海滩上的入侵：终极Entra ID实战训练体验

---

写在前面：为什么我决定写这篇笔记

说实话，一开始看到Varonis这个“Breach at the Beach”的CTF（夺旗赛）宣传时，我以为又是一个花里胡哨的钓鱼游戏。但仔细读完他们两位研究员Doron Kapah和Mark Vaitsman的分享后，我发现这事儿没那么简单——他们不是在搞噱头，而是在认真教大家怎么在真实世界里识别Entra ID里的数据窃取。

我自己这几年在云安全里摸爬滚打，见过太多团队把Entra ID（以前叫Azure AD）当成一个“管登录的玩意儿”，完全没意识到它其实是整个企业的控制平面。更别提现在AI Agent、服务主体、自动化工作流这些非人类身份（Non-Human Identities）越来越多，攻击面早就不是我们以前理解的那个样子了。

所以这篇文章，我想把Varonis这个CTF背后的技术思路、实战案例、以及他们刻意设计的那些“反AI”检测技巧，掰开揉碎了讲清楚。不光是给你看他们做了什么，更重要的是让你理解为什么要这么做。

---

Entra ID：为什么它值得你花时间深挖

先聊一个基础但常被忽略的问题：Entra ID到底是个啥？

很多人觉得它就是个身份认证服务，跟以前的AD差不多。错了。Entra ID现在是你整个企业的控制平面。它连接了：

• 用户（人类）
• 应用（SaaS、自研、第三方）
• 权限（谁有什么角色、能访问什么数据）
• 自动化（Power Automate、Logic Apps）
• AI工作流（Copilot、Dataverse、AI Agent）

你看，这已经不是“登录”两个字能概括的了。一旦Entra ID被攻破，攻击者能做的事情远不止冒充一个用户那么简单。

Mark Vaitsman说得特别直白：

“如果Entra ID被攻破，攻击者可以迅速转向非人类身份，然后变成一场隐蔽且可大规模扩展的数据窃取行动。”

这句话我反复琢磨了很久。传统思维里，我们总盯着“哪个用户的密码泄露了”，但现在的攻击者早就升级了——他们更关心的是服务主体（Service Principal）、应用权限、自动化工作流。这些身份没有密码轮换的概念，没有MFA，甚至没有登录行为日志，但它们的权限往往大得吓人。

举个真实例子：你公司里可能有个Power Automate流，每天凌晨自动把CRM里的客户数据同步到某个SharePoint列表。这个流背后是一个服务主体，它有读取CRM全部数据的权限，也有写入SharePoint的权限。如果这个服务主体被攻破，攻击者不需要登录任何人的账号，就能用这个“合法管道”把数据悄无声息地搬走。

这就是为什么Doron和Mark要把CTF的核心放在非人类身份上。不是因为他们想炫技，而是因为这是当前最真实的攻击面。

---

这个CTF到底在教什么？三个核心设计思路

1. 教你识别“功能被武器化”，而不是“配置错误”

大多数安全培训喜欢让你找“哪里配置错了”——比如某个S3桶公开了、某个AD用户权限过高了。这些当然重要，但现实世界的攻击者往往不靠配置错误，他们靠的是滥用合法功能。

举个例子：Entra ID里有个功能叫“应用程序代理（Application Proxy）”，本意是让你安全地发布内部应用给外部用户。但如果攻击者拿到了一个拥有“Application Administrator”角色的服务主体，他们可以注册一个恶意的应用代理，把内部API暴露到公网上。从日志上看，一切都是合法的——有人创建了应用代理，仅此而已。没有错误配置，没有异常行为，只有功能被武器化。

Breach at the Beach里的挑战，就是让你学会从日志里识别这种“合法但可疑”的行为模式。不是让你找“哪里坏了”，而是让你问自己：“这个功能在这里被使用，合理吗？”

2. 故意让你不用AI，逼你动脑子

这是我觉得最聪明的一个设计。Doron和Mark故意让CTF的挑战不能被LLM（大语言模型）轻松解决。你没看错，他们刻意避开了那些“把日志扔给GPT就能得到答案”的设计。

为什么？因为他们的目标不是让你“快速通关”，而是让你真正吸收里面的知识。如果每个挑战都靠AI猜答案，你学到的只是“怎么问AI”，而不是“怎么分析Entra ID日志”。

Mark的原话是：

“如果你不亲手敲键盘、不点击、不亲眼看到它是怎么工作的，你就什么都没理解。光看书是不够的。”

这话我举双手赞成。我在带团队的时候也发现，那些靠ChatGPT写脚本的人，一旦遇到日志格式变化或者异常情况，立刻就懵了。因为他们没有建立直觉——那种“这个日志看起来不对劲”的直觉。

这个CTF里，你需要自己翻原始Entra ID审计日志，自己关联事件，自己推断攻击者的下一步。没有AI帮你总结，没有自动化工具帮你过滤。就是最原始的“人肉分析”。

3. 教你如何在噪声里找到信号

现实世界里的Entra ID日志有多吵？我给你个数字：一个中型企业每天产生的Entra ID审计日志量级在几十万到上百万条。里面大部分是正常的登录、权限变更、应用注册。攻击者就藏在这些噪声里。

Breach at the Beach模拟的就是这种环境：数据不断演化，日志不断产生，你需要在混乱中找到攻击者的踪迹。这不是那种“给你10条日志，找到异常”的简单题，而是“给你一个持续变化的环境，你要自己定义什么是正常、什么是异常”。

Doron说得很实在：

“不是每个安全从业者都有机会在日常工作中接触到Dataverse、Copilot这类系统的审计日志。这个CTF给了他们一个机会，看到在AI Agent环境下构建防御策略有多难。”

---

为什么这个CTF适合所有安全角色

你可能会想：这是给红队还是蓝队准备的？答案是：所有人。

Mark的观点很有意思：

“如果你不了解蓝队的工作，你不可能成为一个好的红队成员；如果你不了解攻击者，你也很难成为一个好的CISO。”

我特别认同。很多安全工程师只盯着自己那一亩三分地——红队只管渗透，蓝队只管防守，CISO只看报告。但现实世界的攻击不会按你的角色分工来。一个攻击者可能在Entra ID里待了几个月，悄悄收集权限，最后通过一个非人类身份把数据全搬走。如果你只懂防守而不懂攻击手法，你根本不知道应该看哪些日志；如果你只懂攻击而不懂检测逻辑，你的报告对防守方毫无帮助。

这个CTF的设计，就是要打破这种角色隔阂。红队可以学到“蓝队会怎么检测我的行为”，蓝队可以学到“攻击者会怎么利用合法功能”，CISO可以学到“我应该关注哪些审计指标”。

另外，Doron还提到了一点：身份卫生（Identity Hygiene）。他说：

“这个CTF还能帮玩家理解什么是好的身份卫生，以及如何在自己的环境里实现最小权限。”

这不是一句空话。当你亲手在CTF里追踪一个被过度授权的服务主体时，你才会真正理解“最小权限”不是理论，而是保命的手段。

---

如何参与？以及为什么你应该立刻去玩

这个CTF叫“Breach at the Beach”，免费在线可玩，地址是：

https://breachatthebeach.com

整个CTF分为四个阶段，每完成一个阶段，你就能获得：

• 1个CPE学分（对，可以算作持续专业教育学分）
• 一个主题徽章
• 完成全部四个阶段后，会得到一份结业证书，可以发到LinkedIn上

如果你打算拿CPE学分，记得用有效的邮箱地址注册。

线下活动

如果你人在美国或者打算去参加Black Hat或DEF CON，Doron和Mark也会在现场：

• Black Hat USA 2026（8月3-6日）：在Varonis展位（#2948），在线玩家和现场参会者如果在8月6日前完成CTF，还可以参与抽奖，奖品是一张2000美元的万豪酒店礼品卡。
• DEF CON 34 Cloud Village（8月6-9日）：拉斯维加斯会展中心，现场会有CTF竞赛，顶尖玩家有奖品。报名会在活动前开放。

---

我的个人建议

如果你还在犹豫要不要花时间玩这个CTF，我直接告诉你：值得。

不是因为它免费，也不是因为CPE学分，而是因为它是目前市面上少有的、真正聚焦非人类身份和AI Agent场景的实战训练。大多数安全培训还在讲“钓鱼邮件”和“弱密码”，但真正的攻击者早就转到服务主体、应用权限、自动化工作流这些领域了。

我自己在看完这篇原文后，已经开始在内部环境里重新审视我们的服务主体权限了。说实话，结果不太好看——有好几个服务主体拥有“全局管理员”角色，但实际用途只是跑一个定时脚本。这就是典型的身份卫生问题，也是Breach at the Beach想要帮你发现的问题。

所以，别光看这篇笔记了，去玩一把。键盘敲起来，日志翻起来，手脏了才能学到东西。

---

延伸阅读

如果你看完这篇笔记觉得有用，还可以做以下几件事：

1. 预约Varonis的演示：看看他们是怎么在真实环境里做数据安全检测的。
2. 申请免费的数据风险评估（DRA）：Varonis提供免费的DRA，可以帮你发现环境里潜藏的数据风险。
3. 关注Varonis的LinkedIn、YouTube和X（Twitter）：他们会持续发布安全研究和技术内容。

---

这篇笔记是基于Varonis官方发布的“Breach At The Beach: The Ultimate Entra ID Training Experience”文章改写而成，所有技术细节、观点和操作步骤均来自原文。我自己补充了一些背景知识和个人理解，希望能帮你更好地消化这些内容。