O365 过多的单点登录错误

编辑

识别具有大量单点登录 (SSO) 登录错误的帐户。过多的登录错误可能表示尝试暴力破解密码或 SSO 令牌。

规则类型: 阈值

规则索引:

  • filebeat-*
  • logs-o365*

严重性: 高

风险评分: 73

运行频率: 5 分钟

搜索索引时间范围: now-20m (日期数学格式,另请参阅 额外的回溯时间)

每次执行的最大警报数: 100

参考: 无

标签:

  • 域:云
  • 数据源:Microsoft 365
  • 用例:身份和访问审计
  • 策略:凭证访问

版本: 207

规则作者:

  • Elastic
  • Austin Songer

规则许可证: Elastic License v2

调查指南

编辑

设置

编辑

此规则需要 Office 365 Logs Fleet 集成、Filebeat 模块或类似结构的数据才能兼容。

规则查询

编辑
event.dataset:o365.audit and event.provider:AzureActiveDirectory and event.category:authentication and o365.audit.LogonError:"SsoArtifactInvalidOrExpired"

框架: MITRE ATT&CKTM