Rétention du journal d'audit unifié, licences et lacunes
Ce que conservent les journaux Microsoft 365 et Entra ID, combien de temps, avec quelle licence, et ce qu'une enquête BEC ne voit pas quand une source manque.
Articles tagués: #incident-response
Exemple de BEC : un incident Microsoft 365 fictif commenté
Un BEC AiTM fictif reconstitué à partir de ses journaux Microsoft 365 : pulvérisation, rejeu de jeton, règles, transfert, consentement OAuth et fausse facture.
BEC : que faire dans la première heure (Microsoft 365)
La première heure après un BEC Microsoft 365 : bloquer l'argent, garder les journaux, révoquer les sessions et supprimer la persistance, dans le bon ordre.
Consentement illicite : enquêter sur les applis OAuth M365
Repérer un consentement OAuth illicite dans le journal d'audit unifié et l'audit Entra, savoir quelles autorisations comptent et retirer l'accès de l'appli.
Journaux de connexion Entra ID : analyse, risques, voyages
Analyser les connexions Entra ID dans un BEC : champs clés, codes d'erreur, voyage impossible et faux positifs, pulvérisation, fatigue MFA, protocoles hérités.
Détection du phishing AiTM : le rejeu de jeton dans Entra ID
Comment le phishing AiTM vole des sessions Microsoft 365 malgré la MFA, et comment repérer le rejeu de jeton dans les connexions Entra ID et l'UAL.
Enquête sur le journal d'audit unifié : les champs clés BEC
Lire le journal d'audit unifié dans un BEC : le JSON AuditData, les opérations à filtrer, et comment SessionId et UniqueTokenId relient actions et connexions.
Exporter le journal d'audit unifié et les connexions Entra
Export pas à pas du journal d'audit unifié Purview et des journaux de connexion et d'audit Entra ID pour un BEC : rôles, limites, pagination PowerShell, pièges.
Enquête BEC Microsoft 365 : le guide pratique
Enquêter sur un BEC Microsoft 365 : quels journaux exporter, quoi chercher dans chacun, et comment relier chaque action à la session de l'attaquant.