Rilevamento attacchi MCP — Sentinel Research Lab

Ricerca di rilevamento Sentinel per i modelli di attacco MCP (Model Context Protocol): accesso anomalo dell'identità dopo un evento correlato a MCP, mutazione della definizione degli strumenti, accesso cross-risorsa e possibile comportamento post-exploitation. Le regole sono mappate sulla OWASP Top 10 for Agentic Applications (2026).

Stato della pubblicazione: questo repository non dispone attualmente di un articolo Nine Lives complementare pubblicato e non è intenzionalmente elencato nel catalogo Labs del sito web. Rimane un elemento di ricerca autonomo.

La regola CVE-2026-26118 è un'euristica basata sul comportamento, informata dalla divulgazione SSRF di Azure MCP Server. Non prova che la CVE sia stata sfruttata o che un token sia stato rubato. Microsoft descrive il problema come SSRF che può consentire a un attaccante di rete autorizzato di elevare i privilegi; gli intervalli di pacchetti interessati e l'avviso del fornitore sono documentati da NIST NVD.

Cosa viene distribuito

Risorsa	Tipo	OWASP Agentic
LAB - MCP SSRF-Informed Identity Access Anomaly (CVE-2026-26118)	Regola di analisi comportamentale (Alta)	ASI03
LAB - MCP Tool Definition Mutation (Rug Pull Detection)	Regola di analisi (Alta)	ASI01, ASI04
LAB - MCP Cross-Server Data Exfiltration Pattern	Regola di analisi (Media)	ASI02, ASI03
LAB - Anomalous MCP Tool Invocation Spike	Regola di analisi (Media)	ASI02
LAB - MCP Identity Post-Exploitation Chain	Regola di analisi (Alta)	ASI03
MCP Attack Detection — Security Posture	Workbook	Tutte
7 query di hunting	KQL (manuali)	ASI01–ASI07

Copertura MITRE ATT&CK

Tecnica	ID	Regola / Query
Valid Accounts: Cloud	T1078.004	Identity Access Anomaly, Post-Exploitation Chain
Adversary-in-the-Middle	T1557	Contesto per l'hunting delle comunicazioni inter-agente; la query stessa rileva lacune nell'accesso condizionale, non l'intercettazione
Supply Chain Compromise	T1195.002	Tool Definition Mutation, Supply Chain
Data from Cloud Storage	T1530	Cross-Server Exfiltration
Unsecured Credentials	T1552	Cross-Server Exfiltration, Post-Exploitation
Cloud API	T1059.009	Invocation Spike, Code Execution
Serverless Execution	T1648	Code Execution
Stored Data Manipulation	T1565.001	Memory & Context Poisoning

Avvio rapido

# Review the exact plan. This performs no mutations.
./scripts/Deploy-Lab.ps1 `
    -ResourceGroup "rg-sentinel-lab" `
    -WorkspaceName "law-sentinel-lab" `
    -WhatIf

# Deploy analytics rules (disabled), hunting queries, and workbook.
./scripts/Deploy-Lab.ps1 `
    -ResourceGroup "rg-sentinel-lab" `
    -WorkspaceName "law-sentinel-lab"

# After reviewing the queries, opt in to enabling the rules.
./scripts/Deploy-Lab.ps1 `
    -ResourceGroup "rg-sentinel-lab" `
    -WorkspaceName "law-sentinel-lab" `
    -EnableRules

# Validate the exact manifest-owned deployment.
./scripts/Test-MCPDetections.ps1 `
    -ResourceGroup "rg-sentinel-lab" `
    -WorkspaceName "law-sentinel-lab"

Prerequisiti

Sottoscrizione Azure con Microsoft Sentinel abilitato
Impostazioni di diagnostica di Entra ID: AuditLogs, ServicePrincipalSignInLogs, ManagedIdentitySignInLogs
Connector del log attività di Azure abilitato in Sentinel
PowerShell 7.0+ con Azure CLI
Ruoli sufficienti per gestire le regole di analisi di Sentinel, le ricerche salvate di Log Analytics e i workbook nel gruppo di risorse di destinazione. Utilizzare le assegnazioni di ruolo specifiche del tenant più ristrette che soddisfano tali operazioni.

Modello di sicurezza e proprietà

Tutti gli ID delle regole e dei workbook sono deterministici e limitati al workspace esatto.
La distribuzione scrive un manifest .mcp-attack-detection-state.json accessibile solo al proprietario prima della prima mutazione cloud.
Le risorse esistenti vengono pre-verificate prima di qualsiasi scrittura. Lo script rifiuta risorse con lo stesso ID prive della provenienza prevista e non le adotta mai senza il proprio manifest.
Le regole di analisi vengono distribuite disabilitate a meno che non venga fornito esplicitamente -EnableRules.
-WhatIf esegue le stesse letture e gli stessi controlli di collisione con zero scritture.
La pulizia utilizza solo gli ID esatti del manifest, valida nuovamente la provenienza e non cerca mai per prefisso del nome visualizzato, categoria o sottostringa.
Le distribuzioni effettuate con una versione precedente di questo repository non vengono adottate né eliminate automaticamente. Inventariare manualmente tali risorse prima di utilizzare questa versione.

Origini dati

Tabella	Scopo
`AADManagedIdentitySignInLogs`	Analizzare i modelli di accesso anomali delle identità gestite con nome MCP
`AADServicePrincipalSignInLogs`	Monitorare i modelli di autenticazione dei service principal MCP
`AzureActivity`	Tracciare le operazioni sulle risorse MCP, le distribuzioni e le modifiche alla configurazione

Pulizia

./scripts/Deploy-Lab.ps1 `
    -ResourceGroup "rg-sentinel-lab" `
    -WorkspaceName "law-sentinel-lab" `
    -Destroy

Eseguire prima lo stesso comando con -WhatIf per visualizzare in anteprima le eliminazioni esatte. La pulizia termina in modalità fail-closed se il manifest è assente, punta a un'altra sottoscrizione/workspace o se una qualsiasi risorsa non presenta più la provenienza di questo lab.

Limiti dell'evidenza

Queste query sono punti di partenza per la ricerca. Si basano su euristiche di denominazione e su schemi Entra e Azure Activity specifici del tenant. Validare la disponibilità delle tabelle, i nomi dei campi, le baseline, le allowlist, il costo delle query e il comportamento dei falsi positivi in un workspace non di produzione prima di abilitarle. Forniscono evidenze di comportamento sospetto, non l'attribuzione di exploit.

Riferimenti

Licenza

MIT

mcp-attack-detection-sentinel — Updated!

Categorie