].{Role:roleDefinitionId, Principal:principal.displayName, PrincipalType:principal.@odata.type}" \
  -o table

# Check for users with multiple admin roles
az ad user list --query "[].{UPN:userPrincipalName, DisplayName:displayName}" -o table

# List service principals with admin role assignments
az rest --method GET \
  --url "https://graph.microsoft.com/v1.0/roleManagement/directory/roleAssignments?\$filter=principalOrganizationId eq 'TENANT_ID'" \
  -o json

Etapa 3: Revisar Políticas de Acesso Condicional

Audite as políticas de acesso condicional para lacunas de cobertura, particularmente em torno da aplicação de MFA, conformidade de dispositivos e restrições baseadas em localização.

# List all Conditional Access policies
Get-MgIdentityConditionalAccessPolicy | Select-Object DisplayName, State, @{
    N='GrantControls'; E={$_.GrantControls.BuiltInControls -join ', '}
} | Format-Table -AutoSize

# Identify policies in report-only mode (not enforced)
Get-MgIdentityConditionalAccessPolicy | Where-Object {$_.State -eq "enabledForReportingButNotEnforced"} |
    Select-Object DisplayName

# Check MFA enforcement coverage
Get-MgIdentityConditionalAccessPolicy | Where-Object {
    $_.GrantControls.BuiltInControls -contains "mfa"
} | Select-Object DisplayName, State, @{
    N='Users'; E={$_.Conditions.Users.IncludeUsers -join ', '}
}

# Find policies that exclude groups (potential bypass)
Get-MgIdentityConditionalAccessPolicy | Where-Object {
    $_.Conditions.Users.ExcludeGroups.Count -gt 0
} | Select-Object DisplayName, @{
    N='ExcludedGroups'; E={$_.Conditions.Users.ExcludeGroups -join ', '}
}

Etapa 4: Identificar Contas Inativas e Usuários Convidado

…