BEC-Beispiel: ein fiktiver Microsoft-365-Vorfall erklärt
Ein fiktiver AiTM-BEC aus Microsoft-365-Protokollen rekonstruiert: Password Spraying, Token-Replay, Regeln, Weiterleitung, OAuth-Zustimmung, falsche Rechnung.
Beiträge mit Tag: #bec
BEC-Reaktion: Was in der ersten Stunde zu tun ist (M365)
Die erste Stunde nach einem BEC in Microsoft 365: Geldfluss stoppen, Protokolle sichern, Sitzungen widerrufen und Persistenz entfernen, in dieser Reihenfolge.
MailItemsAccessed: was es beweist (und was nicht)
MailItemsAccessed in einem BEC lesen: Sync oder Bind, InternetMessageId, Drosselung, Lizenzen und wie Sie Zugriffe von Angreifer und Benutzer trennen.
Illicit Consent Grant: bösartige OAuth-Apps untersuchen
So finden Sie eine unrechtmäßige OAuth-Einwilligung im Unified Audit Log und in der Entra-Überwachung, welche Rechte zählen und wie Sie den Zugriff entziehen.
Entra-ID-Anmeldeprotokolle analysieren: Risiko und Reisen
Entra-ID-Anmeldeprotokolle in einem BEC-Fall analysieren: wichtige Felder, Fehlercodes, unmögliche Reisen und Fehlalarme, Password Spraying, MFA-Ermüdung.
AiTM-Phishing erkennen: Token-Replay in Entra ID finden
Wie AiTM-Phishing Microsoft-365-Sitzungen trotz MFA stiehlt und wie Sie das Token-Replay in den Entra-ID-Anmeldeprotokollen und im Unified Audit Log erkennen.
Posteingangsregeln eines Hackers in Microsoft 365 finden
Wie Angreifer Posteingangsregeln und Weiterleitungen bei einem BEC nutzen, wie Sie sie im UAL und mit Get-InboxRule finden und von echten Regeln unterscheiden.
Unified Audit Log untersuchen: die wichtigen BEC-Felder
Das Unified Audit Log bei einem BEC lesen: AuditData-JSON, die zu filternden Vorgänge und wie SessionId und UniqueTokenId Aktionen mit Anmeldungen verknüpfen.
Unified Audit Log im Browser analysieren: Anleitung
Anleitung: Purview-Überwachungsexport und Entra-Anmeldungen in M365 Forensics laden, dann Urteil, Befunde, Zeitleiste und Behebungsliste lesen, ohne Upload.
BEC-Untersuchung in Microsoft 365: Leitfaden für die Praxis
So untersuchen Sie Business E-Mail Compromise in Microsoft 365: welche Protokolle, worauf Sie achten und wie Sie Aktionen der Sitzung des Angreifers zuordnen.