来自不可能的旅行地点的 Microsoft 365 门户登录

检测来自不可能的旅行地点的成功 Microsoft 365 门户登录。不可能的旅行地点定义为在短时间内位于两个不同的国家/地区。此行为可能表明攻击者试图从受感染的帐户访问 Microsoft 365 帐户，或者恶意行为者试图从不同的位置访问 Microsoft 365 帐户。

规则类型：阈值

规则索引:

filebeat-*
logs-o365.audit-*

严重性：中

风险评分: 47

运行频率：5 分钟

搜索索引时间范围：now-15m（日期数学格式，另请参见 额外的回溯时间）

每次执行的最大警报数: 100

参考资料:

https://www.huntress.com/blog/time-travelers-busted-how-to-detect-impossible-travel-

标签:

域：云
数据源：Microsoft 365
用例：威胁检测
策略：初始访问

版本: 2

规则作者:

Elastic

规则许可证：Elastic License v2

规则查询

编辑

event.dataset: "o365.audit"
    and event.provider: "AzureActiveDirectory"
    and event.action: "UserLoggedIn"
    and event.outcome: "success"
    and not o365.audit.UserId: "Not Available"
    and o365.audit.Target.Type: ("0" or "2" or "3" or "5" or "6" or "10")

框架：MITRE ATT&CK^TM

策略
- 名称：初始访问
- ID：TA0001
- 参考 URL：https://attack.mitre.org/tactics/TA0001/
技术
- 名称：有效帐户
- ID：T1078
- 参考 URL：https://attack.mitre.org/techniques/T1078/
子技术
- 名称：云帐户
- ID：T1078.004
- 参考 URL：https://attack.mitre.org/techniques/T1078/004/

« 来自罕见地点的 Microsoft 365 门户登录 Microsoft 365 潜在的勒索软件活动 »