Azure 服务主体凭据已添加

识别 Azure 中添加了新的服务主体凭据的情况。在大多数组织中，服务主体凭据的添加频率较低。劫持应用程序（通过添加恶意密钥或证书）并授予其权限，攻击者将能够访问通常受 MFA 要求保护的数据。

规则类型: 查询

规则索引:

严重性: 中等

风险评分: 47

每隔: 10 分钟

搜索索引自: now-25m (日期数学格式，另请参阅 其他回溯时间)

每次执行的最大警报数: 100

参考:

标签:

版本: 102

规则作者:

规则许可证: Elastic License v2

event.dataset:azure.auditlogs and azure.auditlogs.operation_name:"Add service principal credentials" and event.outcome:(success or Success)