O365邮箱审计日志绕过

检测邮箱审计绕过关联的发生。邮箱审计负责记录指定的邮箱事件（例如访问文件夹或邮件，或永久删除邮件）。但是，某些授权帐户（例如第三方工具使用的帐户或用于合法监控的帐户）执行的操作可能会创建大量邮箱审计日志条目，并且可能与您的组织无关。因此，管理员可以创建绕过关联，允许某些帐户执行其任务而无需记录。攻击者可以滥用此允许列表机制来隐藏执行的操作，因为邮箱审计不会记录该帐户执行的任何活动。

规则类型: 查询

规则索引:

严重性: 中等

风险评分: 47

每隔: 5 分钟运行

搜索索引自: now-30m (日期数学格式，另请参见 额外回溯时间)

每次执行的最大告警数: 100

参考资料:

标签:

版本: 206

规则作者:

规则许可证: Elastic License v2

event.dataset:o365.audit and event.provider:Exchange and event.action:Set-MailboxAuditBypassAssociation and event.outcome:success