Les slides de ma session lors du #vacd2020 du 31 mars sur la détection d'attaques et traitements via Azure Log Analystics et Azure Sentinel. Pour le replay : https://www.youtube.com/watch?v=k3NQQzcQWxo

1. Détection d'attaques et traitement via Azure log
Analytics et Azure Sentinel
Jean-François BÉRENGUER
Directeur des Opérations @jfberenguer_pro MVP Cloud Datacenter

2. #VACD
Agenda
• Quelques concepts
• Présentation Azure Log Analytics
• Présentation Azure Sentinel
• Démo
• Démo
• Démo
• Démo
• Démo
• …………..

3. #VACD
The Kill Chain
Brute force account ou
utilisation de comptes
compromis
Informations
collectées
Exploitation
& Installation
Commande
& Controle
Navigation sur
site Web
Phishing
mail
Ouverture de
pièce jointe
Click sur URL
Accès aux données
sensibles
Données
exfiltrées
User account
est compromis
Tentative de “lateral
movement”
Compte avec
privilege
compromis
Domaine
compromis

4. #VACD

5. #VACD
Log Analytics Workspace

6. #VACD
Langage de requête : KQL
Langage de requête
permettant
d’analyser les logs
Requêtes simples,
mais également des
fonctionnalités
avancées telles que
les agrégations, les
jointures et les smart
analyses.

7. #VACD
Azure Sentinel :
Microsoft Azure
Sentinel est une
solution native cloud
et scalable de type
SIEM (Security
Information and
Event Management)
et SOAR (Security
Orchestrated
Automated
Response)

8. #VACD
Azure Sentinel : Fonctionnalités
• Connecteurs
• Gestion des incidents
• Investigations
• Workbooks
• Hunting
• Analytics
• …….

9. #VACD
Stop BLABLA… • Attaque d’une VM dans Azure
• Attaque par dictionnaire
• Détection d’activité
PowerShell suspecte
• Exécution d’un process
SVCHOST
• Détection action sur la
base de registre

10. #VACD
Préparation
• Des VMs dans Azure avec une adresse IP Publique sans NSG, et on
attend
• Security Center Playbook: Hunting Threats
• https://gallery.technet.microsoft.com/Azure-Security-Center-
549aa7a4

11. #VACD
L’interface

12. #VACD
L’interface

13. #VACD
Premières requêtes
// Rechercher un Event ID Particulier
SecurityEvent
|where EventID == 4625

14. #VACD
Premières requêtes
//Afficher sous forme de graphe la liste des 10 comptes les
plus utilisés
SecurityEvent
|where TimeGenerated > ago(7d)
|where EventID == 4625
|summarize count() by Account | render timechart
|top 10 by count_ desc

15. #VACD
Premières requêtes
//Afficher sous forme de graphe le nombre de tentaitves
par jour
SecurityEvent
|where TimeGenerated > ago(14d)
|where EventID == 4625
|summarize count() by tostring(EventID),
bin(TimeGenerated, 1d)
| render barchart

16. #VACD
Détection d’une attaque de VM

17. #VACD
Investigation

18. #VACD
Extension investigation à la VM

19. #VACD
Stop BLABLA…
• Usurpation d’identité dans O365
• Attaque par
dictionnaire
• Identification d’une
connexion depuis une
adresse à Risque
• Voyage impossible
• Partage de document
non autorisé

20. #VACD
Préparation
• Azure Sentinel Connector : AAD, Office 365, CloudApp Security
• Environnement : une VM cliente dans le Cloud, et un poste en local
• Configuration CloudApp Security avec adresses IP à risque + domaines
interdits

21. #VACD
Détection

22. #VACD
Investigation

23. #VACD
Investigation : extension à l’utilisateur

24. #VACD
Requête : Activité à fort privilège
• Question : est-ce que cet utilisateurs à réaliser d’autres actions non
conforme
• Il s’agit d’un compte à privilège, a-t-il réalisé une réinitialisation de
mot de passe depuis cette adresse IP ?

25. #VACD
Requête : Activité à fort privilège
let useradminreset = (){
// Function to obtain the list of User who have made Reset Password
AuditLogs
| where OperationName == "Reset user password"
| where TimeGenerated >= ago(7d)
| summarize User=makeset(InitiatedBy.user.userPrincipalName)
};
SigninLogs
|where UserPrincipalName in (useradminreset)
| where TimeGenerated >= ago(7d)
|where IPAddress contains "40.68"
|project UserPrincipalName, IPAddress, TimeGenerated
|summarize IPadress=makeset(IPAddress)

26. #VACD
Requête : integration à Azure Sentinel

27. #VACD
Requête : integration à Azure Sentinel

28. #VACD
Requête : integration à Azure Sentinel

29. #VACD
Hunting : Fail attempt to azure portal

30. #VACD
Hunting : Fail attempt to azure portal

31. Q&A
https://github.com/jfberenguer

32. Annexe
Screens de présentation d’Azure Sentinel

33. #VACD
Azure Sentinel : les connecteurs

34. #VACD
Azure Sentinel : les incidents

35. #VACD
Azure Sentinel : Investigation

36. #VACD
Azure Sentinel : Workbooks

37. #VACD
Azure Sentinel : Workbooks

38. #VACD
Azure Sentinel : Hunting

39. #VACD
Azure Sentinel : Hunting

40. #VACD
Azure Sentinel : Analytics

41. #VACD
Azure Sentinel : Analytics

42. #VACD
Azure Sentinel : Analytics

43. #VACD
Azure Sentinel : Playbook