Retención del registro de auditoría unificado y lagunas
Qué conservan los registros de Microsoft 365 y Entra ID, cuánto tiempo y con qué licencia, y qué no ve una investigación de BEC si falta una fuente.
Artículos etiquetados: #microsoft-365
BEC: qué hacer en la primera hora (Microsoft 365)
La primera hora tras un BEC en Microsoft 365: frenar el dinero, conservar los registros, revocar sesiones y eliminar la persistencia, en el orden correcto.
MailItemsAccessed: qué demuestra (y qué no)
Cómo leer MailItemsAccessed en un BEC: Sync o Bind, InternetMessageId, limitación, licencias y cómo separar las lecturas del atacante de las del usuario.
Reglas de bandeja de entrada de un hacker en Microsoft 365
Cómo usan los atacantes las reglas de bandeja de entrada y el reenvío en un BEC, cómo hallarlas en el UAL y con Get-InboxRule, y cómo distinguirlas.
Investigación del registro de auditoría unificado (BEC)
Leer el registro de auditoría unificado en un BEC: el JSON AuditData, las operaciones que filtrar y cómo SessionId y UniqueTokenId enlazan acciones.
Analizar el registro de auditoría unificado en el navegador
Paso a paso: cargue una exportación de auditoría de Purview y los inicios de sesión de Entra en M365 Forensics y lea el veredicto, hallazgos y cronología.
Exportar el registro de auditoría unificado y Entra ID
Exportación paso a paso del registro de auditoría unificado de Purview y de los inicios de sesión y la auditoría de Entra ID: roles, límites, PowerShell.
Investigación de BEC en Microsoft 365: guía práctica
Cómo investigar un BEC en Microsoft 365: qué registros exportar, qué buscar en cada uno y cómo vincular cada acción con la sesión del atacante.