Rilevamento attacchi MCP — Sentinel Research Lab

Ricerca di rilevamento Sentinel per i modelli di attacco MCP (Model Context Protocol): accesso anomalo dell'identità dopo un evento correlato a MCP, mutazione della definizione degli strumenti, accesso cross-risorsa e possibile comportamento post-exploitation. Le regole sono mappate sulla OWASP Top 10 for Agentic Applications (2026).

Stato della pubblicazione: questo repository non dispone attualmente di un articolo Nine Lives complementare pubblicato e non è intenzionalmente elencato nel catalogo Labs del sito web. Rimane un elemento di ricerca autonomo.

La regola CVE-2026-26118 è un'euristica basata sul comportamento, informata dalla divulgazione SSRF di Azure MCP Server. Non prova che la CVE sia stata sfruttata o che un token sia stato rubato. Microsoft descrive il problema come SSRF che può consentire a un attaccante di rete autorizzato di elevare i privilegi; gli intervalli di pacchetti interessati e l'avviso del fornitore sono documentati da NIST NVD.

Cosa viene distribuito

Copertura MITRE ATT&CK

Avvio rapido

# Review the exact plan. This performs no mutations.
./scripts/Deploy-Lab.ps1 `
    -ResourceGroup "rg-sentinel-lab" `
    -WorkspaceName "law-sentinel-lab" `
    -WhatIf

# Deploy analytics rules (disabled), hunting queries, and workbook.
./scripts/Deploy-Lab.ps1 `
    -ResourceGroup "rg-sentinel-lab" `
    -WorkspaceName "law-sentinel-lab"

# After reviewing the queries, opt in to enabling the rules.
./scripts/Deploy-Lab.ps1 `
    -ResourceGroup "rg-sentinel-lab" `
    -WorkspaceName "law-sentinel-lab" `
    -EnableRules

# Validate the exact manifest-owned deployment.
./scripts/Test-MCPDetections.ps1 `
    -ResourceGroup "rg-sentinel-lab" `
    -WorkspaceName "law-sentinel-lab"

Prerequisiti

• Sottoscrizione Azure con Microsoft Sentinel abilitato
• Impostazioni di diagnostica di Entra ID: AuditLogs, ServicePrincipalSignInLogs, ManagedIdentitySignInLogs
• Connector del log attività di Azure abilitato in Sentinel
• PowerShell 7.0+ con Azure CLI
• Ruoli sufficienti per gestire le regole di analisi di Sentinel, le ricerche salvate di Log Analytics e i workbook nel gruppo di risorse di destinazione. Utilizzare le assegnazioni di ruolo specifiche del tenant più ristrette che soddisfano tali operazioni.

Modello di sicurezza e proprietà

• Tutti gli ID delle regole e dei workbook sono deterministici e limitati al workspace esatto.
• La distribuzione scrive un manifest .mcp-attack-detection-state.json accessibile solo al proprietario prima della prima mutazione cloud.
• Le risorse esistenti vengono pre-verificate prima di qualsiasi scrittura. Lo script rifiuta risorse con lo stesso ID prive della provenienza prevista e non le adotta mai senza il proprio manifest.
• Le regole di analisi vengono distribuite disabilitate a meno che non venga fornito esplicitamente -EnableRules.
• -WhatIf esegue le stesse letture e gli stessi controlli di collisione con zero scritture.
• La pulizia utilizza solo gli ID esatti del manifest, valida nuovamente la provenienza e non cerca mai per prefisso del nome visualizzato, categoria o sottostringa.
• Le distribuzioni effettuate con una versione precedente di questo repository non vengono adottate né eliminate automaticamente. Inventariare manualmente tali risorse prima di utilizzare questa versione.

Origini dati

Pulizia

./scripts/Deploy-Lab.ps1 `
    -ResourceGroup "rg-sentinel-lab" `
    -WorkspaceName "law-sentinel-lab" `
    -Destroy

Eseguire prima lo stesso comando con -WhatIf per visualizzare in anteprima le eliminazioni esatte. La pulizia termina in modalità fail-closed se il manifest è assente, punta a un'altra sottoscrizione/workspace o se una qualsiasi risorsa non presenta più la provenienza di questo lab.

Limiti dell'evidenza

Queste query sono punti di partenza per la ricerca. Si basano su euristiche di denominazione e su schemi Entra e Azure Activity specifici del tenant. Validare la disponibilità delle tabelle, i nomi dei campi, le baseline, le allowlist, il costo delle query e il comportamento dei falsi positivi in un workspace non di produzione prima di abilitarle. Forniscono evidenze di comportamento sospetto, non l'attribuzione di exploit.

Riferimenti

• CVE-2026-26118 — Avviso del fornitore Microsoft
• CVE-2026-26118 — Record NIST NVD e versioni interessate
• OWASP Top 10 for Agentic Applications 2026

Licenza

MIT