mcpField
A
analyzing-office365-audit-logs-for-compromise

analyzing-office365-audit-logs-for-compromise

github.com/mukul975セキュリティ35.2k294 回インストール8 週間前に更新
リポジトリ

analyzing-office365-audit-logs-for-compromise について

Microsoft Graphの監査データを使い、Office 365アカウントの侵害を調査するセキュリティ分析スキルです。メールボックスルール、転送、委任変更、OAuth許可、サインイン傾向を調べ、タイムラインと指標レポートを作成します。

主な機能

  1. 01Unified Audit Logの照会
  2. 02受信トレイルールの列挙
  3. 03転送と委任変更の検出
  4. 04不審なOAuth許可の特定
  5. 05指標とタイムラインの報告

活用シーン

  1. 01ビジネスメール詐欺の疑いの調査
  2. 02脅威ハンティング検出ルールの作成
  3. 03セキュリティ監視範囲の確認

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill analyzing-office365-audit-logs-for-compromise

インストール後、Claude Code で/analyzing-office365-audit-logs-for-compromiseを入力して読み込まれたか確認します。

同梱ファイル

SKILL.md と一緒にインストールされる参考資料やスクリプト。

LICENSE
references/
api-reference.md
scripts/
agent.py

詳細

Office 365 監査ログを分析して侵害を調査する

概要

ビジネスメール詐欺（BEC）攻撃の痕跡は、多くの場合 Office 365 監査ログに残ります。たとえば、不審な受信トレイルールの作成、外部アドレスへのメール転送、メールボックスの委任設定の変更、許可されていない OAuth アプリケーションへの同意付与などです。このスキルでは、Microsoft Graph API を使用して統合監査ログをクエリし、メールボックス全体の受信トレイルールを列挙し、転送設定を検出して、アカウント侵害の兆候を特定します。

使用するタイミング

  • office365 監査ログを分析して侵害を調査する必要があるセキュリティインシデントを調査するとき
  • この分野の検出ルールや脅威ハンティング用クエリを作成するとき
  • SOC アナリストが、この種の分析に関する体系的な手順を必要とするとき
  • 関連する攻撃手法に対するセキュリティ監視の網羅性を検証するとき

前提条件

  • AuditLog.Read.All、MailboxSettings.Read、Mail.Read（アプリケーション権限）を付与した Azure AD アプリ登録
  • msal、requests を使用する Python 3.9+
  • 認証用のクライアントシークレットまたは証明書
  • Global Reader または Security Reader のロール

手順

  1. MSAL クライアント資格情報フローを使用して Microsoft Graph に認証します
  2. 不審な操作（Set-Mailbox、New-InboxRule）について統合監査ログをクエリします
  3. メールボックス全体の受信トレイルールを列挙し、転送ルールにフラグを付けます
  4. メールボックスの委任設定の変更（Add-MailboxPermission）を検出します
  5. 不審なアプリケーションへの OAuth 同意付与を特定します
  6. 監査ログから不審なサインインパターンを確認します
  7. タイムライン付きの侵害指標レポートを生成します

想定される出力

  • 転送ルール、委任設定の変更、OAuth の同意付与、およびリスクスコア付きの不審な監査イベントを一覧にした JSON レポート
  • 影響を受けたメールボックスを含む侵害指標のタイムライン

コメント

Markdown 対応