用途：在 Microsoft Entra ID（Azure AD）环境中检测并响应 OAuth 令牌窃取与会话重放，适用于不可能旅行告警排查、会话劫持/传递 Cookie 攻击响应、MFA 绕过的设备代码钓鱼检测、登录日志令牌重放分析，以及配置令牌保护条件访问策略。不适用于本地 Kerberos 票据攻击（如 pass-the-ticket、黄金票据），那些需用 Active Directory 专门调查方法。
前提条件：Entra ID P2 许可证（身份保护风险检测与条件访问所需）、全局管理员或安全管理员角色、Microsoft Defender for Cloud Apps 许可证、可访问登录日志与审核日志（需配置诊断设置到 Log Analytics 或 Sentinel）、熟悉 OAuth 2.0 授权流程、由 Sentinel 或同类 SIEM 摄取日志。
主要能力与用法：先梳理令牌攻击面，区分访问令牌（60–90 分钟）、刷新令牌（最长 90 天）、主刷新令牌（基于会话）、会话 Cookie、设备代码令牌的窃取手法与影响，识别 AiTM 钓鱼、设备代码钓鱼、PRT 提取、浏览器 Cookie 窃取。随后在身份保护中启用异常令牌、令牌签发者异常、不熟悉登录、不可能旅行、恶意 IP、可疑浏览器等风险检测，并配置基于风险的条件访问（高风险阻止、中风险要求 MFA 与改密）。可启用令牌保护（预览）将会话令牌绑定到设备 TPM，令牌被窃后从其他设备重放会因持有证明密钥不匹配而被拒绝。在登录日志中可用 KQL 查询检测风险详情含 token、同一令牌多 IP 使用、deviceCode 协议登录及不可能旅行。响应步骤包括：用 Microsoft Graph PowerShell 撤销刷新令牌（Connect-MgGraph -Scopes "User.ReadWrite.All"；Revoke-MgUserSignInSession -UserId "user@contoso.com"）、强制改密、审查并移除可疑 OAuth 授权、检查企业应用注册与邮件转发规则。还可启用持续访问评估（CAE）实现近实时撤销，并在 Defender for Cloud Apps 配置会话策略监控或阻止异常下载。验证清单涵盖风险检测告警、条件访问生效、令牌保护试点验证、KQL 查询返回结果、CAE 撤销生效、会话策略启用、限制设备代码流及响应手册包含令牌撤销与同意审查。限制：部分功能需相应许可证与角色，令牌保护为预览；资料未提供具体定价与部署规模要求。