MCP 攻击检测 — Sentinel 研究实验室

针对 MCP（模型上下文协议）攻击模式的 Sentinel 检测研究：MCP 相关事件后的异常身份访问、工具定义篡改、跨资源访问，以及可能的利用后行为。这些规则映射到 OWASP 2026 年智能体应用十大风险。

发布状态： 此仓库目前没有已发布的 Nine Lives 配套文章，并且有意未列入网站的 Labs 目录。它仍然是一个独立的研究项目。

CVE-2026-26118 规则是一种基于行为的启发式规则，参考了 Azure MCP Server SSRF 披露。它不证明该 CVE 已被利用或令牌已被窃取。微软将该问题描述为 SSRF，可让已授权的网络攻击者提升权限；受影响的软件包范围和厂商公告已由 NIST NVD 记录。

部署内容

MITRE ATT&CK 覆盖范围

快速开始

# 查看精确计划。此操作不执行任何变更。
./scripts/Deploy-Lab.ps1 `
    -ResourceGroup "rg-sentinel-lab" `
    -WorkspaceName "law-sentinel-lab" `
    -WhatIf

# 部署分析规则（禁用状态）、狩猎查询和工作簿。
./scripts/Deploy-Lab.ps1 `
    -ResourceGroup "rg-sentinel-lab" `
    -WorkspaceName "law-sentinel-lab"

# 审查查询后，选择启用规则。
./scripts/Deploy-Lab.ps1 `
    -ResourceGroup "rg-sentinel-lab" `
    -WorkspaceName "law-sentinel-lab" `
    -EnableRules

# 验证精确的清单所属部署。
./scripts/Test-MCPDetections.ps1 `
    -ResourceGroup "rg-sentinel-lab" `
    -WorkspaceName "law-sentinel-lab"

先决条件

• 已启用 Microsoft Sentinel 的 Azure 订阅
• Entra ID 诊断设置：AuditLogs、ServicePrincipalSignInLogs、ManagedIdentitySignInLogs
• 已在 Sentinel 中启用 Azure Activity Log 连接器
• PowerShell 7.0+ 及 Azure CLI
• 具有足够权限管理目标资源组中的 Sentinel 分析规则、Log Analytics 已保存搜索和工作簿的角色。使用满足这些操作的最窄租户特定角色分配。

安全与所有权模型

• 所有规则和工作簿 ID 均为确定性生成，并限定在精确的工作区范围内。
• 部署在首次云变更之前写入仅所有者可读的 .mcp-attack-detection-state.json 清单。
• 任何写入前都会对现有资源进行预检。脚本拒绝没有预期来源的同 ID 资源，并且绝不会在没有其清单的情况下采用这些资源。
• 分析规则默认以禁用状态部署，除非显式提供 -EnableRules。
• -WhatIf 执行相同的读取和冲突检查，但不进行任何写入。
• 清理仅使用清单中的精确 ID，再次验证来源，并且绝不按显示名称前缀、类别或子字符串进行搜索。
• 使用此仓库旧版本进行的部署不会被自动采用或删除。在使用此版本之前，请手动盘点这些资源。

数据源

清理

./scripts/Deploy-Lab.ps1 `
    -ResourceGroup "rg-sentinel-lab" `
    -WorkspaceName "law-sentinel-lab" `
    -Destroy

先使用 -WhatIf 运行相同命令以预览精确的删除操作。如果清单缺失、指向另一个订阅/工作区，或任何资源不再带有此实验室的来源标记，清理将安全失败。

证据边界

这些查询是研究起点。它们依赖于命名启发式规则以及租户特定的 Entra 和 Azure Activity 架构。在启用之前，请在非生产工作区中验证表可用性、字段名称、基线、允许列表、查询成本和误报行为。它们提供可疑行为证据，而非利用归因。

参考

• CVE-2026-26118 — 微软厂商公告
• CVE-2026-26118 — NIST NVD 记录和受影响版本
• OWASP 2026 年智能体应用十大风险

许可证

MIT