Kroki analizy nadużyć aplikacji OAuth za pomocą dzienników działań Microsoft Graph

By Mirko Peters · 2026-03-09 · Updated 2026-03-24

Wykrywaj zagrożenia OAuth wymierzone w Microsoft 365 za pomocą Entra ID i dziennika działań Microsoft Graph. Dowiedz się, jak wykrywać zagrożenia związane z aplikacjami OAuth na podstawie dzienników działań i interfejsu Graph API.

Automatically translated with AI from the original post. Read the English original

Monitorowanie użycia aplikacji OAuth jest kluczowe dla zachowania bezpieczeństwa w organizacji i zapobiegania nadużyciom aplikacji OAuth. Dzięki Microsoft Graph Activity Logs zyskujesz istotny wgląd w to, jak działają aplikacje OAuth. Te dzienniki pomagają wykrywać potencjalne nadużycia aplikacji OAuth i ujawniać zagrożenia związane z aktywnością tych aplikacji.

• Dzienniki działań Microsoft Graph są niezbędne do:

  • Monitorowania aktywności aplikacji OAuth.

  • Wykrywania potencjalnych nadużyć aplikacji OAuth.

  • Zapewnienia podstawowego wglądu niezbędnego do ujawniania zagrożeń.

Ustalenie standardów zgodności jest krytyczne ze względu na ryzyko związane z nadużyciami aplikacji OAuth. Jasne kryteria oceny bezpieczeństwa i zgodności pozwalają wybrać właściwe aplikacje do użytku w przedsiębiorstwie.

Analiza nadużyć aplikacji OAuth za pomocą dzienników działań Microsoft Graph: 5 zaskakujących faktów

Podczas analizy nadużyć aplikacji OAuth za pomocą dzienników działań Microsoft Graph analitycy bezpieczeństwa często odkrywają nieoczekiwane możliwości i ograniczenia, które wpływają na wykrywanie i reagowanie.

1. Dzienniki działań ujawniają client_app_id OAuth dla zdarzeń dotyczących aplikacji. Dzienniki działań Microsoft Graph zawierają client_app_id (appId aplikacji) dla wielu zdarzeń logowania i udzielania zgody, co umożliwia powiązanie podejrzanych tokenów lub działań bezpośrednio z zarejestrowaną aplikacją OAuth, a nie tylko z użytkownikiem.
2. Nie cała aktywność aplikacji trafia w jedno miejsce — ważne są różne typy dzienników. Zdarzenia OAuth mogą być rozproszone między dziennikami logowania, dziennikami audytu i ujednoliconymi dziennikami działań Microsoft Graph. Poleganie na jednym źródle może spowodować pominięcie udzielenia zgody, wydania tokenu lub zmian uprawnień aplikacji, które są istotne dla analizy nadużyć.
3. Okresy przechowywania i opcje eksportu mogą ograniczać osie czasu na potrzeby analizy śledczej, jeśli nie zostaną skonfigurowane. Domyślnie okres przechowywania niektórych dzienników działań w dzierżawie jest ograniczony. Bez eksportu przez ustawienia diagnostyczne do obszaru roboczego Log Analytics lub konta magazynu dowody historycznych nadużyć aplikacji mogą szybko zostać utracone.
4. Niektóre wrażliwe pola są maskowane lub redagowane w dziennikach Graph. Aby chronić prywatność, pewne dane PII i szczegóły tokenów są skracane lub zaciemniane w ładunkach działań. Odtworzenie pełnego łańcucha ataku wymaga więc korelacji między dziennikami lub z dziennikami dostępu warunkowego.
5. Powiadomienia o zmianach i zapytania delta umożliwiają wykrywanie niemal w czasie rzeczywistym, ale wymagają konfiguracji. Microsoft Graph obsługuje powiadomienia o zmianach (webhooki) i zapytania delta dla dzienników działań, co pozwala na automatyczne wykrywanie nowo przyznanych uprawnień aplikacji lub anomalnych działań aplikacji. Muszą one jednak zostać proaktywnie skonfigurowane, aby wychwytywać nadużycia w momencie ich wystąpienia.

Najważniejsze wnioski

• Monitoruj aktywność aplikacji OAuth za pomocą Microsoft Graph Activity Logs, aby wykrywać potencjalne nadużycia i zagrożenia.

• Regularnie audytuj aplikacje OAuth, aby upewnić się, że uprawnienia są odpowiednie, i badaj wszelkie podejrzane aplikacje.

• Wdrażaj ścisłe kontrole dostępu, na przykład wyłączając zgodę użytkowników na aplikacje zewnętrzne, aby zwiększyć bezpieczeństwo.

• Wykorzystuj Kusto Query Language (KQL) do analizy dzienników i identyfikowania nietypowych wzorców, które mogą wskazywać na nadużycie aplikacji OAuth.

• Edukuj pracowników w zakresie zagrożeń bezpieczeństwa i technik phishingu, aby ograniczyć ryzyko nadużycia aplikacji OAuth.

Przegląd nadużyć aplikacji OAuth

Typowe wektory ataku

Atakujący często wykorzystują zgodę udzieloną aplikacjom OAuth, aby uzyskać nieautoryzowany dostęp do wrażliwych danych. Stosują różne taktyki, aby ominąć zabezpieczenia. Na przykład coraz powszechniejsze są kampanie phishingowe. Atakujący nakłaniają użytkowników do wprowadzania kodów urządzeń na prawdziwych stronach weryfikacyjnych Microsoft. Dzięki temu uzyskują tokeny dostępu powiązane z kontami ofiar. Tego typu ataki mogą omijać tradycyjne mechanizmy kontroli bezpieczeństwa, w tym uwierzytelnianie wieloskładnikowe.

Ponadto wiele aplikacji zewnętrznych łączy się z platformami SaaS, korzystając z tokenów OAuth. Tokeny te mogą zachowywać dostęp w nieskończoność, o ile nie są aktywnie zarządzane. Stanowi to poważne ryzyko, ponieważ organizacje mogą nieświadomie zezwalać na dostęp do wrażliwych danych za pośrednictwem aplikacji, z których już nikt nie korzysta. Badacze bezpieczeństwa zwracają uwagę, że ataki OAuth są szczególnie trudne do wykrycia. Pozostawiają minimalne ślady kryminalistyczne i mogą utrzymywać się nawet po zresetowaniu haseł.

Długoterminowe zagrożenia związane z dostępem

Długoterminowe zagrożenia związane z trwałym dostępem aplikacji OAuth są alarmujące. W środowiskach nastawionych na chmurę tożsamość stała się nowym perymetrem. Atakujący mogą uzyskać trwały dostęp do systemów przedsiębiorstwa bez kompromitowania serwerów ani haseł. Wykorzystują relacje zaufania, które są nieodłączne dla nowoczesnych systemów tożsamości.

Skutki nadużycia aplikacji OAuth mogą być poważne. Oto kilka udokumentowanych zagrożeń:

• Phishing wewnętrzny: wiadomości wysyłane z zaufanych kont nakłaniają kolejne ofiary do działania.

• Kradzież danych wrażliwych: poufne pliki, umowy i własność intelektualna mogą zostać wyeksfiltrowane.

• Trwały dostęp: nawet po zresetowaniu poświadczeń tokeny mogą pozostać aktywne.

• Utrata reputacji: klienci i partnerzy tracą zaufanie, jeśli naruszenie bezpieczeństwa stanie się publiczne.

Organizacje muszą zachować czujność. Powinny regularnie przeglądać zgody udzielone aplikacjom OAuth i monitorować wszelką podejrzaną aktywność. Dzięki temu można ograniczyć ryzyko związane z nadużyciem aplikacji OAuth i chronić wrażliwe dane.

Microsoft Graph Activity Logs na potrzeby bezpieczeństwa

Dostęp do Microsoft Graph Activity Logs ma kluczowe znaczenie dla monitorowania zachowania aplikacji OAuth. Aby skutecznie pobrać dzienniki, możesz wykonać następujące kroki:

1. Przesyłaj dzienniki strumieniowo za pomocą ustawienia diagnostycznego w portalu Azure lub za pomocą interfejsów API Azure Resource Manager.

2. Zintegruj dzienniki aktywności z dziennikami usługi Azure Monitor.

3. Skonfiguruj ustawienia diagnostyczne za pomocą interfejsu API Azure Resource Manager.

4. Skonfiguruj miejsca docelowe magazynowania, takie jak obszar roboczy Azure Log Analytics, usługa Azure Storage lub Azure Event Hubs.

5. Przeszukuj dzienniki za pomocą języka Kusto Query Language (KQL), jeśli zostały wysłane do obszaru roboczego Log Analytics.

Po uzyskaniu dostępu do dzienników skup się na kluczowych wpisach, które mogą wskazywać na podejrzane zachowanie aplikacji OAuth. Oto wpisy dziennika, które warto monitorować:

Alerty w czasie rzeczywistym odgrywają kluczową rolę w wykrywaniu incydentów nadużyć aplikacji OAuth i reagowaniu na nie. Zapewniają widoczność podejrzanych zachowań i umożliwiają automatyczne reakcje ograniczające ryzyko. Na przykład tokeny OAuth firmy Drift miały wydłużony czas życia, co powodowało brak widoczności połączeń aplikacji dla klientów Salesforce. Skompromitowane tokeny mogły omijać uwierzytelnianie wieloskładnikowe (MFA) i logowanie jednokrotne (SSO), co pokazuje, jak ważne są alerty w czasie rzeczywistym, pozwalające wykrywać anomalie, takie jak masowe wywołania API.

Aby skutecznie skonfigurować alerty w czasie rzeczywistym, rozważ następujące najlepsze praktyki:

• Skonfiguruj alerty dla podejrzanych działań w dziennikach aktywności Microsoft Graph, takich jak przypisywanie uprawnień o wysokim poziomie uprawnień i nietypowe logowania.

• Użyj usługi Microsoft Defender for Cloud Apps (MCAS) do monitorowania i wymuszania kontroli sesji, generując alerty dotyczące ryzykownych logowań aplikacji OAuth.

• Przeszukaj ujednolicony dziennik audytu Microsoft 365 pod kątem kluczowych zdarzeń, takich jak „Add application” lub „Consent to application”, aby zidentyfikować potencjalne nadużycia aplikacji OAuth.

• Koreluj alerty o nietypowych logowaniach z dziennikami audytu, aby wykryć złośliwą aktywność aplikacji OAuth.

Wdrażając te strategie, możesz wzmocnić postawę bezpieczeństwa organizacji i lepiej chronić się przed nadużyciami aplikacji OAuth.

Metody wykrywania nadużyć aplikacji OAuth

Zapytania KQL

Kusto Query Language (KQL) jest potężnym narzędziem do analizowania dzienników aktywności Microsoft Graph. Za pomocą KQL możesz identyfikować wzorce i anomalie, które mogą wskazywać na nadużycie aplikacji OAuth. Oto kilka skutecznych strategii użycia KQL:

• Regularnie audytuj aplikacje w Entra, aby zidentyfikować nadmierne uprawnienia. Pozwala to wykryć aplikacje, które mogą stanowić zagrożenie.

• Monitoruj nieoczekiwany dostęp do interfejsu API Microsoft Graph. Taki dostęp może wskazywać na kompromitację, dzięki czemu możesz szybko zareagować.

• Utwórz listę bezpiecznych, zatwierdzonych aplikacji. Lista ta ułatwia ciągłe monitorowanie i pomaga wykrywać nowe aplikacje o wysokich uprawnieniach.

Aby rozpocząć pracę z KQL, rozważ następujący przykładowy zapytanie, które sprawdza nietypowe aktywności logowania:

AuditLogs
| where ActivityType == "SignIn"
| where Result == "Failure"
| summarize Count = count() by UserPrincipalName, bin(TimeGenerated, 1h)
| order by Count desc

To zapytanie identyfikuje użytkowników z nieudanymi próbami logowania, co pozwala zbadać potencjalny nieautoryzowany dostęp.

Automatyzacja w PowerShell

Automatyzacja w PowerShell może znacząco usprawnić wykrywanie nadużyć aplikacji OAuth. Dzięki skryptom PowerShell możesz zautomatyzować monitorowanie aplikacji OAuth i ich aktywności. Oto kilka narzędzi i ich funkcje:

Za pomocą PowerShell możesz również tworzyć skrypty, które regularnie sprawdzają nadmierne uprawnienia w aplikacjach Entra. To proaktywne podejście pomaga utrzymać bezpieczne środowisko.

Na przykład możesz uruchomić skrypt, który wyświetli listę wszystkich aplikacji z wysokimi uprawnieniami:

Get-AzureADServicePrincipal | Where-Object { $_.AppRoles -ne $null -and $_.AppRoles.Count -gt 5 }

To polecenie pobiera jednostki usługi z więcej niż pięcioma rolami aplikacji, co pozwala ocenić potencjalne ryzyko.

Łącząc zapytania KQL z automatyzacją w PowerShell, możesz zwiększyć swoje możliwości wykrywania. Te metody dają ci narzędzia potrzebne do skutecznego wykrywania i reagowania na nadużycia aplikacji OAuth.

Strategie łagodzenia zagrożeń tożsamości

Analiza zachowań użytkowników

Aby skutecznie ograniczać ryzyko związane z aplikacjami OAuth, musisz analizować zachowania użytkowników pod kątem anomalii. Narzędzia do analizy zachowań użytkowników (UBA, User Behavior Analytics) mogą pomóc w wykrywaniu nietypowych wzorców, które mogą wskazywać na nadużycie aplikacji OAuth. Oto kilka metod, które warto rozważyć:

Stosując te strategie, możesz wcześnie wykrywać potencjalne zagrożenia. Istotną rolę odgrywają także regularne audyty aplikacji OAuth. Powinieneś regularnie sprawdzać, czy uprawnienia są zgodne z rolami użytkowników. Badaj wszystkie podejrzane aplikacje, które mogą mieć nadmierne uprawnienia dostępu.

Korelacja zdarzeń

Korelacja zdarzeń to kolejna skuteczna strategia wykrywania zagrożeń tożsamości. Takie podejście pozwala połączyć informacje z różnych źródeł, aby zidentyfikować złośliwe rejestracje aplikacji lub obejście mechanizmów bezpieczeństwa. Oto kilka spostrzeżeń na temat znaczenia korelacji zdarzeń:

Dzięki korelacji zdarzeń możesz przygotować kompleksową ocenę ryzyka. Proces ten pomaga zrozumieć, jak różne działania się ze sobą łączą, co pozwala wykrywać wzorce wskazujące na techniki nadużycia OAuth.

Wdrożenie tych strategii łagodzenia wymaga zaangażowania. Możesz napotkać wyzwania, takie jak trudność w wykrywaniu ataków, które wykorzystują legalne przepływy OAuth. Tradycyjne mechanizmy bezpieczeństwa często zawodzą po udzieleniu zgody. Jednak dzięki proaktywnemu podejściu możesz znacząco ograniczyć ryzyko nadużycia aplikacji OAuth.

Aby dodatkowo wzmocnić swoje bezpieczeństwo, rozważ następujące skuteczne strategie łagodzenia ryzyka:

1. Audyt: Regularnie audytuj aplikacje OAuth, aby upewnić się, że uprawnienia są odpowiednie, i badaj podejrzane aplikacje.

2. Ograniczenie zgody użytkowników: Wyłącz zgodę użytkowników na aplikacje zewnętrzne, aby wymagać zatwierdzenia przez administratora dla wszystkich żądań autoryzacji.

3. Kontrola dostępu oparta na rolach (RBAC): Wdróż RBAC, aby ograniczyć uprawnienia użytkowników do niezbędnego minimum.

4. Szkolenia użytkowników: Prowadź regularne szkolenia, aby edukować pracowników o zagrożeniach bezpieczeństwa i taktykach phishingowych.

Koncentrując się na analizie zachowań użytkowników i korelacji zdarzeń, możesz wzmocnić obronę przed zagrożeniami tożsamości związanymi z nadużyciem aplikacji OAuth.

Podsumowując, analiza nadużyć aplikacji OAuth ujawnia krytyczne podatności w wielu aplikacjach. Najnowsze badania pokazują, że około 8% testowanych aplikacji jest podatnych na nadużycia OAuth. To podkreśla potrzebę ciągłego monitorowania, aby wzmocnić twoje bezpieczeństwo.

Powinieneś skupić się na:

• Regularnych audytach tożsamości użytkowników i jednostek usługowych.

• Wdrażanie zasad zgody, aby blokować nieautoryzowany dostęp.

• Proaktywne wyszukiwanie ryzykownych aplikacji.

Dzięki wdrożeniu tych proaktywnych strategii obronnych możesz znacząco ograniczyć ryzyko związane z nadużywaniem aplikacji OAuth i chronić organizację przed potencjalnymi zagrożeniami.

Często zadawane pytania

Czym jest nadużywanie aplikacji OAuth?

Nadużywanie aplikacji OAuth polega na wykorzystywaniu aplikacji OAuth przez atakujących w celu uzyskania nieautoryzowanego dostępu do wrażliwych danych. Często stosują oni taktyki takie jak phishing i phishing zgody, aby nakłonić użytkowników do przyznania uprawnień.

Jak mogę wykryć nadużywanie aplikacji OAuth?

Nadużywanie aplikacji OAuth można wykryć, monitorując dzienniki aktywności Microsoft Graph pod kątem podejrzanych działań. Szukaj nietypowych logowań, dużej liczby pobrań oraz nieoczekiwanych zmian uprawnień.

Jakie są zagrożenia związane z phishingiem zgody?

Phishing zgody pozwala atakującym nakłonić użytkowników do udzielenia dostępu do ich kont. Może to prowadzić do kradzieży danych, nieautoryzowanego dostępu oraz potencjalnej szkody dla reputacji organizacji.

Jak często należy audytować aplikacje OAuth?

Aplikacje OAuth należy audytować regularnie, najlepiej co kilka miesięcy. Pozwala to upewnić się, że uprawnienia pozostają odpowiednie, i szybko zidentyfikować podejrzane aplikacje.

Jakie kroki mogę podjąć, aby zapobiegać nadużywaniu aplikacji OAuth?

Aby zapobiegać nadużywaniu aplikacji OAuth, wdróż ścisłą kontrolę dostępu, wyłącz zgodę użytkowników na aplikacje innych dostawców i regularnie szkol pracowników w zakresie rozpoznawania phishingu.

Badanie Microsoft Graph: log analytics workspace i wykrywanie zagrożeń

Na czym polega analiza nadużywania aplikacji OAuth na podstawie dzienników aktywności Microsoft Graph?

Analiza nadużywania aplikacji OAuth na podstawie dzienników aktywności Microsoft Graph oznacza wykorzystanie aktywności Graph API i dzienników Graph API do identyfikowania złośliwych działań aplikacji lub podmiotów zagrażających, które nadużywają autoryzacji OAuth 2.0 w środowisku Microsoft 365. Analizujesz wywołania Graph API, wzorce żądań API oraz dzienniki logowania Entra ID wraz z serią dzienników aktywności Graph w log analytics workspace, aby wykrywać podejrzane zachowania OAuth i ryzykowne aplikacje OAuth.

Jak włączyć dzienniki aktywności Microsoft Graph i dokąd one trafiają?

Włączenie dzienników aktywności Microsoft Graph wymaga skonfigurowania usług Microsoft 365 oraz usługi Microsoft Graph tak, aby wysyłały aktywność Graph API i zdarzenia API do log analytics workspace (lub zewnętrznego SIEM). Użyj ustawień diagnostycznych Microsoft Entra ID, aby kierować żądania Graph API, dzienniki Entra ID i zdarzenia logowania do identyfikatora Log Analytics Workspace ID, gdzie możesz wykonywać zapytania do dzienników Graph API i uruchamiać zapytania wykrywania zagrożeń w języku Kusto (dziennik aktywności i zapytanie Kusto).

Jakie wskaźniki w wywołaniach Graph API wskazują na podejrzaną aktywność OAuth?

Szukaj nietypowych żądań Graph API, takich jak duża liczba wywołań Graph API z jednego identyfikatora aplikacji, powtarzające się udzielenia zgody, ponowne użycie tokenów w różnych dzierżawach lub aktywność Graph API z nieznanych adresów IP. Koreluj je z dziennikami logowania Entra ID, zdarzeniami brokera uwierzytelniania Microsoft oraz anomaliami w czasie wywołań API, aby wykryć zagrożenia przy użyciu aktywności Microsoft Graph i potencjalnego nadużycia aplikacji OAuth.

Jak badać ryzykowne aplikacje OAuth przy użyciu Log Analytics i zapytań Kusto?

Użyj log analytics workspace, aby scentralizować dzienniki Graph API, i uruchom zapytania Kusto na serii dzienników aktywności Graph. Typowe kroki to: pozyskanie żądań Microsoft Graph API i dzienników Entra ID, napisanie zapytań KQL pozwalających wyłapać nietypową aktywność Graph API, analiza z podziałem na identyfikator aplikacji i użytkownika oraz korelacja ze zdarzeniami usług Microsoft 365. Playbook dotyczący korzystania z Graph zawiera przykłady KQL do wykrywania podejrzanych tokenów OAuth i aktywności API.

Jaką rolę odgrywa Entra ID w wykrywaniu nadużyć OAuth?

Microsoft Entra ID (dawniej Azure AD) dostarcza sygnały dotyczące tożsamości i dostępu – dzienniki Entra ID oraz dzienniki logowania Entra ID – które pokazują, która aplikacja zażądała dostępu i który użytkownik udzielił zgody. Wykorzystanie tych dzienników wraz z Microsoft Graph API i dziennikami aktywności Graph pozwala powiązać zdarzenia autoryzacji OAuth 2.0 z żądaniami API, zidentyfikować przejęte poświadczenia lub złośliwe aplikacje oraz egzekwować dostęp warunkowy lub odwoływać uprawnienia aplikacji.

Czy mogę zautomatyzować wykrywanie zagrożeń i reagowanie na nadużycia aplikacji OAuth?

Tak. Połącz dzienniki aktywności interfejsu Graph API w obszarze roboczym Log Analytics z automatycznymi alertami i playbookami, aby wykrywać zagrożenia za pomocą Microsoft Graph. Użyj KQL do wyzwalania alertów o anomaliach, a następnie uruchom automatyczne działania naprawcze (unieważnij tokeny, zablokuj identyfikator aplikacji, wyłącz zgody) przy użyciu wywołań Microsoft Graph API i usługi Microsoft Graph, aby ograniczyć złośliwą aktywność i zmniejszyć dostęp do zasobów Microsoft 365.

Jakie są najlepsze praktyki ograniczania ryzyka związanego z podejrzanymi aplikacjami OAuth i ryzykownymi aplikacjami OAuth?

Do najlepszych praktyk należą: egzekwowanie zasady najmniejszych uprawnień dla aplikacji, monitorowanie żądań interfejsu Graph API oraz dzienników logowania Entra ID, wymaganie zgody administratora tylko wtedy, gdy jest to konieczne, stosowanie warunkowego dostępu i uwierzytelniania wieloskładnikowego (MFA), centralizowanie dzienników Graph API w obszarze roboczym Log Analytics (z jego identyfikatorem) oraz regularne prowadzenie dochodzeń z wykorzystaniem dziennika aktywności Graph i zapytań Kusto, aby wcześnie wykrywać zagrożenia związane z aktywnością Microsoft Graph.

Jak włączyć Microsoft Teams i inne usługi Microsoft 365 do dochodzeń?

Uwzględnij telemetrię Microsoft Teams i innych usług Microsoft 365 w dziennikach aktywności Graph API i koreluj ją z żądaniami Graph API. Wiele scenariuszy nadużycia OAuth obejmuje dostęp do poczty, plików lub wiadomości w Teams. Pobierając za pomocą Microsoft Graph API aktywność specyficzną dla usług i łącząc ją z dziennikami Entra ID w Log Analytics, zobaczysz pełny ciąg zdarzeń od żądania API do dostępu do zasobu i wykryjesz złośliwą aktywność w całym ekosystemie Microsoft.