fritzekane/azure-sentinel-security-monitoring

# 使用 Microsoft Sentinel 进行 Azure 安全监控   ## 概述 本项目在 Azure 上使用 Microsoft Sentinel (SIEM) 实现了**安全监控与威胁检测**解决方案。它演示了真实的 SOC 工作流，包括日志提取、KQL 检测规则和安全仪表板。 ## 架构 law-sentinel-project (Log Analytics Workspace) ├── Microsoft Sentinel (SIEM) │ ├── 数据连接器 │ │ ├── Azure Activity (订阅级别事件) │ │ └── Microsoft Entra ID Protection (身份风险) │ ├── 分析规则 │ │ ├── 失败登录尝试检测 (中危) │ │ └── 检测到可疑资源删除 (高危) │ └── Workbooks │ └── 安全监控仪表板 ## 我所构建的内容 - **Log Analytics Workspace** 作为 Sentinel 的数据基础 - **Microsoft Sentinel** SIEM 已启用并连接到 Defender 门户 - **数据连接器** 提取 Azure Activity 和 Entra ID 日志 - 用于暴力破解和资源删除攻击的 **KQL 检测规则** - 用于 SOC 监控和可见性的**安全仪表板** ## 检测规则 | 规则 | 严重程度 | MITRE ATT&CK | 描述 | |------|----------|--------------|-------------| | 失败登录尝试 | 中危 | T1110 - 暴力破解 | 检测每位用户每小时 5 次以上的失败登录 | | 可疑资源删除 | 高危 | T1485 - 数据破坏 | 检测每小时 3 次以上的资源删除 | ## KQL 查询 ### 失败登录检测 ``` SigninLogs | where ResultType != 0 | summarize FailedAttempts = count() by UserPrincipalName, IPAddress, bin(TimeGenerated, 1h) | where FailedAttempts >= 5 ``` ### 资源删除检测 ``` AzureActivity | where OperationNameValue endswith "delete" | where ActivityStatusValue == "Success" | summarize DeleteCount = count() by Caller, ResourceGroup, bin(TimeGenerated, 1h) | where DeleteCount >= 3 ``` ## 已实施的安全控制 | 控制 | 实施 | |---------|---------------| | 日志提取 | Azure Activity + Entra ID 连接器 | | 威胁检测 | 2 条自定义 KQL 分析规则 | | 事件创建 | 根据分析规则警报自动创建 | | SOC 仪表板 | Azure Activity workbook | | MITRE ATT&CK 映射 | T1110, T1485 | ## 关键学习点 - Microsoft Sentinel 是基于 Log Analytics 构建的云原生 SIEM - KQL 是进行威胁检测和主动威胁狩猎的核心语言 - 数据连接器是基础，没有日志就意味着没有检测 - 分析规则可自动化进行威胁检测并创建事件 - Workbooks 提供跨环境的 SOC 可见性 - MITRE ATT&CK 映射将检测与真实的攻击者行为联系起来 ## 相关项目 - 项目 1：[零信任网络安全](https://github.com/fritzekane/azure-zerotrust-network-security) - 项目 2：[使用 Microsoft Entra ID 强化 IAM](https://github.com/fritzekane/azure-iam-entra-id) - 项目 4：[使用 Azure Policy 实现合规性自动化](coming soon) *这是我的 Azure 云安全作品集的一部分 —— 包含 7 个实践项目，旨在展示真实的安全工程技能。*

标签：AMSI绕过, Azure, KQL, 威胁检测, 安全运营, 扫描框架, 红队行动