Detecção de Comprometimento de Conta de E-mail

Visão Geral

Comprometimento de Conta de E-mail (EAC) é um vetor de ataque prevalente onde adversários ganham acesso não autorizado a caixas de correio para exfiltrar dados sensíveis, realizar comprometimento de e-mail corporativo (BEC) ou estabelecer persistência através da manipulação de regras de caixa de entrada. Atacantes comumente criam regras de encaminhamento para sifonar e-mails, excluem regras para ocultar evidências ou usam tokens OAuth para acesso persistente. A detecção depende da análise dos Logs de Auditoria Unificados do Microsoft 365, logs de entrada do Azure AD para viagens impossíveis ou locais suspeitos, eventos de criação de regras de caixa de entrada (Set-InboxRule, New-InboxRule) e padrões de acesso da API do Microsoft Graph. Indicadores chave incluem regras de encaminhamento para endereços externos, regras que excluem ou movem mensagens que correspondem a palavras-chave como "fatura" ou "pagamento", e entradas de log de locais incomuns como python-requests.

Quando Usar

• Ao investigar incidentes de segurança que exigem a detecção de comprometimento de conta de e-mail
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas

Pré-requisitos

• Microsoft 365 com Logs de Auditoria Unificados habilitados
• Azure AD P1/P2 para APIs de detecção de risco
• Python 3.9+ com bibliotecas requests, msal
• Registro de aplicativo da API do Microsoft Graph com permissões Mail.Read, AuditLog.Read.All
• Compreensão dos fluxos de credenciais de cliente OAuth2

Passos

1. Exportar logs de auditoria ou conectar-se à API do Microsoft Graph usando autenticação MSAL
2. Consultar regras de caixa de entrada para todas as caixas de correio monitoradas via /users/{id}/mailFolders/inbox/messageRules
3. Analisar regras para encaminhamento externo (ForwardTo, RedirectTo para endereços externos)
4. Detectar padrões de regras suspeitas: regras de exclusão, regras de correspondência de palavras-chave visando termos financeiros
5. Consultar logs de entrada via /auditLogs/signIns para locais incomuns e viagens impossíveis
6. Verificar strings de user agent suspeitas (python-requests, PowerShell, curl)
7. Identificar concessões de consentimento de aplicativos OAuth para aplicativos de terceiros suspeitos
8. Correlacionar descobertas entre usuários para detectar comprometimento em nível de campanha
9. Gerar relatório de indicadores de comprometimento com pontuações de severidade

Saída Esperada

Um relatório JSON listando contas comprometidas ou suspeitas, regras de caixa de entrada maliciosas detectadas, eventos de viagem impossível, concessões de OAuth suspeitas e ações de contenção recomendadas com classificações de severidade.