O365 邮箱审计日志绕过

检测邮箱审计绕过关联的发生。邮箱审计负责记录指定的邮箱事件（如访问文件夹或消息，或永久删除消息）。但是，某些授权帐户（如第三方工具使用的帐户或用于合法监控的帐户）执行的操作可能会创建大量的邮箱审计日志条目，您的组织可能对此不感兴趣。因此，管理员可以创建绕过关联，允许某些帐户在不被记录的情况下执行其任务。攻击者可以滥用此允许列表机制来隐藏其采取的操作，因为邮箱审计将不会记录该帐户执行的任何活动。

规则类型: 查询

规则索引:

严重性: 中

风险评分: 47

运行频率: 5 分钟

搜索索引起始时间: now-30m (日期数学格式，另请参阅 额外的回溯时间)

每次执行的最大告警数: 100

参考:

标签:

版本: 206

规则作者:

规则许可证: Elastic License v2

event.dataset:o365.audit and event.provider:Exchange and event.action:Set-MailboxAuditBypassAssociation and event.outcome:success