Detección de ataques MCP — Laboratorio de investigación de Sentinel

Investigación de detección de Sentinel para patrones de ataque de MCP (Protocolo de Contexto de Modelo): acceso de identidad inusual tras un evento relacionado con MCP, mutación de la definición de herramientas, acceso entre recursos y posible comportamiento posterior a la explotación. Las reglas se asignan al OWASP Top 10 para Aplicaciones Agénticas (2026).

Estado de publicación: este repositorio no cuenta actualmente con un artículo complementario publicado de Nine Lives y, a propósito, no aparece en el catálogo de Labs del sitio web. Sigue siendo un elemento de investigación independiente.

La regla CVE-2026-26118 es una heurística basada en el comportamiento que se apoya en la divulgación de SSRF del servidor MCP de Azure. No prueba que la CVE haya sido explotada ni que se haya robado un token. Microsoft describe el problema como un SSRF que puede permitir que un atacante de red autorizado eleve privilegios; los rangos de paquetes afectados y el aviso del proveedor están registrados por NIST NVD.

Qué se implementa

Cobertura de MITRE ATT&CK

Inicio rápido

# Review the exact plan. This performs no mutations.
./scripts/Deploy-Lab.ps1 `
    -ResourceGroup "rg-sentinel-lab" `
    -WorkspaceName "law-sentinel-lab" `
    -WhatIf

# Deploy analytics rules (disabled), hunting queries, and workbook.
./scripts/Deploy-Lab.ps1 `
    -ResourceGroup "rg-sentinel-lab" `
    -WorkspaceName "law-sentinel-lab"

# After reviewing the queries, opt in to enabling the rules.
./scripts/Deploy-Lab.ps1 `
    -ResourceGroup "rg-sentinel-lab" `
    -WorkspaceName "law-sentinel-lab" `
    -EnableRules

# Validate the exact manifest-owned deployment.
./scripts/Test-MCPDetections.ps1 `
    -ResourceGroup "rg-sentinel-lab" `
    -WorkspaceName "law-sentinel-lab"

Requisitos previos

• Suscripción de Azure con Microsoft Sentinel habilitado
• Configuración de diagnóstico de Entra ID: AuditLogs, ServicePrincipalSignInLogs, ManagedIdentitySignInLogs
• Conector de Azure Activity Log habilitado en Sentinel
• PowerShell 7.0+ con la CLI de Azure
• Roles suficientes para administrar reglas de análisis de Sentinel, búsquedas guardadas de Log Analytics y libros de trabajo en el grupo de recursos de destino. Utilice las asignaciones de roles específicas del inquilino más restringidas que satisfagan esas operaciones.

Modelo de seguridad y propiedad

• Todos los ID de reglas y libros de trabajo son deterministas y están limitados al espacio de trabajo exacto.
• La implementación escribe un manifiesto .mcp-attack-detection-state.json de solo propietario antes de la primera mutación en la nube.
• Los recursos existentes se verifican previamente antes de cualquier escritura. El script rechaza recursos con el mismo ID que no tengan la procedencia esperada y nunca los adopta sin su manifiesto.
• Las reglas de análisis se implementan deshabilitadas a menos que se proporcione -EnableRules explícitamente.
• -WhatIf realiza las mismas lecturas y comprobaciones de colisión sin ninguna escritura.
• La limpieza usa solo ID exactos del manifiesto, valida de nuevo la procedencia y nunca busca por prefijo de nombre para mostrar, categoría o subcadena.
• Las implementaciones realizadas con una versión anterior de este repositorio no se adoptan ni se eliminan automáticamente. Realice un inventario de esos recursos manualmente antes de usar esta versión.

Fuentes de datos

Limpieza

./scripts/Deploy-Lab.ps1 `
    -ResourceGroup "rg-sentinel-lab" `
    -WorkspaceName "law-sentinel-lab" `
    -Destroy

Ejecute el mismo comando con -WhatIf primero para obtener una vista previa de las eliminaciones exactas. La limpieza falla de forma segura si el manifiesto está ausente, apunta a otra suscripción o espacio de trabajo, o si algún recurso ya no lleva la procedencia de este laboratorio.

Límite de la evidencia

Estas consultas son puntos de partida para la investigación. Se basan en heurísticas de nombres y en esquemas específicos del inquilino de Entra y Azure Activity. Valide la disponibilidad de las tablas, los nombres de los campos, las líneas base, las listas de permitidos, el costo de las consultas y el comportamiento de falsos positivos en un espacio de trabajo que no sea de producción antes de habilitarlas. Proporcionan evidencia de comportamiento sospechoso, no atribución de explotación.

Referencias

• CVE-2026-26118 — Aviso del proveedor Microsoft
• CVE-2026-26118 — Registro de NIST NVD y versiones afectadas
• OWASP Top 10 para Aplicaciones Agénticas 2026

Licencia

MIT