Sentinel Queries

このプロジェクトは、Azure ADテナント内でBloodHound BARKツールキットに関連する悪用行為を検出するための一連のKQLクエリを提供します。これらのクエリは、BARKが模倣する行動を特定することを目的としており、ツール自体の使用ではなく行動を対象としています。内容には、さまざまなBARK機能に対する検出クエリ、制御の提案、および関連するリソースへのリンクが含まれています。

セキュリティクラウドプラットフォーム #Azureセキュリティ #脅威検出 #権限管理 #KQLクエリ

rating : 2 points

downloads : 18

update time : 2025-04-23

BARK検出とは？

これらの検出クエリは、BARKツールキットが実行できるような特権昇格の試みを示す可能性のあるAzure AD内の疑わしい活動を特定するのに役立ちます。パスワードのリセット、資格情報の追加、ロールの割り当てなどの敏感な操作を監視します。

これらの検出をどのように使用するか？

クエリは、Microsoft SentinelまたはLog AnalyticsでAzure ADログに対して実行する必要があります。精度を調整するために、最初に環境でテストすることをお勧めします。

これらの検出をいつ使用するか？

これらのクエリは、Azure AD環境の継続的な監視に使用してください。特に、特権ユーザーやサービスプリンシパルがいる場合、または潜在的な侵害を検出したい場合に有効です。

主要な検出機能

パスワードリセット検出PowerShellを介して実行されたパスワードリセット操作を特定し、侵害の可能性を示すことができます。

アプリケーションシークレットの作成アプリケーションオブジェクトに新しい資格情報が追加されたときを検出します。

ロール割り当ての監視ユーザーまたはサービスプリンシパルが特権ロールに追加されたときを追跡します。

所有者の変更アプリケーションとサービスプリンシパルの所有者の変更を監視します。

強みと制限

強み

潜在的な特権昇格の経路を可視化します

ユーザーとサービスプリンシパルの両方の活動をカバーします

追加のインストルメンテーションを必要とせず、Azure ADのネイティブログを使用します

正当なツールと権限の悪用を検出するのに役立ちます

制限

正当な自動化が行われている環境では誤検知が発生する可能性があります

特定の環境に合わせて調整する必要があります

アクションが発生した後にのみ検出します（予防的ではありません）

一部の正当な管理者の活動が悪意のある活動と似ている場合があります

実装ガイド

ログ記録を設定する

Azure ADログがLog Analyticsワークスペースに収集されていることを確認してください。

クエリをテストする

環境に対して検出クエリを実行し、ベースラインを確立します。

アラートを作成する

Microsoft Sentinelで疑わしい活動に対するアラートを構成します。

コントロールを実装する

ドキュメントから推奨される予防コントロールを適用します。

検出シナリオ

アプリケーションシークレットの作成を検出するアプリケーションに新しい資格情報が追加されたときを監視します。これにより、攻撃者が環境に定着する可能性があります。

疑わしいロール割り当てを特定するサービスプリンシパルが特権ロールに追加されたときを検出します。これは、特権昇格を示す可能性があります。

よくある質問

これらのクエリはBARKツールキットに固有のものですか？

これらの検出クエリをどのくらいの頻度で実行すべきですか？

これらの検出を使用するために必要な権限は何ですか？

誤検知を減らすにはどうすればいいですか？

追加リソース

BloodHound BARK GitHub

公式のBARKツールキットリポジトリ

Azure AD特権昇格の検出

Azure ADの特権昇格を検出するブログ記事

Microsoft Azure ADドキュメント

Azure Active Directoryの公式Microsoftドキュメント

🚀 BARK

BARKは、Azure Active Directory (Azure AD) 内の潜在的な特権昇格攻撃を検出するためのツールです。Microsoft Sentinelの監査ログを分析することで、異常または高リスクの活動を特定します。

🚀 クイックスタート

🔍 検出クエリ

👤 ユーザーが行為者、ユーザーが対象

AuditLogs
| where OperationName == "Add member to group"
| extend Actor = tostring(parse_json(tostring(InitiatedBy.user)).userPrincipalName)
| extend ['Actor IP Address'] = tostring(parse_json(tostring(InitiatedBy.user)).ipAddress)
| extend GroupName = tostring(parse_json(tostring(parse_json(tostring(TargetResources[0].modifiedProperties))[1].newValue)))
| where TargetResources[0].type == "User"
| extend Target = tostring(TargetResources[0].userPrincipalName)
| where GroupName in~ ("PrivilegedGroup1","PrivilegedGroup2")
| project TimeGenerated, OperationName, Actor, ['Actor IP Address'], Target, GroupName

👤 ユーザーが行為者、サービスプリンシパルが対象

AuditLogs
| where OperationName == "Add member to group"
| extend Actor = tostring(parse_json(tostring(InitiatedBy.user)).userPrincipalName)
| extend ['Actor IP Address'] = tostring(parse_json(tostring(InitiatedBy.user)).ipAddress)
| extend GroupName = tostring(parse_json(tostring(parse_json(tostring(TargetResources[0].modifiedProperties))[1].newValue)))
| where TargetResources[0].type == "ServicePrincipal"
| where GroupName in~ ("PrivilegedGroup1","PrivilegedGroup2")
| project TimeGenerated, OperationName, Actor, ['Actor IP Address'], ['Target Service Principal Name'], ['Target Service Principal ObjectId'], GroupName

👨‍💼 サービスプリンシパルが行為者、ユーザーが対象

AuditLogs
| where OperationName == "Add member to group"
| extend ['Actor Service Principal Name'] = tostring(parse_json(tostring(InitiatedBy.app)).displayName)
| extend ['Actor Service Principal ObjectId'] = tostring(parse_json(tostring(InitiatedBy.app)).servicePrincipalId)
| where isnotempty(['Actor Service Principal ObjectId'])
| where ['Actor Service Principal Name'] != "MS-PIM"
| where TargetResources[0].type == "User"
| where GroupName in~ ("PrivilegedGroup1","PrivilegedGroup2")
| extend Target = tostring(TargetResources[0].userPrincipalName)
| project TimeGenerated, OperationName, ['Actor Service Principal Name'], ['Actor Service Principal ObjectId'], Target, GroupName

👨‍💼 サービスプリンシパルが行為者、サービスプリンシパルが対象

AuditLogs
| where OperationName == "Add member to group"
| extend ['Actor Service Principal Name'] = tostring(parse_json(tostring(InitiatedBy.app)).displayName)