本技能用于调查 Microsoft Azure 控制平面（资源与订阅）安全事件，核心方法是从 Azure Activity Log 与资源/数据平面日志重建攻击者活动，并以发起调用的身份（用户、服务主体或托管标识）为锚点。反复出现的陷阱是：身份存于 Entra，破坏存于订阅，必须跨两个平面关联——Activity Log 说明对资源做了什么，Entra 登录日志说明谁持有令牌、从哪里发起。
适用场景：怀疑订阅、资源组或 VM 被他人控制；Activity Log 出现异常写入、陌生调用者/IP/区域或 AccessDenied 风暴；Defender for Cloud 告警（挖矿、异常部署、可疑登录、IMDS 令牌窃取）；服务主体或托管标识被滥用；挖矿型 VM；存储账户或 Key Vault 外泄。不适用：身份为 Entra/M365 邮箱（用 investigating-m365-entra）、AWS/GCP 事件、AKS/Kubernetes 深入方向、通用 IR 流程与主机响应。
日志来源：Azure Activity Log 默认保留 90 天，记录 ARM 写入/操作/删除；资源/诊断日志默认未启用，需诊断设置转发；Log Analytics 工作区承载 AzureActivity、AzureDiagnostics、StorageBlobLogs、AZKVAuditLogs；Entra 登录/审计日志默认 30 天；Sentinel 可按表摄取。确认日志实际状态可用 az monitor diagnostic-settings subscription list 与 az monitor diagnostic-settings list --resource <id>。
首小时处置：先用 az monitor activity-log list --caller <身份> --start-time <t> -o json 圈定调用者身份并拉取近期活动，检查角色分配（Owner、User Access Administrator）；有工作区时用 KQL 查 AzureActivity，按 TimeGenerated、OperationNameValue、ActivityStatusValue、CallerIpAddress、CorrelationId 排序；先取证保全再隔离，避免攻击者察觉后毁掉未发现的持久化。
常见攻击操作：roleAssignments/write 提权、自定义角色隐藏通配权限、服务主体凭据新增、托管标识令牌滥用、runCommand 与 Custom Script Extension 执行代码、App Service/Functions/Automation/Logic Apps 持久化、资源级 RBAC 后门。数据窃取指标：listKeys/regenerateKey、listAccountSas/listServiceSas、快照导出、Key Vault 秘密读取、容器公开访问变更。反取证包括删除诊断设置与资源。
托管标识窃取特征：调用来自非该资源的出口 IP。取证保全示例：az snapshot create 后 az lock create --lock-type CanNotDelete；导出 Activity Log 窗口。隔离时一次性完成：禁用/轮换主体（az ad sp update、az ad app credential reset）、删除攻击者授予的角色、撤销会话令牌、将 VM 的 NSG 置为拒绝全部出站。资料未提供具体价格、配额或平台差异等信息。