Forensics email, Microsoft 365 & cloud

Χαρτογράφηση ταυτοτήτων και υπηρεσιών

Ένα περιστατικό cloud μπορεί να συνδέει πάροχο ταυτότητας, email, κοινόχρηστα αρχεία, οικονομική διαδικασία και επικοινωνία προμηθευτή. Χαρτογραφούμε λογαριασμούς, tenants, διαχειριστές και τρίτους και συμφωνούμε δικαιώματα συλλογής και περίοδο εξέτασης. Πρώτο ζητούμενο είναι η αξιόπιστη εικόνα πηγών, μαζί με στοιχεία που τηρούν πάροχοι ή βρίσκονται εκτός του άμεσου ελέγχου σας.

Διατήρηση των διαθέσιμων καταγραφών

Αξιολογούμε διαθέσιμα αρχεία συνδέσεων και ελέγχου, ίχνη μηνυμάτων, ρυθμίσεις email, προωθήσεις, εξουσιοδοτημένη πρόσβαση, δικαιώματα εφαρμογών και δραστηριότητα συνεργασίας. Διάρκεια διατήρησης και λεπτομέρεια διαφέρουν ανά προϊόν, άδεια και ρύθμιση· παρατίθεται η σχετική τεκμηρίωση της Microsoft. Καταγράφουμε ερώτημα αναζήτησης, χρονικό εύρος, μέθοδο εξαγωγής και κενά. Οι σημερινές ρυθμίσεις δεν θεωρούνται αυτόματα ίδιες με εκείνες του περιστατικού.

Παραβίαση εταιρικού email και εκτροπή πληρωμών

Ένα απατηλό αίτημα πληρωμής μπορεί να προέρχεται από παραβιασμένο λογαριασμό, παραπλήσιο domain ή αλλοιωμένη συνομιλία. Εξετάζουμε μηνύματα και κεφαλίδες, συνθήκες ταυτοποίησης, αλλαγές γραμματοκιβωτίου και αλληλουχία οδηγιών. Οικονομικές εγγραφές και επιβεβαιώσεις βοηθούν να διαχωριστεί η τεχνική παραβίαση από την απόφαση πληρωμής. Παρέχουμε τεκμήρια για συντονισμό του πελάτη με τράπεζα, συμβούλους ή αρχές· η ανάκληση πληρωμών ακολουθεί τη δική τους διαδικασία.

Πρόσβαση, κοινή χρήση και πιθανή έκθεση

Συσχετίζουμε δραστηριότητα για επηρεασμένους λογαριασμούς, αρχεία και συνεδρίες, λαμβάνοντας υπόψη την κάλυψη των logs. Επιτυχής σύνδεση, λήψη αρχείου και επιβεβαιωμένη κοινοποίηση είναι διαφορετικά ευρήματα. Η έκθεση δηλώνει τι υποστηρίζεται και πού τα στοιχεία δεν επαρκούν. Εξετάζουμε κοινόχρηστους συνδέσμους, επισκέπτες, εφαρμογές και διοικητικές αλλαγές όταν σχετίζονται με διατήρηση πρόσβασης ή ευρύτερο περιστατικό.

Σύνδεση της έρευνας με την αποκατάσταση

Τα ευρήματα υποστηρίζουν τις αποφάσεις περιορισμού και αποκατάστασης σε συνεργασία με τον υπεύθυνο του συστήματος: ανάκληση πρόσβασης, έλεγχο ταυτοτήτων, διόρθωση μη ασφαλών κοινοποιήσεων και επαλήθευση αλλαγών στις ρυθμίσεις. Καταγράφουμε αυτές τις ενέργειες ώστε να διακρίνονται από την ύποπτη δραστηριότητα. Η τελική ενημέρωση παρουσιάζει το τεκμηριωμένο χρονολόγιο, την εκτίμηση έκθεσης, τα ανοικτά ερωτήματα και τις βελτιώσεις παρακολούθησης που θα επέτρεπαν σαφέστερα συμπεράσματα σε μελλοντική διερεύνηση.

Διερεύνηση αλλαγμένης εντολής πληρωμής προμηθευτή

Συνήθης αφετηρία business email compromise είναι αίτημα πληρωμής με φαινομενικά αλλαγμένα στοιχεία. Εξετάζουμε συμφωνημένη αλληλογραφία, συνδέσεις, ρυθμίσεις γραμματοκιβωτίου και διαθέσιμα αρχεία κοινοποίησης για εναλλακτικές εξηγήσεις. Το ερώτημα μπορεί να αφορά εσωτερικό λογαριασμό, εξωτερική πλαστοπροσωπία ή αλλοιωμένη συνομιλία. Ανάκληση χρημάτων και νομικές ενέργειες παραμένουν στους αρμοδίους ενώ αξιολογούνται τα τεχνικά στοιχεία.

Έλεγχος ανατεθειμένων δικαιωμάτων, προώθησης και εφαρμογών

Η πρόσβαση σε γραμματοκιβώτιο δεν περιορίζεται στη σύνδεση με κωδικό. Ανατεθειμένα δικαιώματα, κανόνες προώθησης και εφαρμογές μπορεί να σχετίζονται με το συμβάν. Εντοπίζουμε αρχεία των επιλεγμένων υπηρεσιών και εξηγούμε ποια δραστηριότητα τεκμηριώνουν. Οι αλλαγές περιορισμού καταγράφονται χωριστά από τη διερευνώμενη δραστηριότητα ώστε το χρονολόγιο να παραμένει κατανοητό.

Έγκαιρος προσδιορισμός διαθεσιμότητας τεκμηρίων

Η διερεύνηση cloud εξαρτάται από τα αρχεία που διατηρήθηκαν και την πρόσβαση συλλογής. Εξετάζουμε ρυθμίσεις, περιόδους και εξαρτήσεις παρόχων ή διαχειριστών πριν ορίσουμε προσδοκίες. Η απουσία συμβάντος μπορεί να οφείλεται σε περιορισμένη κάλυψη. Η αναφορά δηλώνει αυτά τα κενά όταν επηρεάζουν συμπεράσματα πρόσβασης ή πιθανής έκθεσης πληροφοριών.

Συχνές ερωτήσεις

Περισσότερες πληροφορίες: Microsoft — audit log retention policies