该技能用于在 Microsoft 365 与 Entra ID 中开展安全事件调查。与本地 DFIR 不同，这里没有磁盘镜像或内存转储，数据均来自对 Microsoft 日志存储的 API 查询，且部分日志需 E5 或高级审计许可才能保留。
适用场景包括：商务邮件诈骗（BEC）、Entra ID 账号失陷、可疑 OAuth 授权、邮箱规则篡改、登录异常（不可能旅行、旧版认证、匿名网络）、条件访问或 MFA 被篡改。不适用于更广义的事件响应、对 Entra ID 的进攻性测试、Azure 资源/订阅失陷、AWS 失陷、其他云基础设施或检测规则编写。
先确认日志覆盖与保留期：统一审计日志（UAL）默认 180 天，E5 用户为 1 年；Entra ID 登录日志与审计日志默认 30 天；Identity Protection 与 Defender for Cloud Apps 有各自许可与保留要求。保留期按用户许可计算，混合租户中同一查询对不同账号返回的历史长度不同。
主要能力：使用 Search-UnifiedAuditLog 检索 UAL 并展开 AuditData JSON；分析 MailItemsAccessed、New-InboxRule、Set-Mailbox、Consent to application 等关键操作；用 KQL 查询 SigninLogs 与 AuditLogs 定位登录异常、角色分配、服务主体凭据变更与 MFA 方法注册；用 Get-MgOauth2PermissionGrant 与 Graph 排查委派与应用权限；用 Get-InboxRule、Get-Mailbox、Get-TransportRule 检查规则、转发与委派；用 eDiscovery 与诉讼保留固定证据；跨三类日志构建 UTC 时间线；最后执行会话吊销、密码重置、禁用账号、清除规则/转发/委派、封禁恶意 OAuth 应用等遏制操作。
限制：UAL 单次查询上限 50,000 条；MailItemsAccessed 需 E5；会话吊销后令牌最长仍可有效约 1 小时，需禁用账号立即锁定；日志缺失应作为发现明确说明，并检查 SIEM 是否有更长保留。文中所述具体命令与参数需按实际环境调整。