Detecção de Ferramentas Ofensivas do Entra em Logs do Graph

Visão Geral

Por quase uma década, a antiga API do Azure AD Graph (graph.windows.net) foi um ponto cego para os defensores: requisições a ela não produziam um log de atividade de primeira classe, então ferramentas como ROADtools (roadrecon) e AADInternals — que dependem fortemente do AAD Graph — podiam enumerar um tenant inteiro com poucos rastros. Isso mudou quando a Microsoft lançou AADGraphActivityLogs (disponibilidade geral em 2026), o contraponto ao já disponível MicrosoftGraphActivityLogs (graph.microsoft.com). Juntas, essas duas tabelas dão aos SOCs visibilidade em nível de requisição para o tráfego da API de diretório: a identidade do chamador, o aplicativo, o IP de origem, o método HTTP, o URI da requisição e, crucialmente, o User-Agent.

Essa habilidade é o complemento defensivo para ferramentas ofensivas do Entra. Ela busca nas duas tabelas de atividade do Graph as impressões digitais comportamentais e de string que essas ferramentas deixam para trás. Muitos operadores esquecem de falsificar o User-Agent, então o ROADtools (construído sobre o aiohttp do Python) emite um User-Agent como Python/3.12 aiohttp/3.10.4, e o AADInternals frequentemente deixa AADInternals ou strings de biblioteca no agente. Mesmo quando o agente é falsificado, as ferramentas se traem através de um padrão característico de varredura de endpoints: roadrecon gather puxa users, groups, applications, serviceprincipals, devices, directoryroles, roledefinitions, oauth2permissiongrants e mais dentro de uma janela de tempo curta — uma assinatura que sobrevive à falsificação de cabeçalhos.

A atividade que está sendo detectada mapeia para o T1078.004 – Contas Válidas: Contas na Nuvem do MITRE ATT&CK: um adversário usando credenciais de nuvem legítimas (frequentemente phished ou roubadas via token) para enumerar e operar contra o tenant através das APIs do Graph. Essas detecções tanto expõem intrusões ativas quanto validam que as técnicas ofensivas nas habilidades de red-team complementares são observáveis.

Quando Usar

• Construindo ou ajustando detecções para Microsoft Sentinel / Log Analytics cobrindo o Entra ID
• Threat hunting após suspeita de roubo de credenciais, phishing de código de dispositivo ou abuso de consentimento OAuth
• Exercícios de purple-team validando que a atividade do ROADtools/AADInternals/AzureHound é detectável
• Investigando um alerta e precisando correlacionar chamadas da API do Graph de volta a um login/sessão
• Fechando a lacuna de visibilidade da antiga API do Azure AD Graph após habilitar o AADGraphActivityLogs

Pré-requisitos

• Um workspace do Microsoft Sentinel (ou Log Analytics) ingerindo:
  • MicrosoftGraphActivityLogs (configuração de diagnóstico no Microsoft Entra ID -> graph.microsoft.com)
  • AADGraphActivityLogs (configuração de diagnóstico no Microsoft Entra ID -> antiga API do Azure AD Graph)
• SigninLogs e AADNonInteractiveUserSignInLogs para correlação
• RBAC do Microsoft Sentinel Reader/Responder (ou Log Analytics Reader) para executar KQL
• Familiaridade com Kusto Query Language (KQL)
• Habilitar as configurações de diagnóstico (Portal do Azure -> Microsoft Entra ID -> Configurações de diagnóstico -> enviar MicrosoftGraphActivityLogs e AADGraphActivityLogs para seu workspace), ou via CLI:

  az monitor diagnostic-settings create \
    --name "entra-graph-logs" \
    --resource "/providers/microsoft.aadiam/diagnosticSettings" \
    --logs '[{"category":"MicrosoftGraphActivityLogs","enabled":true},{"category":"AADGraphActivityLogs","enabled":true}]' \
    --workspace "<log-analytics-workspace-id>"
  

Objetivos

• Confirmar que ambas as tabelas de atividade do Graph estão fluindo para o workspace
• Detectar impressões digitais de strings de User-Agent do ROADtools, AADInternals e AzureHound
• Detectar a impressão digital comportamental de varredura de endpoints que sobrevive à falsificação de User-Agent
• Correlacionar atividade suspeita do Graph de volta a um login/sessão e identidade de origem
• Operacionalizar as melhores queries como regras de análise agendadas

Mapeamento MITRE ATT&CK

Técnicas relacionadas expostas por essas caçadas: T1087.004 Descoberta de Conta: Conta na Nuvem, T1069.003 Descoberta de Grupos de Permissão: Grupos na Nuvem, T1526 Descoberta de Serviço na Nuvem.

Fluxo de Trabalho

Etapa 1: Confirmar que ambas as tabelas estão sendo ingeridas

Antes de caçar, verifique se os dados existem e inspecione os campos de esquema nos quais você irá pivotar.

union withsource=Tbl MicrosoftGraphActivityLogs, AADGraphActivityLogs
| where TimeGenerated > ago(1d)

…