detecting-email-account-compromise

检测电子邮件账户泄露

概述

电子邮件账户泄露（EAC）是一种常见的攻击方式，攻击者借此未经授权访问邮箱，以窃取敏感数据、实施商业电子邮件欺诈（BEC），或通过操纵收件箱规则建立持久化。攻击者通常会创建转发规则来窃取电子邮件，删除规则以隐藏证据，或使用 OAuth 令牌实现持久访问。检测依赖于分析 Microsoft 365 统一审核日志、用于识别不可能旅行或可疑位置的 Azure AD 登录日志、收件箱规则创建事件（Set-InboxRule、New-InboxRule），以及 Microsoft Graph API 访问模式。关键指标包括指向外部地址的转发规则、删除或移动匹配“invoice”或“payment”等关键词的邮件的规则，以及来自 python-requests 等异常用户代理的登录。

何时使用

• 在调查需要检测电子邮件账户泄露的安全事件时
• 在为该领域构建检测规则或威胁狩猎查询时
• 当 SOC 分析师需要针对此类分析的结构化流程时
• 在验证相关攻击技术的安全监控覆盖范围时

先决条件

• 已启用统一审核日志记录的 Microsoft 365
• 用于风险检测 API 的 Azure AD P1/P2
• Python 3.9+ 以及 requests、msal 库
• 具有 Mail.Read、AuditLog.Read.All 权限的 Microsoft Graph API 应用程序注册
• 了解 OAuth2 客户端凭据流程

步骤

1. 导出审核日志，或使用 MSAL 身份验证连接到 Microsoft Graph API
2. 通过 /users/{id}/mailFolders/inbox/messageRules 查询所有受监控邮箱的收件箱规则
3. 分析规则是否存在外部转发（ForwardTo、RedirectTo 外部地址）
4. 检测可疑规则模式：删除规则、针对财务术语的关键词匹配规则
5. 通过 /auditLogs/signIns 查询登录日志，以发现异常位置和不可能旅行
6. 检查可疑用户代理字符串（python-requests、PowerShell、curl）
7. 识别针对可疑第三方应用的 OAuth 应用程序同意授权
8. 关联跨用户的发现结果，以检测活动级别的泄露
9. 生成带严重性评分的泄露指标报告

预期输出

一份 JSON 报告，列出已泄露或可疑账户、检测到的恶意收件箱规则、不可能旅行事件、可疑 OAuth 授权，以及带严重性评级的建议遏制措施。