用途：检测 Microsoft Entra ID 中 Azure 服务主体（Service Principal）被滥用的情况。服务主体是应用、服务和自动化工具访问 Azure 资源所用的身份对象，攻击者常利用其进行权限提升、横向移动和持久化访问。
主要能力：提供针对 Azure AD 审核日志与登录日志的检测查询，覆盖五类滥用模式——向现有服务主体添加凭据（客户端密钥或证书）、为服务主体分配特权角色（如全局管理员、应用程序管理员）、批量枚举服务主体、绕过管理员同意（AllPrincipals 同意）、OAuth 应用权限提升（如 Application.ReadWrite.All、Directory.ReadWrite.All）。查询以 KQL（Microsoft Sentinel）和 SPL（Splunk）两种形式给出，并映射到 MITRE ATT&CK 技术（T1098.001、T1078.004、T1087.004、T1528）。
使用方式：需具备 Microsoft Entra ID P2 许可的 Azure 订阅、Azure AD 审核与登录日志访问权限、Microsoft Sentinel 或 Splunk，以及 Microsoft Graph API 调查权限（最低 Global Reader 或 Security Reader 角色）。调查流程包括：用 Connect-MgGraph -Scopes "Application.Read.All" 连接后列出近期添加凭据的服务主体；检查服务主体角色分配；检查应用所有权（所有权即凭据控制权）；用 AADServicePrincipalSignInLogs 审查登录活动。预防控制包括限制应用注册（Update-MgPolicyAuthorizationPolicy 设置 AllowedToCreateApps 为 false）、配置应用同意策略（New-MgPolicyPermissionGrantPolicy）以及创建 Sentinel 分析规则。
适用场景：安全事件调查、检测规则与威胁狩猎查询构建、SOC 分析师结构化分析流程、验证相关攻击技术的监控覆盖。
限制：资料未提供具体价格、平台兼容性细节或效果保证；查询字段与操作名依赖具体日志架构，实际使用需按环境调整。