Расследование подозрительной учетной записи Microsoft 365: Entra, Mailbox и Defender

Проверка инцидента

Профессиональная проверка для расследования учетной записи Microsoft 365 начинается с условий успеха и условий неудачи. Определяются положительный кейс, отрицательный кейс, пограничный кейс и аналогичная легитимная активность. Таким образом, можно выявить как False Negative, так и False Positive.

В авторизованной среде используются минимальные действия, подтверждающие утверждение, не причиняя вреда. Сохраняются входные данные, выходные данные, время и версия, а после исправления выполняется повторное тестирование по тому же сценарию, а также проверяется регрессия смежных функций.

Входы Entra и риски

Тема 'Входы Entra и риски' является центральной частью работы по расследованию учетной записи Microsoft 365. Рекомендуется разбить ее на три вопроса: что является входом, какое решение вы хотите принять и какие доказательства достаточны для его обоснования. Эти вопросы предотвращают автоматическое использование инструмента без понимания цели.

На практике записывайте SigninLogs, AuditLogs, OfficeActivity, правила почтового ящика, согласие OAuth, сравнивайте с ожидаемым поведением и определяйте по крайней мере одну точку поворота. Результат должен быть проверяемым другим аналитиком, включая ограничения и дальнейшие шаги.

Почтовый ящик и аудит

Тема 'Почтовый ящик и аудит' является центральной частью работы по расследованию учетной записи Microsoft 365. Рекомендуется разбить ее на три вопроса: что является входом, какое решение вы хотите принять и какие доказательства достаточны для его обоснования. Эти вопросы предотвращают автоматическое использование инструмента без понимания цели.

На практике записывайте SigninLogs, AuditLogs, OfficeActivity, правила почтового ящика, согласие OAuth, сравнивайте с ожидаемым поведением и определяйте по крайней мере одну точку поворота. Результат должен быть проверяемым другим аналитиком, включая ограничения и дальнейшие шаги.

OAuth, сеансы и конечные точки

В расследовании учетной записи Microsoft 365 идентификация и авторизация — это два разных вопроса: кто является клиентом и что ему разрешено выполнять с ресурсом. Проверяются роли, утверждения, сеансы, владение объектом и изменения на протяжении жизненного цикла, а не просто констатация того, что пользователь 'вошел в систему'.

Матрица тестирования включает анонимного пользователя, обычного пользователя, владельца объекта, другого пользователя и администратора. Для каждой операции сравниваются отклик и влияние на стороне сервера. Изменение идентификатора или заголовка — это лишь средство тестирования; доказательством является то, что сервер разрешил или отклонил действие в нарушение политики.

Сдерживание и восстановление

Реакция на расследование учетной записи Microsoft 365 должна минимизировать риск, не удаляя при этом необходимые доказательства. Начинайте с обратимых и целенаправленных действий, подтверждайте владение и полномочия, а также документируйте время, исполнителя и результат.

Долгосрочное исправление устраняет корень проблемы: разрешения, конфигурацию, валидацию, телеметрию, процесс или обучение. После внедрения проводится повторное тестирование и мониторинг признаков возврата, вместо того чтобы довольствоваться закрытием тикета.

Особые точки проверки

В этой теме рекомендуется заранее построить целевую карту доказательств. Основные точки проверки: SigninLogs, AuditLogs, OfficeActivity, правила входящих сообщений, согласие OAuth, отзыв сеанса. Этот список не является автоматическим контрольным списком; каждый элемент выбирается потому, что он может связывать сущность, действие и время или объяснять легитимное поведение.

• SigninLogs: Определите ожидаемое значение, что будет считаться аномалией и какой дополнительный источник подтвердит находку.
• AuditLogs: Определите ожидаемое значение, что будет считаться аномалией и какой дополнительный источник подтвердит находку.
• OfficeActivity: Определите ожидаемое значение, что будет считаться аномалией и какой дополнительный источник подтвердит находку.
• inbox rules: Определите ожидаемое значение, что будет считаться аномалией и какой дополнительный источник подтвердит находку.
• OAuth consent: Определите ожидаемое значение, что будет считаться аномалией и какой дополнительный источник подтвердит находку.
• session revocation: Определите ожидаемое значение, что будет считаться аномалией и какой дополнительный источник подтвердит находку.

Если одна из точек недоступна, необходимо задокументировать пробел и выбрать альтернативу. Например, если идентификатор процесса нестабилен, можно использовать время, Host, User и Parent; если полезная нагрузка зашифрована, используются Metadata, объем, частота и TLS/DNS context.

Рекомендуемый рабочий процесс

1. Определите Scope и один рабочий вопрос по расследованию учетной записи Microsoft 365.
2. Запишите источники данных и необходимые доказательства: SigninLogs, AuditLogs, OfficeActivity, правила входящих сообщений.
3. Создайте краткий базовый уровень нормального поведения или ожидаемого результата.
4. Выполните минимальную проверку в лабораторной среде и сохраните время, входные и выходные данные.
5. Создайте временную шкалу или сравнительную таблицу и отделите факты от интерпретации.
6. Сделайте Pivot к дополнительному источнику, чтобы подтвердить или опровергнуть первоначальное объяснение.
7. Обобщите решение, ограничения, рекомендуемое действие и критерий повторного тестирования.

Практический сценарий

Выбранный сценарий — это временная шкала имитированной облачной учетной записи. Цель упражнения не в том, чтобы продемонстрировать способность к атаке, а в том, чтобы отработать сбор, сравнение и документирование безопасным способом. Перед началом работы определяются имитированные данные, временное окно и ожидаемый результат.

По завершении упражнения должен быть представлен результат, который может быть проверен другим аналитиком или тестировщиком: скриншот или экспорт доказательства, короткая временная шкала, первоначальное предположение, подтверждающее доказательство, ограничение и рекомендация. Когда доказательств недостаточно, правильный вывод заключается в том, что сценарий не доказан.

Практический контрольный список

• ✓Проверьте и задокументируйте: Principal и сеанс.
• ✓Проверьте и задокументируйте: действие API.
• ✓Проверьте и задокументируйте: ресурс и регион.
• ✓Проверьте и задокументируйте: исходный IP-адрес и user agent.
• ✓Проверьте и задокументируйте: Audit event ID.
• ✓Проверьте и задокументируйте: находку GuardDuty/Defender/SCC.
• ✓Укажите часовой пояс, версию инструмента и время сбора.
• ✓Сохраните необработанные данные до фильтрации или изменения.
• ✓Напишите, что доказывает находка и что еще неизвестно.
• ✓Определите владельца и последующее действие с датой.

Распространенные ошибки

• Сосредоточиться только на одной области.
• Поворачивать ключ до сохранения временной шкалы.
• Не проверять AssumeRole или Token.
• Игнорировать Control Plane.
• Не сопоставлять эффективные разрешения.
• Делать вывод о том, что географическое положение доказывает атаку.

Резюме и CTA

Расследование подозрительной учетной записи Microsoft 365: Entra, Mailbox и Defender — это тема, которая связывает технические знания с рабочей дисциплиной. Начните с вопроса, соберите только релевантные доказательства, сохраните контекст и время, и выберите действие, которое можно обосновать и перепроверить.

На курсе Cybersecurity & AI в HPI эти принципы отрабатываются с использованием систем, журналов и лабораторий. Естественным продолжением является переход к связанным статьям, выполнение лабораторного упражнения и сохранение результата как части профессионального портфолио.

Вопросы и ответы