Rétention du journal d'audit unifié, licences et lacunes
Ce que conservent les journaux Microsoft 365 et Entra ID, combien de temps, avec quelle licence, et ce qu'une enquête BEC ne voit pas quand une source manque.
Articles tagués: #microsoft-365
BEC : que faire dans la première heure (Microsoft 365)
La première heure après un BEC Microsoft 365 : bloquer l'argent, garder les journaux, révoquer les sessions et supprimer la persistance, dans le bon ordre.
MailItemsAccessed : ce que ce journal prouve (ou non)
Lire MailItemsAccessed dans un BEC : Sync ou Bind, InternetMessageId, limitation, licences, et séparer les lectures de l'attaquant de celles de l'utilisateur.
Règles de boîte de réception d'un pirate : les repérer
Comment les attaquants utilisent règles et transferts dans un BEC, comment les trouver dans l'UAL et avec Get-InboxRule, et les distinguer des règles légitimes.
Enquête sur le journal d'audit unifié : les champs clés BEC
Lire le journal d'audit unifié dans un BEC : le JSON AuditData, les opérations à filtrer, et comment SessionId et UniqueTokenId relient actions et connexions.
Analyser le journal d'audit unifié dans votre navigateur
Pas-à-pas : chargez un export d'audit Purview et les connexions Entra dans M365 Forensics, puis lisez verdict, constats, chronologie et remédiation.
Exporter le journal d'audit unifié et les connexions Entra
Export pas à pas du journal d'audit unifié Purview et des journaux de connexion et d'audit Entra ID pour un BEC : rôles, limites, pagination PowerShell, pièges.
Enquête BEC Microsoft 365 : le guide pratique
Enquêter sur un BEC Microsoft 365 : quels journaux exporter, quoi chercher dans chacun, et comment relier chaque action à la session de l'attaquant.