Detecção de Ataques MCP — Laboratório de Pesquisa Sentinel

Pesquisa de detecção do Sentinel para padrões de ataque MCP (Model Context Protocol): acesso de identidade incomum após um evento relacionado a MCP, mutação de definição de ferramenta, acesso entre recursos e possível comportamento de pós-exploração. As regras mapeiam o OWASP Top 10 for Agentic Applications (2026).

Status de publicação: este repositório não possui atualmente um artigo complementar publicado na série Nine Lives e não está intencionalmente listado no catálogo de Laboratórios do site. Ele permanece como um recurso de pesquisa independente.

A regra CVE-2026-26118 é uma heurística baseada em comportamento informada pela divulgação de SSRF do Azure MCP Server. Ela não prova que a CVE foi explorada ou que um token foi roubado. A Microsoft descreve o problema como SSRF que pode permitir que um invasor de rede autorizado eleve privilégios; as faixas de pacotes afetadas e o aviso do fornecedor são registrados pelo NIST NVD.

O Que É Implantado

Cobertura MITRE ATT&CK

Início Rápido

# Review the exact plan. This performs no mutations.
./scripts/Deploy-Lab.ps1 `
    -ResourceGroup "rg-sentinel-lab" `
    -WorkspaceName "law-sentinel-lab" `
    -WhatIf

# Deploy analytics rules (disabled), hunting queries, and workbook.
./scripts/Deploy-Lab.ps1 `
    -ResourceGroup "rg-sentinel-lab" `
    -WorkspaceName "law-sentinel-lab"

# After reviewing the queries, opt in to enabling the rules.
./scripts/Deploy-Lab.ps1 `
    -ResourceGroup "rg-sentinel-lab" `
    -WorkspaceName "law-sentinel-lab" `
    -EnableRules

# Validate the exact manifest-owned deployment.
./scripts/Test-MCPDetections.ps1 `
    -ResourceGroup "rg-sentinel-lab" `
    -WorkspaceName "law-sentinel-lab"

Pré-requisitos

• Assinatura do Azure com o Microsoft Sentinel habilitado
• Configurações de diagnóstico do Entra ID: AuditLogs, ServicePrincipalSignInLogs, ManagedIdentitySignInLogs
• Conector de Log de Atividades do Azure habilitado no Sentinel
• PowerShell 7.0+ com a CLI do Azure
• Funções suficientes para gerenciar regras de análise do Sentinel, pesquisas salvas do Log Analytics e workbooks no grupo de recursos de destino. Use as atribuições de função mais restritas do locatário que atendam a essas operações.

Modelo de segurança e propriedade

• Todos os IDs de regras e workbooks são determinísticos e restritos ao workspace exato.
• A implantação grava um manifesto .mcp-attack-detection-state.json visível apenas ao proprietário antes da primeira mutação na nuvem.
• Os recursos existentes são verificados (preflight) antes de qualquer gravação. O script recusa recursos de mesmo ID sem a proveniência esperada e nunca os adota sem o manifesto.
• As regras de análise são implantadas desabilitadas, a menos que -EnableRules seja fornecido explicitamente.
• -WhatIf executa as mesmas leituras e verificações de colisão com zero gravações.
• A limpeza usa apenas IDs exatos do manifesto, valida novamente a proveniência e nunca pesquisa por prefixo de nome de exibição, categoria ou substring.
• As implantações feitas com uma versão mais antiga deste repositório não são automaticamente adotadas nem excluídas. Faça o inventário desses recursos manualmente antes de usar esta versão.

Fontes de Dados

Limpeza

./scripts/Deploy-Lab.ps1 `
    -ResourceGroup "rg-sentinel-lab" `
    -WorkspaceName "law-sentinel-lab" `
    -Destroy

Execute o mesmo comando com -WhatIf primeiro para pré-visualizar as exclusões exatas. A limpeza falha de forma segura se o manifesto estiver ausente, apontar para outra assinatura/workspace ou se qualquer recurso não carregar mais a proveniência deste laboratório.

Limite de evidências

Estas consultas são pontos de partida de pesquisa. Elas dependem de heurísticas de nomenclatura e de esquemas de Entra e Azure Activity específicos do locatário. Valide a disponibilidade das tabelas, nomes de campos, baselines, listas de permissões, custo da consulta e comportamento de falsos positivos em um workspace de não produção antes de habilitá-las. Elas fornecem evidência de comportamento suspeito, não atribuição de exploração.

Referências

• CVE-2026-26118 — aviso do fornecedor Microsoft
• CVE-2026-26118 — registro NIST NVD e versões afetadas
• OWASP Top 10 for Agentic Applications 2026

Licença

MIT