Unified Audit Log: Aufbewahrung, Lizenzen und Lücken
Was Microsoft-365- und Entra-ID-Protokolle wie lange mit welcher Lizenz aufbewahren, und was eine BEC-Untersuchung nicht sieht, wenn eine Quelle fehlt.
Blog
Artikel, Leitfäden und Updates.
BEC-Beispiel: ein fiktiver Microsoft-365-Vorfall erklärt
Ein fiktiver AiTM-BEC aus Microsoft-365-Protokollen rekonstruiert: Password Spraying, Token-Replay, Regeln, Weiterleitung, OAuth-Zustimmung, falsche Rechnung.
BEC-Reaktion: Was in der ersten Stunde zu tun ist (M365)
Die erste Stunde nach einem BEC in Microsoft 365: Geldfluss stoppen, Protokolle sichern, Sitzungen widerrufen und Persistenz entfernen, in dieser Reihenfolge.
MailItemsAccessed: was es beweist (und was nicht)
MailItemsAccessed in einem BEC lesen: Sync oder Bind, InternetMessageId, Drosselung, Lizenzen und wie Sie Zugriffe von Angreifer und Benutzer trennen.
Illicit Consent Grant: bösartige OAuth-Apps untersuchen
So finden Sie eine unrechtmäßige OAuth-Einwilligung im Unified Audit Log und in der Entra-Überwachung, welche Rechte zählen und wie Sie den Zugriff entziehen.
Entra-ID-Anmeldeprotokolle analysieren: Risiko und Reisen
Entra-ID-Anmeldeprotokolle in einem BEC-Fall analysieren: wichtige Felder, Fehlercodes, unmögliche Reisen und Fehlalarme, Password Spraying, MFA-Ermüdung.
AiTM-Phishing erkennen: Token-Replay in Entra ID finden
Wie AiTM-Phishing Microsoft-365-Sitzungen trotz MFA stiehlt und wie Sie das Token-Replay in den Entra-ID-Anmeldeprotokollen und im Unified Audit Log erkennen.
Posteingangsregeln eines Hackers in Microsoft 365 finden
Wie Angreifer Posteingangsregeln und Weiterleitungen bei einem BEC nutzen, wie Sie sie im UAL und mit Get-InboxRule finden und von echten Regeln unterscheiden.
Unified Audit Log untersuchen: die wichtigen BEC-Felder
Das Unified Audit Log bei einem BEC lesen: AuditData-JSON, die zu filternden Vorgänge und wie SessionId und UniqueTokenId Aktionen mit Anmeldungen verknüpfen.