Exemple de BEC : un incident Microsoft 365 fictif commenté
Un BEC AiTM fictif reconstitué à partir de ses journaux Microsoft 365 : pulvérisation, rejeu de jeton, règles, transfert, consentement OAuth et fausse facture.
Articles tagués: #bec
BEC : que faire dans la première heure (Microsoft 365)
La première heure après un BEC Microsoft 365 : bloquer l'argent, garder les journaux, révoquer les sessions et supprimer la persistance, dans le bon ordre.
MailItemsAccessed : ce que ce journal prouve (ou non)
Lire MailItemsAccessed dans un BEC : Sync ou Bind, InternetMessageId, limitation, licences, et séparer les lectures de l'attaquant de celles de l'utilisateur.
Consentement illicite : enquêter sur les applis OAuth M365
Repérer un consentement OAuth illicite dans le journal d'audit unifié et l'audit Entra, savoir quelles autorisations comptent et retirer l'accès de l'appli.
Journaux de connexion Entra ID : analyse, risques, voyages
Analyser les connexions Entra ID dans un BEC : champs clés, codes d'erreur, voyage impossible et faux positifs, pulvérisation, fatigue MFA, protocoles hérités.
Détection du phishing AiTM : le rejeu de jeton dans Entra ID
Comment le phishing AiTM vole des sessions Microsoft 365 malgré la MFA, et comment repérer le rejeu de jeton dans les connexions Entra ID et l'UAL.
Règles de boîte de réception d'un pirate : les repérer
Comment les attaquants utilisent règles et transferts dans un BEC, comment les trouver dans l'UAL et avec Get-InboxRule, et les distinguer des règles légitimes.
Enquête sur le journal d'audit unifié : les champs clés BEC
Lire le journal d'audit unifié dans un BEC : le JSON AuditData, les opérations à filtrer, et comment SessionId et UniqueTokenId relient actions et connexions.
Analyser le journal d'audit unifié dans votre navigateur
Pas-à-pas : chargez un export d'audit Purview et les connexions Entra dans M365 Forensics, puis lisez verdict, constats, chronologie et remédiation.
Enquête BEC Microsoft 365 : le guide pratique
Enquêter sur un BEC Microsoft 365 : quels journaux exporter, quoi chercher dans chacun, et comment relier chaque action à la session de l'attaquant.