MCP-Angriffserkennung — Sentinel-Forschungslabor

Sentinel-Erkennungsforschung für MCP-Angriffsmuster (Model Context Protocol): ungewöhnliche Identitätszugriffe nach einem MCP-bezogenen Ereignis, Mutation von Tool-Definitionen, ressourcenübergreifender Zugriff und mögliches Post-Exploitation-Verhalten. Die Regeln sind den Kategorien der OWASP Top 10 für Agentic Applications (2026) zugeordnet.

Publikationsstatus: Dieses Repository verfügt derzeit über keinen veröffentlichten Nine-Lives-Begleitartikel und ist bewusst nicht im Labs-Katalog der Website aufgeführt. Es bleibt ein eigenständiges Forschungsobjekt.

Die CVE-2026-26118-Regel ist eine verhaltensbasierte Heuristik, die auf der Offenlegung der SSRF-Schwachstelle des Azure MCP Server basiert. Sie beweist nicht, dass die CVE ausgenutzt wurde oder dass ein Token gestohlen wurde. Microsoft beschreibt das Problem als SSRF, die einem autorisierten Netzwerkangreifer eine Privilegienausweitung ermöglichen kann; betroffene Paketbereiche und die Herstellerempfehlung sind beim NIST NVD verzeichnet.

Was bereitgestellt wird

MITRE-ATT&CK-Abdeckung

Schnellstart

# Review the exact plan. This performs no mutations.
./scripts/Deploy-Lab.ps1 `
    -ResourceGroup "rg-sentinel-lab" `
    -WorkspaceName "law-sentinel-lab" `
    -WhatIf

# Deploy analytics rules (disabled), hunting queries, and workbook.
./scripts/Deploy-Lab.ps1 `
    -ResourceGroup "rg-sentinel-lab" `
    -WorkspaceName "law-sentinel-lab"

# After reviewing the queries, opt in to enabling the rules.
./scripts/Deploy-Lab.ps1 `
    -ResourceGroup "rg-sentinel-lab" `
    -WorkspaceName "law-sentinel-lab" `
    -EnableRules

# Validate the exact manifest-owned deployment.
./scripts/Test-MCPDetections.ps1 `
    -ResourceGroup "rg-sentinel-lab" `
    -WorkspaceName "law-sentinel-lab"

Voraussetzungen

• Azure-Abonnement mit aktiviertem Microsoft Sentinel
• Entra-ID-Diagnoseeinstellungen: AuditLogs, ServicePrincipalSignInLogs, ManagedIdentitySignInLogs
• In Sentinel aktivierter Azure-Aktivitätsprotokoll-Connector
• PowerShell 7.0+ mit Azure CLI
• Ausreichende Rollen zur Verwaltung von Sentinel-Analyseregeln, gespeicherten Log-Analytics-Suchen und Arbeitsmappen in der Zielressourcengruppe. Verwenden Sie die engsten mandantenspezifischen Rollenzuweisungen, die diese Vorgänge erfüllen.

Sicherheits- und Eigentumsmodell

• Alle Regel- und Arbeitsmappen-IDs sind deterministisch und auf den exakten Arbeitsbereich beschränkt.
• Vor der ersten Cloud-Mutation schreibt die Bereitstellung ein nur für den Besitzer zugängliches Manifest .mcp-attack-detection-state.json.
• Vorhandene Ressourcen werden vor jedem Schreibvorgang vorab geprüft. Das Skript lehnt Ressourcen mit derselben ID ohne die erwartete Herkunft ab und übernimmt sie niemals ohne sein Manifest.
• Analyseregeln werden deaktiviert bereitgestellt, sofern nicht explizit -EnableRules angegeben wird.
• -WhatIf führt dieselben Lese- und Kollisionsprüfungen ohne jede Schreiboperation durch.
• Die Bereinigung verwendet ausschließlich exakte IDs aus dem Manifest, validiert die Herkunft erneut und sucht niemals nach Präfix des Anzeigenamens, Kategorie oder Teilzeichenfolge.
• Bereitstellungen, die mit einer älteren Version dieses Repositorys durchgeführt wurden, werden weder automatisch übernommen noch gelöscht. Erfassen Sie diese Ressourcen manuell, bevor Sie diese Version verwenden.

Datenquellen

Bereinigung

./scripts/Deploy-Lab.ps1 `
    -ResourceGroup "rg-sentinel-lab" `
    -WorkspaceName "law-sentinel-lab" `
    -Destroy

Führen Sie zuerst denselben Befehl mit -WhatIf aus, um die genauen Löschvorgänge zu prüfen. Die Bereinigung bricht sicher ab, wenn das Manifest fehlt, auf ein anderes Abonnement/einen anderen Arbeitsbereich verweist oder eine Ressource nicht mehr die Herkunft dieses Labs trägt.

Grenzen der Evidenz

Diese Abfragen sind Ausgangspunkte für die Forschung. Sie beruhen auf Namensheuristiken und auf mandantenspezifischen Entra- und Azure-Activity-Schemas. Validieren Sie in einem Nicht-Produktions-Arbeitsbereich die Tabellenverfügbarkeit, Feldnamen, Baselines, Zulassungslisten, Abfragekosten und das False-Positive-Verhalten, bevor Sie sie aktivieren. Sie liefern Anzeichen für verdächtiges Verhalten, keine Exploit-Zuordnung.

Referenzen

• CVE-2026-26118 — Microsoft-Herstellerhinweis
• CVE-2026-26118 — NIST-NVD-Eintrag und betroffene Versionen
• OWASP Top 10 für Agentic Applications 2026

Lizenz

MIT