用途：检测邮箱账号入侵（EAC），适用于安全事件调查、构建检测规则或威胁狩猎查询、SOC 分析流程，以及验证相关攻击技术的监控覆盖。
主要能力：分析 Microsoft 365 统一审计日志与 Azure AD 登录日志，识别不可能旅行或可疑位置登录；检测收件箱规则创建事件（Set-InboxRule、New-InboxRule）；发现向外部地址转发、删除或移动含“invoice”“payment”等关键词邮件的规则；检查异常用户代理（如 python-requests、PowerShell、curl）；识别可疑第三方应用的 OAuth 授权；跨用户关联以发现战役级入侵，并生成带严重性评分的入侵指标报告。
使用方式：需启用 Microsoft 365 统一审计日志，Azure AD P1/P2 以使用风险检测 API，Python 3.9+ 及 requests、msal 库，注册具有 Mail.Read、AuditLog.Read.All 权限的 Graph API 应用，并理解 OAuth2 客户端凭据流程。步骤包括：导出审计日志或通过 MSAL 连接 Graph API；查询各邮箱收件箱规则；分析外部转发与可疑规则模式；查询登录日志；检查可疑用户代理；识别 OAuth 授权；跨用户关联；生成含严重性评分的报告。
限制：资料未提供具体命令、代码示例、收费信息或平台支持范围；Google Workspace 的具体检测步骤暂未提供。