Microsoft Sentinel分析ルールの紐解き（First access credential added to Application or Service Principal where no credential was present） - Qiita

// AzureADの監査ログを対象とする AuditLogs // 「サービス プリンシパルを追加する」と「アプリケーションの更新 - 証明書とシークレットの管理」をキャッチするため、操作名に大文字小文字問わず文字列を有するログを絞り込む | where OperationName has_any ("Add service principal", "Certificates and secrets management") // captures "Add service principal", "Add service principal credentials", and "Update application - Certificates and secrets management" events // 結果が大文字小文字問わず成功のログを絞り込む | where Result