Databricks 如何检测凭证驱动攻击

Databricks 介绍了如何通过详细审计日志和 Genie 工具检测凭证驱动攻击，包括识别身份行为异常和攻击链中的非线性事件。攻击者通常通过窃取的会话 cookie、个人访问令牌或服务主体凭证进入系统，随后快速扫描数据、秘密、代码和网络控制。建议关注短时间内从陌生客户端发起的大量相同令牌使用行为，以及服务主体 OAuth 令牌在非预期用户代理下的生成。