Skip to content
Azure Forensics

Cet outil n'est ni affilié à Microsoft Corporation, ni approuvé, ni sponsorisé par celle-ci. Azure, Microsoft Azure et Microsoft Defender for Cloud sont des marques du groupe de sociétés Microsoft. Les autres noms sont des marques de leurs propriétaires respectifs.

Articles tagués: #mitre-attack

← Retour aux articles
Abus d'identités managées et de principaux de service Azure
Comment les attaquants abusent des principaux de service et identités managées Azure : secrets fuités, vol de jeton IMDS, identifiants fédérés, runbooks.
azureidentityactivity-logmitre-attack
Analyse des flow logs NSG et VNet pour l'exfiltration
Analyse des flow logs NSG et VNet en réponse à incident : formats de tuples, octets et états de flux, exfiltration, minage, IP d'attaquant et angles morts.
azureflow-logsexfiltrationmitre-attack
Évasion de défense Azure : logs supprimés, Defender coupé
Paramètres de diagnostic supprimés, export de l'Activity Log retiré, plans Defender en Free, verrous et règles NSG : repérer l'évasion de défense Azure.
azuredefense-evasionloggingmitre-attack
Exfiltration de données Azure Storage : SAS et logs blob
Enquêter sur une exfiltration Azure Storage : listAccountSas et listKeys dans l'Activity Log, rafales de GetBlob, hash des jetons SAS, ce qu'il faut renouveler.
azurestorageexfiltrationmitre-attack
Logs d'audit Key Vault : qui a lu quel secret, et quand
Utiliser les logs d'audit Azure Key Vault (AuditEvent) pour savoir qui a lu quel secret : SecretGet, SecretList, stratégies d'accès, nouveaux principaux.
azurekey-vaultincident-responsemitre-attack
Attaques Azure Run Command : enquêter sur l'exécution VM
Run Command et Custom Script Extension aux mains des attaquants : ce que l'Activity Log enregistre ou omet, et quels artefacts de la VM gardent le script.
azurevirtual-machinesactivity-logmitre-attack
Abus d'attributions de rôles Azure et elevateAccess
Comment les attaquants s'élèvent via les attributions de rôles Azure et elevateAccess, à quoi ressemblent les événements roleAssignments/write, comment trier.
azurerbacactivity-logmitre-attack
Abonnement Azure compromis ? Guide de réponse à incident
Abonnement Azure compromis ? Quels logs préserver d'abord, les opérations qui trahissent un attaquant, et comment passer de l'Activity Log à un verdict.
azureincident-responseactivity-logmitre-attack

Cet outil n'est ni affilié à Microsoft Corporation, ni approuvé, ni sponsorisé par celle-ci. Azure, Microsoft Azure et Microsoft Defender for Cloud sont des marques du groupe de sociétés Microsoft. Les autres noms sont des marques de leurs propriétaires respectifs.