Langkah-Langkah Menganalisis Penyalahgunaan Aplikasi OAuth dengan Microsoft Graph Activity Logs

By Mirko Peters · 2026-03-09 · Updated 2026-03-24

Deteksi ancaman OAuth yang menargetkan Microsoft 365 menggunakan Entra ID dan Microsoft Graph Activity Log. Pelajari deteksi ancaman aplikasi OAuth melalui log aktivitas dan Graph API.

Automatically translated with AI from the original post. Read the English original

Memantau penggunaan aplikasi OAuth sangat penting untuk menjaga keamanan organisasi Anda dan mencegah Penyalahgunaan Aplikasi OAuth. Dengan memanfaatkan Microsoft Graph Activity Logs, Anda memperoleh visibilitas penting terhadap cara aplikasi OAuth beroperasi. Log ini membantu Anda mendeteksi potensi Penyalahgunaan Aplikasi OAuth dan mengungkap ancaman yang terkait dengan aktivitas aplikasi OAuth.

• Microsoft Graph Activity Logs sangat penting untuk:

  • Memantau aktivitas aplikasi OAuth.

  • Mendeteksi potensi Penyalahgunaan Aplikasi OAuth.

  • Menyediakan visibilitas dasar yang diperlukan untuk mengungkap ancaman.

Menetapkan standar kepatuhan sangat penting mengingat risiko Penyalahgunaan Aplikasi OAuth. Kriteria yang jelas untuk menilai keamanan dan kepatuhan memastikan Anda memilih aplikasi yang tepat untuk digunakan di perusahaan.

Menganalisis Penyalahgunaan Aplikasi OAuth dengan Microsoft Graph Activity Logs: 5 Fakta yang Mengejutkan

Saat menganalisis penyalahgunaan aplikasi OAuth dengan Microsoft Graph Activity Logs, investigator keamanan sering menemukan kemampuan dan keterbatasan yang tidak terduga, yang memengaruhi deteksi dan respons.

1. Log aktivitas menampilkan client_app_id OAuth untuk peristiwa yang berpusat pada aplikasi. Microsoft Graph Activity Logs menyertakan client_app_id (appId aplikasi') untuk banyak peristiwa masuk dan persetujuan, sehingga memungkinkan Anda memetakan token atau tindakan yang mencurigakan langsung ke aplikasi OAuth yang terdaftar, bukan hanya ke pengguna.
2. Tidak semua aktivitas aplikasi muncul di satu tempat. Beberapa jenis log itu penting. Peristiwa terkait OAuth dapat tersebar di Log Masuk, Log Audit, dan log aktivitas Microsoft Graph terpadu. Hanya mengandalkan satu sumber dapat membuat Anda melewatkan pemberian persetujuan, penerbitan token, atau perubahan izin aplikasi yang relevan bagi investigasi penyalahgunaan.
3. Retensi dan opsi ekspor dapat membatasi linimasa forensik jika tidak dikonfigurasi. Secara default, retensi penyewa untuk sebagian log aktivitas terbatas. Tanpa Pengaturan diagnostik yang mengekspor ke ruang kerja Log Analytics atau akun penyimpanan, bukti penyalahgunaan aplikasi historis bisa hilang dengan cepat.
4. Beberapa kolom sensitif disamarkan atau disunting dalam log Graph. Untuk melindungi privasi, sebagian PII dan detail token dipotong atau dikaburkan dalam muatan aktivitas. Karena itu, Anda perlu mengorelasikan log lain atau log akses bersyarat untuk merekonstruksi rangkaian serangan secara utuh.
5. Notifikasi perubahan dan kueri delta memungkinkan deteksi hampir real-time, tetapi perlu disiapkan. Microsoft Graph mendukung notifikasi perubahan (webhook) dan kueri delta untuk log aktivitas, sehingga memungkinkan deteksi otomatis terhadap izin aplikasi baru atau tindakan aplikasi yang tidak wajar. Namun, konfigurasinya harus disiapkan secara proaktif agar penyalahgunaan dapat tertangkap saat terjadi.

Poin Penting

• Pantau aktivitas aplikasi OAuth menggunakan Microsoft Graph Activity Logs untuk mendeteksi potensi penyalahgunaan dan ancaman.

• Secara berkala audit aplikasi OAuth untuk memastikan izin sudah sesuai dan selidiki aplikasi yang mencurigakan.

• Terapkan kontrol akses yang ketat, misalnya dengan menonaktifkan persetujuan pengguna untuk aplikasi pihak ketiga, untuk meningkatkan keamanan.

• Gunakan Kusto Query Language (KQL) untuk menganalisis log dan mengidentifikasi pola tidak biasa yang mungkin mengindikasikan penyalahgunaan aplikasi OAuth.

• Edukasi karyawan tentang ancaman keamanan dan taktik phishing untuk mengurangi risiko penyalahgunaan aplikasi OAuth.

Ikhtisar Penyalahgunaan Aplikasi OAuth

Vektor Serangan Umum

Penyerang sering mengeksploitasi persetujuan aplikasi OAuth untuk memperoleh akses tidak sah ke data sensitif. Mereka menggunakan berbagai taktik untuk melewati mekanisme keamanan. Misalnya, kampanye phishing kini semakin marak. Penyerang memperdaya pengguna agar memasukkan kode perangkat pada halaman verifikasi Microsoft yang sah. Metode ini memungkinkan mereka memperoleh token akses yang terkait dengan akun korban. Serangan semacam ini dapat lolos dari kontrol keamanan tradisional, termasuk autentikasi multifaktor.

Selain itu, banyak aplikasi pihak ketiga terhubung ke platform SaaS menggunakan token OAuth. Token ini dapat mempertahankan akses tanpa batas waktu kecuali dikelola secara aktif. Hal ini menimbulkan risiko besar, karena organisasi bisa tanpa disadari memberikan akses ke data sensitif melalui aplikasi yang sudah tidak digunakan. Para peneliti keamanan telah mencatat bahwa serangan OAuth sangat sulit dideteksi. Serangan ini meninggalkan jejak forensik yang minim dan dapat tetap aktif bahkan setelah kata sandi diatur ulang.

Risiko Akses Jangka Panjang

Risiko jangka panjang yang terkait dengan akses aplikasi OAuth yang persisten sangat mengkhawatirkan. Dalam lingkungan yang mengutamakan cloud, identitas kini menjadi perimeter baru. Penyerang dapat memperoleh akses persisten ke sistem perusahaan tanpa membobol server atau kata sandi. Mereka memanipulasi hubungan kepercayaan yang melekat pada sistem identitas modern.

Dampak dari penyalahgunaan aplikasi OAuth bisa sangat serius. Berikut beberapa risiko yang telah terdokumentasi:

• Phishing internal: Email yang dikirim dari akun tepercaya membuat lebih banyak korban terjebak.

• Pencurian data sensitif: File rahasia, kontrak, dan kekayaan intelektual dapat diekfiltrasi.

• Akses persisten: Meskipun kredensial telah diatur ulang, token dapat tetap aktif.

• Kerusakan reputasi: Pelanggan dan mitra kehilangan kepercayaan jika pelanggaran menjadi publik.

Organisasi harus tetap waspada. Mereka perlu secara rutin meninjau persetujuan aplikasi OAuth dan memantau aktivitas yang mencurigakan. Dengan demikian, Anda dapat memitigasi risiko yang terkait dengan penyalahgunaan aplikasi OAuth dan melindungi data sensitif Anda.

Microsoft Graph Activity Logs untuk Keamanan

Mengakses Microsoft Graph Activity Logs sangat penting untuk memantau perilaku aplikasi OAuth. Anda dapat mengikuti langkah-langkah berikut untuk mengambil log secara efektif:

1. Alirkan log melalui Diagnostic Setting di portal Azure atau dengan menggunakan API Azure Resource Manager.

2. Integrasikan log aktivitas dengan log Azure Monitor.

3. Konfigurasikan diagnostic settings melalui API Azure Resource Manager.

4. Siapkan tujuan penyimpanan seperti Azure Log Analytics Workspace, Azure Storage, atau Azure Event Hubs.

5. Kueri log menggunakan Kusto Query Language (KQL) jika dikirim ke workspace Log Analytics.

Setelah Anda mengakses log, fokuslah pada entri utama yang dapat mengindikasikan perilaku aplikasi OAuth yang mencurigakan. Berikut beberapa entri log yang perlu dipantau:

Peringatan real-time berperan penting dalam mendeteksi dan merespons insiden penyalahgunaan aplikasi OAuth. Peringatan ini memberikan visibilitas terhadap perilaku mencurigakan dan memungkinkan respons otomatis untuk memitigasi risiko. Misalnya, token OAuth milik Drift memiliki masa berlaku yang diperpanjang, sehingga pelanggan Salesforce kehilangan visibilitas terhadap koneksi aplikasi. Token yang disusupi dapat melewati MFA dan SSO, sehingga menegaskan perlunya peringatan real-time untuk mendeteksi anomali seperti penarikan API dalam jumlah besar.

Untuk mengonfigurasi peringatan real-time yang efektif, pertimbangkan praktik terbaik berikut:

• Atur peringatan untuk aktivitas mencurigakan di Microsoft Graph Activity Logs, seperti penetapan izin dengan hak istimewa tinggi dan percobaan masuk yang tidak biasa.

• Gunakan Microsoft Defender for Cloud Apps (MCAS) untuk memantau dan menerapkan kontrol sesi, serta menghasilkan peringatan untuk login aplikasi OAuth yang berisiko.

• Telusuri Microsoft 365 Unified Audit Log untuk peristiwa penting seperti 'Add application' atau 'Consent to application' guna mengidentifikasi potensi penyalahgunaan aplikasi OAuth.

• Korelasikan peringatan percobaan masuk yang tidak biasa dengan audit log untuk mendeteksi aktivitas aplikasi OAuth yang berbahaya.

Dengan menerapkan strategi-strategi ini, Anda dapat meningkatkan postur keamanan organisasi dan melindungi lebih baik dari penyalahgunaan aplikasi OAuth.

Metode Deteksi Penyalahgunaan Aplikasi OAuth

Kueri KQL

Kusto Query Language (KQL) merupakan alat yang ampuh untuk menganalisis Microsoft Graph Activity Logs. Anda dapat menggunakan KQL untuk mengidentifikasi pola dan anomali yang mungkin menandakan penyalahgunaan aplikasi OAuth. Berikut beberapa strategi efektif untuk menggunakan KQL:

• Lakukan audit rutin terhadap aplikasi Entra untuk mengidentifikasi izin berlebihan. Langkah ini membantu Anda menemukan aplikasi yang mungkin menimbulkan risiko.

• Pantau akses yang tidak terduga ke Microsoft Graph API. Akses semacam itu dapat menandakan adanya kompromi, sehingga Anda dapat bertindak dengan cepat.

• Buat daftar aman berisi aplikasi yang telah disetujui. Daftar ini memudahkan pemantauan berkelanjutan dan membantu Anda mendeteksi aplikasi baru dengan hak istimewa tinggi.

Untuk memulai dengan KQL, pertimbangkan contoh kueri berikut yang memeriksa aktivitas masuk yang tidak biasa:

AuditLogs
| where ActivityType == "SignIn"
| where Result == "Failure"
| summarize Count = count() by UserPrincipalName, bin(TimeGenerated, 1h)
| order by Count desc

Kueri ini mengidentifikasi pengguna dengan percobaan masuk yang gagal, sehingga Anda dapat menyelidiki potensi akses tidak sah.

Otomatisasi PowerShell

Otomatisasi PowerShell dapat mempercepat deteksi penyalahgunaan aplikasi OAuth secara signifikan. Dengan memanfaatkan skrip PowerShell, Anda dapat mengotomatiskan pemantauan aplikasi OAuth beserta aktivitasnya. Berikut beberapa alat dan fungsinya:

Dengan PowerShell, Anda juga dapat membuat skrip untuk secara rutin memeriksa izin berlebihan pada aplikasi Entra. Pendekatan proaktif ini membantu Anda menjaga lingkungan tetap aman.

Misalnya, Anda dapat menjalankan skrip untuk mencantumkan semua aplikasi dengan hak istimewa tinggi:

Get-AzureADServicePrincipal | Where-Object { $_.AppRoles -ne $null -and $_.AppRoles.Count -gt 5 }

Perintah ini mengambil service principal yang memiliki lebih dari lima app role, sehingga Anda dapat menilai potensi risikonya.

Dengan menggabungkan kueri KQL dan otomasi PowerShell, Anda dapat meningkatkan kemampuan deteksi. Metode-metode ini memberi Anda alat yang diperlukan untuk mengidentifikasi dan merespons penyalahgunaan aplikasi OAuth secara efektif.

Strategi Mitigasi untuk Ancaman Berbasis Identitas

Menganalisis Perilaku Pengguna

Untuk memitigasi risiko yang terkait dengan aplikasi OAuth secara efektif, Anda harus menganalisis perilaku pengguna untuk mendeteksi anomali. Alat User Behavior Analytics (UBA) dapat membantu Anda mengidentifikasi pola tidak biasa yang mungkin menandakan penyalahgunaan aplikasi OAuth. Berikut beberapa metode yang dapat Anda pertimbangkan:

Dengan menerapkan strategi ini, Anda dapat mendeteksi potensi ancaman sejak dini. Audit rutin terhadap aplikasi OAuth juga memegang peranan penting. Anda sebaiknya secara rutin meninjau izin untuk memastikan izin tersebut sesuai dengan peran pengguna. Selidiki aplikasi mencurigakan yang mungkin memiliki hak akses berlebihan.

Mengorelasikan Peristiwa

Mengorelasikan peristiwa adalah strategi efektif lain untuk mendeteksi ancaman berbasis identitas. Pendekatan ini memungkinkan Anda menyusun informasi dari berbagai sumber untuk mengidentifikasi pendaftaran aplikasi berbahaya atau upaya melewati kontrol keamanan. Berikut beberapa wawasan mengenai pentingnya korelasi peristiwa:

Dengan mengorelasikan peristiwa, Anda dapat membuat penilaian risiko yang komprehensif. Proses ini membantu Anda memahami bagaimana berbagai aktivitas saling berhubungan, sehingga memungkinkan Anda mendeteksi pola yang mungkin menandakan teknik penyalahgunaan OAuth.

Menerapkan strategi mitigasi ini membutuhkan komitmen. Anda mungkin menghadapi tantangan, seperti kesulitan dalam mendeteksi serangan yang mengeksploitasi alur kerja OAuth yang sah. Kontrol keamanan tradisional sering kali tidak memadai setelah persetujuan diberikan. Namun, dengan pendekatan proaktif, Anda dapat secara signifikan mengurangi risiko penyalahgunaan aplikasi OAuth.

Untuk memperkuat postur keamanan Anda lebih lanjut, pertimbangkan strategi mitigasi efektif berikut:

1. Audit: Lakukan audit aplikasi OAuth secara rutin untuk memastikan izin sudah sesuai dan selidiki aplikasi yang mencurigakan.

2. Batasi Persetujuan Pengguna: Nonaktifkan persetujuan pengguna untuk aplikasi pihak ketiga agar setiap permintaan otorisasi memerlukan persetujuan administratif.

3. Role-Based Access Control (RBAC): Terapkan RBAC untuk membatasi hak istimewa pengguna hingga level minimum yang diperlukan.

4. Pelatihan Pengguna: Lakukan pelatihan rutin untuk mengedukasi karyawan tentang ancaman keamanan dan taktik phishing.

Dengan berfokus pada analisis perilaku pengguna dan korelasi peristiwa, Anda dapat memperkuat pertahanan terhadap ancaman berbasis identitas yang terkait dengan penyalahgunaan aplikasi OAuth.

Singkatnya, analisis penyalahgunaan aplikasi OAuth mengungkap kerentanan kritis pada banyak aplikasi. Studi terbaru menunjukkan bahwa sekitar 8% dari aplikasi yang diuji rentan terhadap penyalahgunaan OAuth. Hal ini menegaskan perlunya pemantauan berkelanjutan untuk memperkuat postur keamanan Anda.

Anda sebaiknya berfokus pada:

• Audit rutin terhadap identitas pengguna dan service principal.

• Menerapkan kebijakan persetujuan untuk memblokir akses yang tidak sah.

• Secara proaktif memburu aplikasi yang berisiko.

Dengan menerapkan strategi pertahanan proaktif ini, Anda dapat secara signifikan mengurangi risiko yang terkait dengan penyalahgunaan aplikasi OAuth dan melindungi organisasi Anda dari potensi ancaman.

Pertanyaan Umum

Apa itu penyalahgunaan aplikasi OAuth?

Penyalahgunaan aplikasi OAuth terjadi ketika penyerang mengeksploitasi aplikasi OAuth untuk memperoleh akses tidak sah ke data sensitif. Mereka sering menggunakan taktik seperti phishing dan consent phishing untuk mengelabui pengguna agar memberikan izin.

Bagaimana cara mendeteksi penyalahgunaan aplikasi OAuth?

Anda dapat mendeteksi penyalahgunaan aplikasi OAuth dengan memantau Microsoft Graph Activity Logs untuk aktivitas mencurigakan. Perhatikan log masuk yang tidak biasa, unduhan dengan volume tinggi, dan perubahan izin yang tidak terduga.

Apa saja risiko consent phishing?

Consent phishing memungkinkan penyerang mengelabui pengguna agar memberikan akses ke akun mereka. Hal ini dapat menyebabkan pencurian data, akses tidak sah, dan potensi kerusakan reputasi organisasi Anda.

Seberapa sering saya harus mengaudit aplikasi OAuth?

Anda sebaiknya mengaudit aplikasi OAuth secara rutin, idealnya setiap beberapa bulan. Hal ini membantu memastikan bahwa izin tetap sesuai dan Anda dapat mengidentifikasi aplikasi yang mencurigakan dengan cepat.

Langkah apa saja yang dapat saya ambil untuk mencegah penyalahgunaan aplikasi OAuth?

Untuk mencegah penyalahgunaan aplikasi OAuth, terapkan kontrol akses yang ketat, nonaktifkan persetujuan pengguna untuk aplikasi pihak ketiga, dan lakukan pelatihan rutin tentang kesadaran phishing bagi karyawan Anda.

Menyelidiki Microsoft Graph: Log Analytics workspace dan deteksi ancaman

Apa yang dimaksud dengan menganalisis penyalahgunaan aplikasi OAuth dengan log aktivitas Microsoft Graph?

Menganalisis penyalahgunaan aplikasi OAuth dengan log aktivitas Microsoft Graph berarti menggunakan graph api activity dan graph api logs untuk mengidentifikasi aktivitas berbahaya oleh aplikasi atau pelaku ancaman yang menyalahgunakan otorisasi OAuth 2.0 di lingkungan Microsoft 365 Anda. Anda memeriksa panggilan graph api, pola permintaan api, dan log masuk Microsoft Entra ID bersama rangkaian graph activity log di Log Analytics workspace untuk mendeteksi perilaku oauth yang mencurigakan dan aplikasi oauth yang berisiko.

Bagaimana cara mengaktifkan log aktivitas Microsoft Graph dan ke mana log tersebut dikirim?

Mengaktifkan log aktivitas Microsoft Graph memerlukan konfigurasi layanan Microsoft 365 dan layanan Microsoft Graph agar mengirim graph api activity dan api activities ke Log Analytics workspace (atau SIEM eksternal). Gunakan pengaturan diagnostik Microsoft Entra ID untuk mengarahkan permintaan graph api, log Entra ID, dan peristiwa log masuk ke Log Analytics Workspace ID tempat Anda dapat membuat kueri graph API logs dan menjalankan kueri deteksi ancaman dengan Kusto (activity log dan kusto query).

Indikator apa dalam panggilan graph api yang menunjukkan aktivitas OAuth yang mencurigakan?

Perhatikan permintaan graph api yang tidak biasa, seperti panggilan graph api dengan volume tinggi dari satu application id, pemberian persetujuan yang berulang, penggunaan ulang token lintas penyewa, atau graph api activity dari IP yang tidak dikenal. Korelasikan temuan ini dengan log masuk Microsoft Entra ID, peristiwa microsoft authentication broker, dan anomali pada waktu panggilan api untuk menemukan ancaman menggunakan Microsoft Graph activity serta potensi penyalahgunaan aplikasi oauth.

Bagaimana cara menyelidiki aplikasi OAuth yang berisiko menggunakan Log Analytics dan kueri Kusto?

Gunakan Log Analytics workspace untuk memusatkan graph api logs dan jalankan kueri Kusto pada rangkaian graph activity log. Langkah umumnya: menyerap permintaan microsoft graph api dan log Entra ID, menulis KQL untuk menampilkan graph api activity yang tidak biasa, melakukan pivot berdasarkan application id dan pengguna, lalu mengorelasikannya dengan peristiwa layanan microsoft 365. Sebuah playbook untuk menggunakan graph mencakup contoh KQL untuk mendeteksi token oauth yang mencurigakan dan api activities.

Apa peran Entra ID dalam mendeteksi penyalahgunaan OAuth?

Microsoft Entra ID (sebelumnya Azure AD) menyediakan sinyal identitas dan akses, yaitu log Entra ID dan log masuk Entra ID, yang menunjukkan aplikasi mana yang meminta akses dan pengguna mana yang memberikan persetujuan. Dengan menggunakan log ini bersama Microsoft Graph API dan log aktivitas graph api, Anda dapat menghubungkan peristiwa otorisasi OAuth 2.0 dengan permintaan api, mengidentifikasi kredensial yang disusupi atau aplikasi berbahaya, serta menerapkan akses bersyarat atau mencabut izin aplikasi.

Bisakah saya mengotomatiskan deteksi ancaman dan respons terhadap penyalahgunaan aplikasi OAuth?

Ya. Gabungkan log aktivitas Graph API di ruang kerja Log Analytics dengan peringatan otomatis dan playbook untuk mendeteksi ancaman menggunakan Microsoft Graph. Gunakan KQL untuk memicu peringatan atas anomali, lalu jalankan remediasi otomatis (mencabut token, memblokir ID aplikasi, menonaktifkan persetujuan) menggunakan panggilan Microsoft Graph API dan layanan Microsoft Graph untuk membatasi aktivitas berbahaya dan mengurangi akses ke sumber daya Microsoft 365.

Apa saja praktik terbaik untuk mengurangi risiko dari OAuth yang mencurigakan dan aplikasi OAuth yang berisiko?

Praktik terbaik meliputi: menerapkan hak akses minimal untuk aplikasi, memantau permintaan Graph API serta log masuk Entra ID, hanya mewajibkan persetujuan admin jika benar-benar diperlukan, menggunakan kebijakan akses bersyarat dan MFA, memusatkan log Graph API ke ruang kerja Log Analytics dengan ID ruang kerja Log Analytics, dan melakukan investigasi rutin dengan log aktivitas Graph dan kueri Kusto untuk mendeteksi ancaman menggunakan aktivitas Microsoft Graph sejak dini.

Bagaimana cara mengaitkan Microsoft Teams atau layanan Microsoft 365 lainnya ke dalam investigasi?

Sertakan telemetri Microsoft Teams dan layanan Microsoft 365 lainnya di dalam log aktivitas Graph API Anda, lalu korelasikan dengan permintaan Graph API. Banyak skenario penyalahgunaan OAuth melibatkan akses ke surat, berkas, atau pesan Teams. Dengan menggunakan Microsoft Graph API untuk menarik aktivitas khusus layanan dan menggabungkannya dengan log Entra ID di Log Analytics, Anda dapat melihat rangkaian lengkap dari permintaan API hingga akses sumber daya, serta mendeteksi aktivitas berbahaya di seluruh ekosistem Microsoft.