用途：狩猎攻击者绕过 MFA 后重放被盗会话产物（Cookie、OAuth 访问/刷新令牌、PRT）的行为，即“pass-the-cookie”/令牌重放，映射 MITRE ATT&CK T1550.001。检测依赖身份遥测关联，而非监视登录失败。
主要能力：在 Entra ID 中按 SessionId、UniqueTokenIdentifier 关联 SigninLogs、AADNonInteractiveUserSignInLogs 与 AADServicePrincipalSignInLogs，识别同一会话来自多个 IP、ASN 或设备指纹；检测单个已认证会话内的不可能旅行、刷新令牌重用、异常 OAuth 授权/非法同意，以及来自托管/VPS ASN 的令牌使用。在 Okta 中检索 System Log 的 authentication.sso、policy.evaluate_sign_on、user.session.start 事件，发现同一会话令牌出现在不同 IP/User-Agent。
必要用法：需要 Entra 登录日志流入 Sentinel/Log Analytics，Okta System Log 通过 API 或 SIEM 接入，并具备 GeoIP 与 ASN/托管商分类的 IP 富化源。示例查询使用 KQL，Okta 使用 SSWS 令牌调用 /api/v1/logs，响应处理用 jq 聚合。确认令牌滥用后通过 Graph revokeSignInSessions 撤销会话，并将有效查询提升为常设检测规则。
适用场景：针对 Entra ID 与 SaaS 的 MFA 绕过威胁狩猎；调查不可能旅行、异常 OAuth 授权或令牌重用告警；钓鱼/AiTM 事件后验证 T1550.001 检测覆盖；构建 Sentinel/Splunk/Okta 检测；受损身份后的 SaaS 横向移动范围排查。
限制：需先建立每用户正常会话基线，否则误报较多；企业 VPN/代理出口、移动运营商 IP 轮换、多设备用户和会话内后端 API 调用均可能造成误报，需按已知出口 IP/ASN 白名单、放宽时间与距离阈值、关联设备 ID、排除预期服务主体等方式调优。资料未提供具体收费、价格或平台部署承诺。