用途：检测 Azure AD/Entra ID 环境中的横向移动。与本地环境不同，攻击者常通过 OAuth 应用授权、服务主体滥用、跨租户访问策略和窃取的刷新令牌进行横向移动，而非 SMB/RDP。该技能通过关联 Microsoft Graph API 审计日志、Azure AD 登录日志与 Entra ID 保护风险事件，在 Microsoft Sentinel 中用 KQL 构建检测分析，覆盖应用仿冒、邮箱委派滥用和条件访问策略绕过等常见技术。
适用时机：调查需要检测 Azure 横向移动的安全事件；构建该领域的检测规则或威胁狩猎查询；SOC 分析师需要结构化分析流程；验证相关攻击技术的监控覆盖。
前置条件：已配置 Microsoft Sentinel 工作区的 Azure 订阅；用于基于风险登录检测的 Azure AD P2 或 Entra ID P2 许可；Microsoft Graph API 权限 AuditLog.Read.All、Directory.Read.All、SecurityEvents.Read.All；Log Analytics 工作区已接入 AuditLogs、SigninLogs 和 AADServicePrincipalSignInLogs；熟悉 KQL。
主要步骤：一、配置日志接入，启用诊断设置将登录日志（交互式与非交互式）、审计日志、服务主体登录日志、预配日志、风险用户与风险检测流式传输到 Log Analytics。二、构建检测查询，在 Sentinel 中为异常服务主体凭据添加、未知应用的 OAuth 授权、来自新租户的跨租户登录、不同 IP/用户代理组合的令牌重放、邮箱委派变更（FullAccess、SendAs）创建 KQL 分析规则。三、关联事件，将多个低置信度指标在时间窗口内与目录变更关联，形成高置信度横向移动检测。四、自动化响应，创建 Sentinel 剧本（Logic Apps）自动撤销可疑 OAuth 授权、禁用受损服务主体并强制加强身份验证。
预期输出：包含检测到的横向移动指标、关联事件链、受影响身份及建议遏制措施的 JSON 报告，并映射 MITRE ATT&CK 技术。
限制：具体查询语句、剧本实现细节及完整配置步骤在资料中暂未提供；实际效果取决于日志接入完整性与许可条件。