mukul975/detecting-entra-offensive-tools-in-graph-logs

使用 KQL 在 Microsoft Sentinel/Log Analytics 中狩猎 AADGraphActivityLogs 和 MicrosoftGraphActivityLogs，以识别 ROADtools、AADInternals 和 AzureHound 等 Entra ID 枚举工具，包括 User-Agent 特征、roadrecon 端点扫描和登录关联。在调查可疑的 Microsoft Graph API 活动、Entra ID 侦察或构建用于检测这些工具的 Sentinel 分析规则时使用。

编程协作开发 Agent Agent 技能调研仓库问答威胁狩猎 Entra ID 检测 KQL 查询攻击指纹识别

技术栈: cursor3.1万+许可证: Apache-2.0开发者: mukul975

Skill 介绍Skill 文件

重要提示：本站仅作 Skill 资源导航与收录，正文以 GitHub 原仓库为准，版权归原项目所有。

在 GitHub 查看 ↗

原文译文

以下为摘要预览，完整内容请查看 GitHub 原文。

在 Graph 日志中检测 Entra 攻击性工具

概述

近十年来，遗留的 Azure AD Graph API（graph.windows.net）一直是防御者的盲点：对该 API 的请求不会产生一级活动日志，因此像 ROADtools（roadrecon）和 AADInternals 这类重度依赖 AAD Graph 的工具能够几乎不留痕迹地枚举整个租户。这一情况在 Microsoft 发布 AADGraphActivityLogs（2026 年正式发布）后发生了变化，它是已可用的 MicrosoftGraphActivityLogs（graph.microsoft.com）的对应物。这两张表共同为 SOC 提供目录 API 流量的请求级可见性：调用方身份、应用、源 IP、HTTP 方法、请求 URI，以及至关重要的 User-Agent。

本技能是对 Entra 攻击性工具的防御性补充。它狩猎这两张 Graph 活动表，查找这些工具留下的行为特征和字符串指纹。许多操作员会忘记伪造 User-Agent，因此 ROADtools（基于 Python 的 aiohttp 构建）会发出类似 Python/3.12 aiohttp/3.10.4 的 User-Agent，而 AADInternals 则经常在代理中留下 AADInternals 或库字符串。即便代理被伪造，这些工具也会因其特有的端点扫描模式而暴露：roadrecon gather 会在一个紧凑的时间窗口内拉取 users、groups、applications、serviceprincipals、devices、directoryroles、roledefinitions、oauth2permissiongrants 等资源——这种特征在伪造请求头后依然存在。

所检测到的活动映射到 MITRE ATT&CK T1078.004 – Valid Accounts: Cloud Accounts：攻击者使用合法的（通常是通过钓鱼获取或被盗的）云凭据，通过 Graph API 对租户进行枚举和操作。这些检测既可以发现正在进行的入侵，也可以验证配套红队技能中的攻击技术是可观测的。