detecting-email-account-compromise

メールアカウントの侵害の検出

概要

メールアカウントの侵害（EAC）は、攻撃者がメールボックスに不正にアクセスし、機密データを持ち出したり、ビジネスメール詐欺（BEC）を実行したり、受信トレイルールの操作によってアクセスを維持したりする、広く見られる攻撃手法です。攻撃者は、メールを密かに転送するために転送ルールを作成したり、証拠を隠すためにルールを削除したり、OAuth トークンを使ってアクセスを維持したりすることがよくあります。検出には、Microsoft 365 統合監査ログ、異常な場所や不可能な移動を確認するための Azure AD サインインログ、受信トレイルールの作成イベント（Set-InboxRule、New-InboxRule）、および Microsoft Graph API のアクセスパターンを分析します。主な兆候として、外部アドレスへの転送ルール、「invoice」や「payment」などのキーワードに一致するメッセージを削除または移動するルール、python-requests などの見慣れないユーザーエージェントからのサインインが挙げられます。

使用するタイミング

• メールアカウントの侵害を検出する必要があるセキュリティインシデントを調査する場合
• この分野の検出ルールや脅威ハンティングクエリを作成する場合
• SOC アナリストがこの種の分析に関する体系的な手順を必要とする場合
• 関連する攻撃手法に対するセキュリティ監視の対応範囲を検証する場合

前提条件

• 統合監査ログが有効になっている Microsoft 365
• リスク検出 API を使用するための Azure AD P1/P2
• requests、msal ライブラリを備えた Python 3.9+
• Mail.Read、AuditLog.Read.All のアクセス許可を持つ Microsoft Graph API アプリケーション登録
• OAuth2 クライアント認証情報フローに関する理解

手順

1. 監査ログをエクスポートするか、MSAL 認証を使用して Microsoft Graph API に接続します
2. /users/{id}/mailFolders/inbox/messageRules を使用して、監視対象のすべてのメールボックスの受信トレイルールをクエリします
3. 外部アドレスへの転送（ForwardTo、RedirectTo）を行うルールを分析します
4. 不審なルールのパターン（削除ルール、金融関連用語を対象とするキーワード一致ルール）を検出します
5. /auditLogs/signIns を使用してサインインログをクエリし、見慣れない場所や不可能な移動を調べます
6. 不審なユーザーエージェント文字列（python-requests、PowerShell、curl）がないか確認します
7. 不審なサードパーティアプリに対する OAuth アプリケーションの同意付与を特定します
8. ユーザー間で調査結果を相関させ、キャンペーン規模の侵害を検出します
9. 重大度スコアを含む侵害の兆候レポートを生成します

期待される出力

侵害されたアカウントまたは不審なアカウント、検出された悪意のある受信トレイルール、不可能な移動のイベント、不審な OAuth の同意付与、および重大度評価付きの推奨封じ込め措置を一覧にした JSON レポートです。