用途
该技能专注于分析 Office 365 审核日志以发现账户受损迹象。商业电子邮件入侵（BEC）攻击通常会在 Office 365 审核日志中留下痕迹，例如可疑的收件箱规则创建、向外部地址转发邮件、邮箱委派变更以及未经授权的 OAuth 应用同意授权。本技能使用 Microsoft Graph API 查询统一审核日志，枚举各邮箱的收件箱规则，检测转发配置，并识别受损账户指标。
主要能力
- 通过 Microsoft Graph API 查询统一审核日志
- 枚举各邮箱的收件箱规则并标记转发规则
- 检测邮箱委派变更（Add-MailboxPermission）
- 识别对可疑应用的 OAuth 同意授权
- 从审核日志中检查可疑的登录模式
- 生成带时间线的受损指标报告
使用方式
该技能按以下步骤执行：
- 使用 MSAL 客户端凭据流对 Microsoft Graph 进行身份验证
- 查询统一审核日志中的可疑操作（Set-Mailbox、New-InboxRule）
- 枚举各邮箱的收件箱规则并标记转发规则
- 检测邮箱委派变更（Add-MailboxPermission）
- 识别对可疑应用的 OAuth 同意授权
- 从审核日志中检查可疑的登录模式
- 生成带时间线的受损指标报告
适用场景
- 调查需要分析 Office 365 审核日志以发现受损迹象的安全事件
- 为该领域构建检测规则或威胁狩猎查询
- SOC 分析师需要针对此类分析的结构化流程
- 验证相关攻击技术的安全监控覆盖情况
前提条件
- 已注册的 Azure AD 应用，具备 AuditLog.Read.All、MailboxSettings.Read、Mail.Read（应用程序权限）
- Python 3.9+，并安装 msal、requests
- 用于身份验证的客户端密钥或证书
- Global Reader 或 Security Reader 角色
预期输出
- JSON 报告，列出转发规则、委派变更、OAuth 授权及可疑审核事件，并附带风险评分
- 受损指标时间线，包含受影响的邮箱
限制
资料中未提供关于收费、价格、平台支持范围或具体效果保证的更多信息。