Per anni la reconnaissance su Azure AD Graph è passata sotto il radar: i playbook guardavano a sign-in, ruoli e consent, ma le chiamate di enumerazione alla directory non lasciavano tracce utili. Qui il punto non è un nuovo exploit. È il ritorno della visibilità su un livello che molti SOC non riuscivano proprio a vedere, quindi la reconnaissance diventa finalmente rilevabile.
Elastic Security Labs ha reso ingeribili in Elastic gli Azure AD Graph Activity Logs con parsing ECS completo e ha pubblicato regole validate per intercettare strumenti come ROADrecon e AADInternals. I log finiscono nel dataset logs-azure.aadgraphactivitylogs-* con campi già tipizzati, così le query sulla directory non spariscono più nel servizio legacy graph.windows.net ma diventano eventi su cui fare hunting.
Per i team che difendono tenant Entra/Azure AD, il cambio è pratico: si può agganciare la fase di enumerazione prima dei movimenti successivi sull’identità. Restano però una capacità legata a Elastic e alla telemetria dell’integrazione Azure; fuori da quel contesto, il buco cieco resta quello di prima.