Detecção de Abuso de Principal de Serviço do Azure

Visão Geral

Principais de serviço do Azure são objetos de identidade usados por aplicativos, serviços e ferramentas de automação para acessar recursos do Azure. Atacantes exploram principais de serviço para escalonamento de privilégios, movimento lateral e acesso persistente. Padrões chave de abuso incluem: adicionar credenciais a principais existentes, atribuir funções privilegiadas, contornar consentimento de administrador e enumerar principais de serviço para caminhos de ataque. A propriedade de aplicativo concede a capacidade de gerenciar credenciais e configurar permissões, criando caminhos ocultos de escalonamento de privilégios.

Quando Usar

• Ao investigar incidentes de segurança que exigem a detecção de abuso de principal de serviço do Azure
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas

Pré-requisitos

• Assinatura do Azure com licença Microsoft Entra ID P2
• Acesso aos Logs de Auditoria do Azure AD e Logs de Logon
• Microsoft Sentinel ou Splunk para detecção baseada em SIEM
• Permissões da API do Microsoft Graph para investigação
• Função Leitor Global ou Leitor de Segurança no mínimo

Principais Padrões de Abuso

1. Novas Credenciais Adicionadas ao Principal de Serviço

Atacantes adicionam novos segredos de cliente ou certificados para obter acesso persistente:

Consulta de Detecção (KQL - Sentinel):

AuditLogs
| where OperationName has "Add service principal credentials"
    or OperationName has "Update application - Certificates and secrets management"
| extend InitiatedBy = tostring(InitiatedBy.user.userPrincipalName)
| extend TargetSP = tostring(TargetResources[0].displayName)
| extend TargetSPId = tostring(TargetResources[0].id)
| project TimeGenerated, InitiatedBy, OperationName, TargetSP, TargetSPId
| sort by TimeGenerated desc

Consulta de Detecção (SPL - Splunk):

index=azure sourcetype="azure:aad:audit"
operationName="Add service principal credentials"
    OR operationName="Update application*Certificates and secrets*"
| stats count by initiatedBy.user.userPrincipalName, targetResources{}.displayName, _time
| sort -_time

2. Atribuição de Função Privilegiada ao Principal de Serviço

AuditLogs
| where OperationName == "Add member to role"
| extend RoleName = tostring(TargetResources[0].modifiedProperties[1].newValue)
| where RoleName has_any ("Global Administrator", "Application Administrator",
    "Privileged Role Administrator", "Cloud Application Administrator")
| extend TargetSP = tostring(TargetResources[0].displayName)
| extend InitiatedBy = tostring(InitiatedBy.user.userPrincipalName)
| project TimeGenerated, InitiatedBy, TargetSP, RoleName, OperationName

3. Detecção de Enumeração de Principal de Serviço

MicrosoftGraphActivityLogs
| where RequestMethod == "GET"
| where RequestUri has "/servicePrincipals"
| summarize RequestCount = count() by UserAgent, IPAddress, bin(TimeGenerated, 1h)
| where RequestCount > 10
| sort by RequestCount desc

4. Contorno de Consentimento de Administrador

AuditLogs
| where OperationName == "Consent to application"
| extend ConsentType = tostring(TargetResources[0].modifiedProperties[4].newValue)
| where ConsentType has "AllPrincipals"
| extend AppName = tostring(TargetResources[0].displayName)
| extend InitiatedBy = tostring(InitiatedBy.user.userPrincipalName)
| project TimeGenerated, InitiatedBy, AppName, ConsentType

5. Escalonamento de Permissões de Aplicativo OAuth

AuditLogs
| where OperationName == "Add app role assignment to service principal"
| extend AppRoleValue = tostring(TargetResources[0].modifiedProperties[1].newValue)
| where AppRoleValue has_any ("RoleManagement.ReadWrite.Directory",
    "Application.ReadWrite.All", "AppRoleAssignment.ReadWrite.All",
    "Directory.ReadWrite.All", "Mail.ReadWrite")
| extend TargetApp = tostring(TargetResources[0].displayName)
| project TimeGenerated, TargetApp, AppRoleValue, CorrelationId

Procedimentos de Investigação

Etapa 1: Identificar principal de serviço comprometido

# Listar principais de serviço com credenciais adicionadas recentemente
Connect-MgGraph -Scopes "Application.Read.All"

$suspiciousSPs = Get-MgServicePrincipal -All | ForEach-Object {
    $sp = $_
    $creds = Get-MgServicePrincipalPasswordCredential -ServicePrincipalId $sp.Id
    $recentCreds = $creds | Where-Object { $_.StartDateTime -gt (Get-Date).AddDays(-7) }
    if ($recentCreds) {
        [PSCustomObject]@{

…