1. ルール概要

項目	説明
重大度	高
ルール名	Authentication Method Changed for Privileged Account
ルールの種類	Scheduled
ルールの頻度	2時間ごとにクエリを実行
ルールの期間	過去2時間のデータ
バージョン	1.0.1
説明	特権アカウントに対して変更された認証方法を識別します。これは、攻撃者が継続的なアクセスを可能にするために、アカウントに認証方法を追加していることを示す可能性があります。（by DeepL）
Ref	https://learn.microsoft.com/ja-jp/azure/active-directory/fundamentals/security-operations-privileged-accounts?WT.mc_id=Portal-fx#things-to-monitor-1

2. 活用するテーブル

テーブル名	概要	参考URL
IdentityInfo	UEBA機能によって設定されたユーザー ID 情報	https://learn.microsoft.com/ja-jp/azure/azure-monitor/reference/tables/identityinfo
AuditLogs	Azure ADの監査ログ	https://learn.microsoft.com/ja-jp/azure/azure-monitor/reference/tables/auditlogs

3. クエリ解説

Authentication Method Changed for Privileged Account / version1.0.1

// VIPUsersという変数に管理者権限を有するユーザーを一覧として格納する
let VIPUsers = (IdentityInfo
// 付与された権限名にAdminという文字列が含まれているものに絞り込む
| where AssignedRoles contains "Admin"
// UPNの文字列を小文字化してリスト表示する
| summarize by tolower(AccountUPN));
// AzureADの監査ログを対象とする
AuditLogs
// 大文字小文字区別せずに CategoryフィールドがRoleManagementのものに絞り込む
| where Category =~ "UserManagement"
// アクティビティもしくは操作が認証方法の登録のものに絞り込む
| where ActivityDisplayName =~ "User registered security info"
// 大文字小文字区別せずにアクティビティを開始したサービスが認証方法サービスのものに絞り込む
| where LoggedByService =~ "Authentication Methods"
// アカウントエンティティフィールドに変更対象のUPNを、IPエンティティフィールドに変更時の通信元IPアドレスを格納する
| extend AccountCustomEntity = tostring(TargetResources[0].userPrincipalName), IPCustomEntity = tostring(parse_json(tostring(InitiatedBy.user)).ipAddress)
// 変更対象のUPNが管理者権限を有するユーザーのものに絞り込む
| where AccountCustomEntity in (VIPUsers)

X. おまけ

項目	説明
Azure ADの監査ログ（認証方法サービス）に関するアクティビティ一覧	https://learn.microsoft.com/en-us/azure/active-directory/authentication/howto-registration-mfa-sspr-combined-troubleshoot