Entra ID 로그인 로그에서 파워쉘 인증 성공 로그를 탐지합니다.

Overview

Priority	Low
Type	Stream
Log schema	entra-id-signin
Message	호스트 $hostname 에서 $user_name ($user) 계정으로 파워쉘 로그인
Output field order	_log_time, category, src_ip, country, city, user_type, user_name, user, hostname, os_name, app, result_type, result_signature, browser, token_issuer_type, cloud_resource, properties
MITRE Techniques	T1078.004 Cloud Accounts
MITRE tactics	TA0001 Initial Access

Query

Azure Activity Directory Powershell (2024년 3월 지원 만료) 또는 Microsoft Graph Command Line Tools 을 사용하여 로그인에 성공하는 경우 탐지합니다.

Target logger models

• Microsoft Entra ID azure-event-hubs

Threat analysis

• Azure Active Directory PowerShell 이나 Microsoft Graph Command Line Tools 도구는 IT 운영팀에서 Entra ID를 관리할 때 종종 사용됩니다. Entra ID에서 데이터를 조회하거나, 새로운 사용자, 앱을 등록, 수정, 삭제할 수 있습니다.
• IT 운영팀이 아닌 사용자 또는 통상적인 관리 단말 이외의 위치에서 파워쉘 인증이 수행되었다면, 이는 인가되지 않은 접근일 수 있습니다.

False positives

• 정상적인 파워쉘 명령어 사용 시에도 탐지될 수 있습니다.
  • 오탐이 빈번하게 발생하는 경우에는 user와 hostname 기준으로 탐지 예외 조건을 추가합니다.

Response actions

• 이벤트가 발생한 시점에 의도된 파워쉘 명령어 실행이 있었는지 사용자에게 확인합니다.
• 의도하지 않은 파워쉘 명령어가 실행되었다면 계정이 침해된 것이므로 계정을 비활성화하고 침해 범위를 조사합니다.
  • 해당 계정이 보유한 권한 범위와 수준을 확인합니다.
  • 계정을 새로 생성하거나, 삭제하거나, 암호를 초기화하거나, 권한을 변경하는 행위가 있었는지 감사 로그를 조사합니다.
  • 공격자가 다른 계정이나 서버, 서비스까지 영향을 미쳤는지 방화벽 로그를 조사합니다.
• 모든 암호 및 API 키를 재설정하여 공격자가 보유한 권한을 회수합니다.
• 만약 계정에 MFA가 설정되지 않았다면, MFA를 추가로 설정합니다.