Received new privileges: Azure security privileges

Hello Alex Negreiros,

Thanks for sharing the details. The XDR alert indicates a potential privilege escalation, but the absence of matching entries in the audit log can happen for several reasons:

• PIM Activation vs Permanent Assignment: If the role was activated through Privileged Identity Management, it may not appear as a standard role assignment in the unified audit log.
• Scope Mismatch: Azure resource RBAC changes are logged in Azure Activity logs, not always in M365 audit logs.
• Alert Correlation: XDR uses multiple signals (PIM, Defender for Cloud, anomaly detection) and can trigger alerts even when a single audit event isn’t visible.

Recommended checks:

1. Review the alert details in Microsoft Defender XDR (Entities, Evidence, Correlation).
2. Check Entra ID → Audit logs for “Add member to role” or “Activate eligible role” around the timestamp.
3. Verify Azure Activity logs for role assignment changes at subscription/resource scope.
4. Confirm PIM alerts and approval trails for recent activations.

If these checks do not reveal any supporting evidence, treat the alert as informational and consider adjusting the alert sensitivity settings.

Oi Alex,

Obrigado por compartilhar sua pergunta. Entendo que é preocupante ver o alerta “recebeu novos privilégios: privilégios de segurança do Azure” sem nenhum registro de auditoria. Estou aqui para ajudar.

Pode ser um simples engano. O Microsoft Defender XDR analisa sinais de diferentes fontes (identidade, endpoint e nuvem). Por isso, ele pode gerar um alerta sobre alterações de identidade ou privilégios mesmo que não haja um único evento no log de auditoria do Microsoft 365. Coisas como ativações de função via Privileged Identity Management e alterações de RBAC do Azure geralmente são registradas fora da área de auditoria do Microsoft 365.

Para corrigir isso, verifique os detalhes do alerta no Defender XDR. Em seguida, confira novamente no Entra e no Azure. Abra o alerta no Defender XDR e analise as informações sobre o usuário, aplicativo e recursos, além da história do alerta. Depois, nos logs de auditoria do Entra ID, filtre por atividades de atribuição de função e ativações do PIM por volta de 23 de novembro de 2025 às 10:41:59. Em seguida, nos logs de atividade do Azure, procure por operações roleAssignments write. Se houver possibilidade de envolvimento de consentimento de aplicativo, verifique os alertas do App Governance e os logs de permissão de aplicativos corporativos para ver se foi concedida ou alterada alguma permissão OAuth privilegiada. Se nada disso corresponder, marque o alerta como apenas informativo ou falso positivo. Você também pode ajustar suas configurações de alerta ou níveis de risco para serem mais rigorosos.

Espero que isso ajude.

Atenciosamente,

Noel