Detecção de Configurações Incorretas de Contas de Armazenamento do Azure

Visão Geral

Contas de armazenamento do Azure são alvos frequentes para atacantes devido a configurações incorretas de acesso público, tokens SAS de longa duração, falta de criptografia e versões desatualizadas do TLS. Esta habilidade utiliza o SDK Python azure-mgmt-storage com StorageManagementClient para listar todas as contas de armazenamento em uma assinatura, inspecionar suas propriedades de segurança, listar contêineres de blob para configurações de acesso público e gerar um relatório de auditoria com pontuação de risco, identificando configurações incorretas críticas.

Quando Usar

• Ao investigar incidentes de segurança que exigem a detecção de configurações incorretas de contas de armazenamento do Azure.
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio.
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise.
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas.

Pré-requisitos

• Python 3.9+ com azure-mgmt-storage, azure-identity
• Principal de serviço do Azure com função de Leitor na assinatura de destino.
• Variáveis de ambiente: AZURE_CLIENT_ID, AZURE_TENANT_ID, AZURE_CLIENT_SECRET, AZURE_SUBSCRIPTION_ID

Principais Áreas de Detecção

1. Acesso público a blobs — allow_blob_public_access habilitado na conta de armazenamento ou contêineres individuais definidos com nível de acesso Blob/Contêiner.
2. Aplicação de HTTPS — enable_https_traffic_only desabilitado, permitindo tráfego HTTP não criptografado.
3. Versão mínima do TLS — contas aceitando TLS 1.0 ou TLS 1.1 em vez do TLS 1.2 mínimo.
4. Criptografia em repouso — criptografia do serviço de armazenamento não habilitada ou chaves gerenciadas pelo cliente ausentes.
5. Regras de rede — ação padrão definida como Permitir em vez de Negar, expondo o armazenamento a todas as redes.
6. Riscos de tokens SAS — SAS em nível de conta com permissões excessivamente amplas ou tempo de vida excessivo.

Saída

Relatório JSON com descobertas por conta, classificações de gravidade (Crítico/Alto/Médio/Baixo) e recomendações de remediação alinhadas com os controles do CIS Azure Benchmark.