detecting-oauth-token-theft

detecting-oauth-token-theft 技能概覽

detecting-oauth-token-theft 技能可協助你調查並降低雲端身分環境中的 OAuth token 竊取、重放與 session hijacking，尤其適用於 Microsoft Entra ID 以及相關的 M365 安全工作流程。當你需要把登入證據轉化為具體的偵測或遏止方案時，這項技能特別適合用在 Security Audit、事件回應或加固檢視。

這個 detecting-oauth-token-theft 技能是做什麼的

當問題不是「什麼是 OAuth？」，而是「我要怎麼證明 token 被濫用、找出影響範圍，並在下次更早偵測到？」時，就該使用 detecting-oauth-token-theft 技能。它聚焦在可實作的指標，例如不可能旅行（impossible travel）、陌生裝置、多個 IP 重複使用 token、可疑 scopes，以及登入異常。

最適合的讀者與團隊

這項技能很適合在 Microsoft Entra ID 比重很高的環境中工作的雲端資安工程師、身分防禦人員、SOC 分析師與稽核人員。當你已經有 sign-in logs、conditional access policies 或 identity protection telemetry，並且需要有引導地解讀這些資料時，特別有幫助。

detecting-oauth-token-theft 技能的獨特之處

和一般提示詞不同，這個 detecting-oauth-token-theft 技能是以工作流程與偵測邏輯為核心，而不只是提供建議。repo 內包含一個 script、一份列出 log 欄位與 scope 對應的參考文件，以及具體的攻擊模式，例如 access token theft、refresh token replay、Primary Refresh Token abuse 和 pass-the-cookie attacks。

如何使用 detecting-oauth-token-theft 技能

在工作流程中安裝並載入 detecting-oauth-token-theft

使用以下指令安裝 detecting-oauth-token-theft 技能：

npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill detecting-oauth-token-theft

安裝完成後，先閱讀 SKILL.md，接著看 references/api-reference.md 和 scripts/agent.py。這三個檔案會告訴你這個技能能偵測什麼、需要什麼資料，以及其偵測邏輯是怎麼實作的。

提供正確的事件背景

這個技能在你提供結構化輸入時效果最好：tenant 類型、identity platform、alert 來源、時間範圍、受影響的使用者、可疑 IP，以及任何已知的 token 或裝置線索。弱提示會說「檢查 OAuth 竊取」；更強的提示則會像這樣：

「請調查 Microsoft Entra ID 中使用者 alice@contoso.com 在 UTC 08:00 到 12:00 之間可能發生的 OAuth token theft。我們看到不可能旅行、新裝置，以及來自兩個國家的重複登入。請提出可能的濫用路徑、log 查詢和遏止步驟。」

這類提示能提供足夠細節，讓技能回傳可用的偵測建議，而不是泛泛的理論。

依照這個順序閱讀檔案

先看 SKILL.md 了解範圍與前置條件，再看 references/api-reference.md 了解 log 欄位、敏感 scopes 與範例查詢。scripts/agent.py 則是實作線索：它會顯示哪些條件最重要，包括地理位置／時間速度檢查、裝置新穎性，以及重複使用模式。

實務使用建議

提供真實的 sign-in 證據，而不只是 alert 標題，技能輸出會明顯更好。加入 timestamps、source IP、device IDs、resource names 和 sign-in 狀態碼，效果最明顯。如果你是用這項技能做 Security Audit，請要求它分開列出偵測控制、調查步驟與預防控制，這樣結果更容易整理成報告或 runbook。

detecting-oauth-token-theft 技能 FAQ

這只適用於 Microsoft Entra ID 嗎？

不只。Microsoft Entra ID 是主要設計中心，但如果其他 identity provider 也提供等效的登入、裝置與 token 使用 telemetry，這些偵測思路同樣適用。若你的平台無法提供這些欄位，這項技能的適配度就會較低。

這和一般提示詞有什麼不同？

一般提示詞可能只會產生通用的身分安全建議。detecting-oauth-token-theft 技能更適合用在你想要一套可重複的工作流程：先從 logs 出發，找出特定的 replay 指標，再把結果連結到 conditional access 或 token protection 的決策。

這適合初學者嗎？

如果你已經懂基本的身分識別術語，那就適合。它對調查工作來說對初學者友善，因為會把你導向正確的證據，但它不能取代你對 tenant logs 的存取權，或對 Entra ID 登入資料的基本理解。

什麼情況下不該用？

不要把它用在 Kerberos ticket abuse、domain controller compromise，或其他 on-premises AD 攻擊。這些問題需要不同的調查技巧與不同的 telemetry，而這正不是 detecting-oauth-token-theft 的重點。

如何改進 detecting-oauth-token-theft 技能

提供更高品質的證據

最大幅度的改善，來自更好的輸入資料。請包含精確時間戳、tenant 名稱、user principal names、IP addresses、device IDs、地理位置線索，以及 MFA 或 conditional access 是否通過。若可以，直接貼一小段 log sample，而不是只用摘要。

一次只要求一種輸出

把目標拆開，這項技能表現會更好。例如，先要求「可能的濫用假設與支持指標」，再要求「log 查詢」，最後再要求「遏止與預防控制」。這樣能讓 detecting-oauth-token-theft 指南保持聚焦，並減少含糊混雜的輸出。

依你的環境做調整

如果你的組織使用 Okta、混合式身分，或多個 M365 tenants，請一開始就說明。references/api-reference.md 和 scripts/agent.py 裡的底層偵測邏輯很有參考價值，但在結果能直接投入營運前，你可能需要調整欄位名稱、log 來源與風險門檻。

以第一版答案為基礎反覆修正

把第一次輸出當成初步調查路徑。如果它漏掉了關鍵登入紀錄，就補充更多 telemetry，並用更窄的時間窗或更強的假設重新執行，例如「裝置變更後的 token replay」或「同意授權後的 scope abuse」。這是讓 detecting-oauth-token-theft 在 Security Audit 或 incident response 工作中更快產出更好結果的最快方式。