用户被添加为 Azure 服务主体所有者

识别用户何时被添加为 Azure 服务主体的所有者。服务主体对象定义了应用程序在特定租户中可以执行的操作、谁可以访问该应用程序以及该应用程序可以访问哪些资源。当应用程序被授予访问租户中资源的权限时，将创建服务主体对象。攻击者可能会将用户帐户添加为服务主体的所有者，并使用该帐户来定义应用程序在 Azure AD 租户中可以执行的操作。

规则类型: 查询

规则索引:

严重性: 低

风险评分: 21

运行频率: 5 分钟

搜索索引起始时间: now-25m ( 日期数学格式，另请参阅 额外回溯时间 )

每次执行的最大警报数: 100

参考:

标签:

版本: 102

规则作者:

规则许可证: Elastic License v2

event.dataset:azure.auditlogs and azure.auditlogs.operation_name:"Add owner to service principal" and event.outcome:(Success or success)