mcpField
A
analyzing-office365-audit-logs-for-compromise

analyzing-office365-audit-logs-for-compromise

github.com/mukul975安全35.2k294 次安装8 周前更新
代码仓库

关于 analyzing-office365-audit-logs-for-compromise

通过 Microsoft Graph 审计数据调查 Office 365 帐户入侵的安全分析技能。它检查邮箱规则、转发、委派变更、OAuth 授权和登录模式，并生成时间线与指标报告。

主要功能

  1. 01查询 Unified Audit Log
  2. 02枚举收件箱规则
  3. 03检测转发和委派变更
  4. 04识别可疑 OAuth 授权
  5. 05生成指标与时间线报告

适用场景

  1. 01调查疑似商业邮件入侵
  2. 02构建威胁狩猎检测规则
  3. 03检查安全监控覆盖情况

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill analyzing-office365-audit-logs-for-compromise

安装后在 Claude Code 中输入/analyzing-office365-audit-logs-for-compromise确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
references/
api-reference.md
scripts/
agent.py

详细介绍

分析 Office 365 审计日志以发现账户失陷

概述

商业电子邮件失陷（BEC）攻击往往会在 Office 365 审计日志中留下痕迹：可疑的收件箱规则创建、将电子邮件转发到外部地址、邮箱委派变更，以及未经授权的 OAuth 应用程序授权同意。本技能使用 Microsoft Graph API 查询统一审计日志，枚举各个邮箱的收件箱规则，检测转发配置，并识别账户失陷指标。

使用时机

  • 当调查需要分析 office365 审计日志以发现账户失陷的安全事件时
  • 当为该领域构建检测规则或威胁狩猎查询时
  • 当 SOC 分析师需要针对此类分析的结构化流程时
  • 当验证相关攻击技术的安全监控覆盖范围时

前置条件

  • 具有 AuditLog.Read.All、MailboxSettings.Read、Mail.Read（应用程序权限）的 Azure AD 应用注册
  • Python 3.9+ 及 msal、requests
  • 用于身份验证的客户端密钥或证书
  • Global Reader 或 Security Reader 角色

步骤

  1. 使用 MSAL 客户端凭据流对 Microsoft Graph 进行身份验证
  2. 在统一审计日志中查询可疑操作（Set-Mailbox、New-InboxRule）
  3. 枚举各个邮箱的收件箱规则，并标记转发规则
  4. 检测邮箱委派变更（Add-MailboxPermission）
  5. 识别对可疑应用程序的 OAuth 同意授权
  6. 从审计日志中检查可疑的登录模式
  7. 生成带时间线的失陷指标报告

预期输出

  • JSON 报告，列出转发规则、委派变更、OAuth 授权和可疑审计事件及其风险评分
  • 失陷指标时间线及受影响的邮箱

评论

支持 Markdown