Microsoft Entra 攻防手册

本出版物汇集了针对 Microsoft Entra 的各种常见攻击场景，以及如何对其进行缓解或检测。所有包含的场景、见解和评论均基于贡献者在攻击模拟、实践或真实场景中的经验。

它应被视为一份持续更新的文档，将随着攻防技术的实践进展与变化而不断更新。我们邀请社区中的身份或安全专家共同参与本出版物，贡献更新、反馈、评论或进一步的补充内容。

章节

附录：

在所有章节中，我们遵循相同的章节结构准则。阅读时，你可以预期看到：

每个场景中常见攻击场景的描述
利用 Microsoft 安全栈对攻击进行检测
针对攻击的缓解措施，以及基于章节范围如何改善环境安全态势的说明
将攻击场景和检测能力映射到 MITRE ATT&CK 框架的战术、技术与过程 (TTP)

以下部分包含《Microsoft Entra 攻防手册》中每个章节的简短描述。

背景

创建《Microsoft Entra 攻防手册》的最初想法来自 Thomas Naunheim。我们的第一次 Teams 通话大约是在 2020 年秋季，当时 Thomas 提出了这个想法，并立即得到了认可。

第一章是关于“密码喷洒”攻击，我们重点聚焦于 Entra ID Protection（前身为 Azure AD Identity Protection）检测机制，以检测“密码喷洒”类型的攻击。在第一章期间，我们了解到，由于研究的复杂性以及研究角度的多样性，完成研究所需的日历时间可能远超预期。与任何项目类型的工作一样，范围界定极其重要。

作者

_{Sami Lamppu}
💬 📖

_{Thomas Naunheim}
💬 📖

贡献者与审阅者

_{Joosua Santasalo}
💬 📖

_{Markus Pitkäranta}
💬 📖

_{Christopher Brumm}
💬 📖

_{Derk van der Woude}
💬 📖

_{Fabian Bader}
💬 📖

_{Nestori Syynimaa}
💬 📖

_{Robbe Van den Daele}
💬 📖

在最新的章节中，我们很幸运地邀请到了其他社区成员参与该项目，例如 Joosua Santasalo、Fabian Bader 和 Christopher Brumm 作为陪练伙伴和审阅者参与其中。

MITRE ATT&CK 框架

MITRE ATT&CK 框架通常用于映射对手行动的战术、技术与过程 (TTP)，并在世界各地的组织中模拟防御。在本手册中，我们在所有章节中利用 MITRE ATT&CK 框架 v11 将技术、战术与过程 (TTP) 映射到攻击场景。这将帮助蓝队为相应场景构建防御。

战术、技术与过程 (TTP)

你可以预期在各个章节中找到基于特定攻击场景的多条检测规则。由于本手册包含大量检测规则，我们决定创建可视化图表，其中包含映射到 TTP 的所有攻击场景。另请注意，每个单独章节都有对应攻击场景的可视化图表。

攻击场景到 TTP 的映射

drawing
在 MITRE ATT&CK Navigator 中打开

攻击场景的检测与规则模板

Microsoft 安全产品（Microsoft Defender XDR、Microsoft Sentinel、Azure Entra ID Connect、Microsoft Defender for Cloud）的相关检测能力将在攻击场景的检测部分中涵盖。为本手册开发的 Microsoft Sentinel 自定义规则模板也映射到 TTP。检测规则以 Microsoft Sentinel 规则模板（可部署）的 JSON（ARM 模板）格式在此处提供。

最受欢迎

AzureAD-Attack-Defense