detecting-azure-lateral-movement
作者 mukul975detecting-azure-lateral-movement 可協助資安分析師在 Azure AD/Entra ID 與 Microsoft Sentinel 中，利用 Microsoft Graph 稽核記錄、登入遙測與 KQL 關聯分析來追查橫向移動。適合用於事件初步分流、偵測工程與資安稽核流程，涵蓋同意權濫用、服務主體誤用、權杖竊取，以及跨租戶跳轉等情境。
此技能評分 78/100，代表它很適合作為需要 Azure/Entra ID 橫向移動追查支援的目錄條目。這個儲存庫提供了實際的偵測內容、可用的觸發情境，以及足夠的作業資訊，可減少相較於通用提示詞的猜測空間；不過安裝頁仍應註明部分實作缺口。
- 明確的使用情境與適用時機說明，涵蓋事件回應、威脅狩獵與監控覆蓋驗證。
- 具體的工作流程證據：Microsoft Graph 稽核/登入端點，以及針對同意授權、服務主體濫用與權杖重放的 Sentinel KQL 偵測。
- 支援腳本與 API 參考顯示此技能是為可執行的狩獵作業而設計，不只是敘述性指引。
- 前置需求雖然存在，但摘錄內容至少有一行要求被截斷或不清楚，因此在使用前可能需要額外確認設定。
- 未看到安裝指令，且可見的逐步揭露線索有限，表示使用者可能需要檢查腳本與參考檔案，才能了解確切的執行步驟。
detecting-azure-lateral-movement 技能概覽
detecting-azure-lateral-movement 是一個資安技能，專門用來在 Azure AD/Entra ID 與 Microsoft Sentinel 環境中追查橫向移動。它能幫助分析師把模糊的事件問題，轉成可落地的偵測，核心圍繞 Microsoft Graph 稽核資料、登入紀錄與 KQL 關聯分析。如果你是為了 Security Audit 尋找 detecting-azure-lateral-movement，這個技能的主要工作就是及早辨識可疑的身分濫用：同意授權、服務主體誤用、token replay、跨租戶跳板，以及相關的權限提升路徑。
這個 detecting-azure-lateral-movement 技能最適合什麼情境
當你要建立偵測規則、處理身分事件，或驗證雲端優先攻擊手法的覆蓋範圍時，就很適合用這個技能。對 SOC 分析師、威脅獵捕人員與資安工程師來說，它比起泛用的 Azure 資安提示，更像是一份聚焦的 detecting-azure-lateral-movement 指引。
detecting-azure-lateral-movement 有什麼不同
這個技能不只是查詢日誌而已。它的重點是把多個 Azure 資料來源串起來，並把這些訊號對應到真實可行的攻擊路徑。這一點很重要，因為 Entra ID 裡的橫向移動往往只留下分散、微弱的痕跡，而不是單一明顯事件。
什麼情況下不適合用 detecting-azure-lateral-movement
如果你的目標是一般性的 Azure 強化、IAM 設計，或非資安的管理工作，這不是合適的工具。它也不能取代完整的事件應變流程，或成熟的偵測工程平台。
如何使用 detecting-azure-lateral-movement 技能
安裝並檢視 detecting-azure-lateral-movement 的技能檔案
使用 repository 路徑並透過以下指令載入技能：
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill detecting-azure-lateral-movement
在做 detecting-azure-lateral-movement 的安裝決策時，最有用的檔案是 skills/detecting-azure-lateral-movement/SKILL.md、references/api-reference.md 和 scripts/agent.py。如果你想先了解端點與 KQL 背景，先看 reference 檔；如果你想理解執行流程與 indicator 邏輯，先看 script。
給對輸入，效果才會好
這個技能在你提供具體的獵捕目標時表現最好，而不是籠統的需求。好的輸入應包含租戶背景、可用的日誌來源、時間範圍，以及你想驗證的可疑行為。
好的提示詞範例：
- “Investigate possible OAuth consent abuse in a Microsoft 365 tenant using Sentinel KQL and Graph audit logs for the last 7 days.”
- “Build detections for cross-tenant sign-in anomalies and token replay in Entra ID, assuming I have SigninLogs and AuditLogs.”
- “Create a step-by-step hunt for service principal credential additions tied to privilege escalation.”
用符合你環境的工作流程
先從攻擊模式開始，再對應到可用的遙測，最後再收斂成查詢或調查流程。若你只有 Microsoft Sentinel，就以 KQL 為主；如果你可以直接查詢 Microsoft Graph，就先用它做目錄稽核與服務主體檢查，再把結果回頭對照登入行為。這個順序比提示詞寫得多不多更重要。
先看 repository 裡哪些內容
請依照以下順序優先閱讀 repository 區域：
SKILL.md：看偵測範圍與前置條件。references/api-reference.md：看 Graph endpoints 與範例 KQL。scripts/agent.py：看 indicator 名稱、查詢流程，以及對遙測的假設。
這個順序能幫你在真的開始獵捕前，先避開權限、日誌保留或 API 存取不足等依賴問題。
detecting-azure-lateral-movement 技能 FAQ
detecting-azure-lateral-movement 只適合 Microsoft Sentinel 使用者嗎？
不是。Sentinel 是主要分析介面，但這個技能也支援以 Microsoft Graph 為主的調查。如果你能匯出或查詢 AuditLogs 和 SigninLogs，仍然可以用這套方法。
我需要很高深的 Azure 專業知識嗎？
不一定。對已經理解基本身分日誌概念的分析師來說，detecting-azure-lateral-movement 技能算是很好上手。不過你仍需要足夠的背景，能分辨 app consent、service principal 活動，以及登入異常。
這和一般提示詞有什麼不同？
一般提示詞可能只會產出一個泛用的 Azure 獵捕查詢。這個技能的立場更明確：它會引導你去看特定的身分濫用模式、實用的遙測，以及可執行的分析路徑。這通常能減少反覆試錯，並提升 detecting-azure-lateral-movement 的使用品質。
什麼時候不該用它？
不要拿它來做大範圍合規報告、租戶盤點，或與之無關的端點惡意程式分析。當懷疑行為涉及身分跳轉、委派存取濫用，或雲端原生橫向移動時，它最有價值。
如何改進 detecting-azure-lateral-movement 技能
提供更精準的遙測背景
輸入越好，獵捕結果通常越好。請明確指出你有哪些日誌、這些日誌是否完整或只是抽樣，以及你要搜尋的時間範圍。例如，直接說明「我有 30 天的 AuditLogs、14 天的 SigninLogs，而且沒有 identity protection feed」，會比「幫我查可疑活動」更有用得多。
一次只鎖定一條攻擊路徑
每次只選一個假設：例如 consent grant 濫用、service principal 憑證變更、token replay、mailbox delegation，或跨租戶跳板。同時混太多路徑，通常只會產出淺層偵測與薄弱的優先順序。
要求能直接投入實作的輸出
最有價值的結果通常是調查步驟、KQL 與分流建議，而不只是摘要。你可以要求列出要檢查的欄位、預期的正常解釋，以及第一次命中後下一個要跑的查詢。這會讓 detecting-azure-lateral-movement for Security Audit 在真實工作中更實用。
先出第一版，再迭代修正
先用第一輪輸出找缺口：像是缺少權限、不支援的資料表，或過於寬鬆的篩選條件。接著加入租戶專屬細節、已知合法應用程式，或更窄的時間窗。這是把 detecting-azure-lateral-movement 技能變成可重複使用的獵捕流程，而不是一次性回答的最快方式。