Office 365 帐户遭到泄露时该怎么办

对 Office365 的访问由用户主体名称 (UPN) 和密码控制。这些凭据使常规用户可以访问 Office 365 服务，包括 Exchange、SharePoint、OneDrive、Teams 等。

如果使用混合设置，可以通过 Azure Active Directory 或本地 Active Directory 域控制器设置用户凭据。无论哪种方式，如果攻击者获得对您的某个用户帐户的访问权限，即使该帐户的权限有限，他们也有可能造成很大的损害。这就是为什么您知道如何发现您的 O365 帐户之一已被盗用的警告信号至关重要。

Office 365 帐户遭到入侵的迹象

在大多数情况下，攻击者会寻求访问用户的电子邮件帐户，并将其用于各种邪恶活动。以下是我们可以通过查找来确定帐户是否已被盗用的可疑活动类型的一些示例。

电子邮件以可疑的方式消失。
用户已收到的电子邮件不存在于发件人的“已发送邮件”文件夹中。
用户的“已发送邮件”或“已删除邮件”文件夹包含通常与网络钓鱼诈骗相关的邮件，其中通常包含营造紧迫感的词语。
可疑电子邮件转发规则，例如自动将电子邮件转发到未知地址、垃圾邮件文件夹或将其复制到可疑位置的规则。
电子邮件帐户被阻止发送电子邮件。
用户个人资料的可疑更改，包括多次密码更改以及姓名和联系方式的更改。
可疑的签名更改，这可能意味着该帐户被用来冒充高管或其他受信任的机构。

如果您的 Office 365 帐户之一遭到泄露，您应该怎么做？

重置相关密码

全局管理员需要登录 Microsoft 365 管理中心并重置所有相关密码。如果多个帐户看起来已被盗用，您可能需要进行全局重置。确保您拥有强大的密码策略，并尽可能使用多重身份验证。定期轮换密码也可能是明智之举，其中包括采用支持自动密码过期提醒的解决方案。

禁用电子邮件转发

全局管理员需要登录 Exchange Online 管理中心并禁用相关邮箱的电子邮件转发。为此，您可以转到收件人 > 邮箱，然后双击相关邮箱。然后，您可以单击邮箱功能 > 传送选项 > 查看详细信息并禁用该帐户的转发。或者，您可以通过 PowerShell 删除电子邮件转发。

检查可疑的收件箱规则

攻击者在从事涉及被盗电子邮件帐户的恶意活动时通常会试图掩盖自己的踪迹，这通常涉及设置删除新邮件的规则，从而使帐户的合法所有者更难发现其帐户是否已被盗。全局管理员可以在 Outlook 中的管理规则和警报部分中查看这些规则的列表，并删除任何看似可疑的规则。与往常一样，您可以通过 PowerShell 管理规则和警报。

启用多重身份验证

如前所述，除了确保拥有强大的密码策略之外，实施多重身份验证 (MFA) 也是一个好主意，这将提供额外的安全级别。 Office365 中的 MFA 是通过 Azure Active Directory 完成的，并提供多个选项供您选择。您可能会接到电话、短信或电子邮件，要求您确认身份。但是，建议的选项是使用 Microsoft Authenticator 应用程序，它将提示您批准或拒绝身份验证请求。单击此处了解有关在 Office365 中设置多重身份验证的更多信息。

启用邮箱审核

自 2019 年 1 月起，Office 365 中默认启用邮箱审核。但是，对于在此日期之前设置的帐户，情况可能并非如此。在这种情况下，您将需要使用 PowerShell 对所有邮箱帐户启用审核。有关使用 PowerShell 在 Office 365 中启用本机邮箱审核的详细信息。

值得一提的是，还有提供实时 Office 365 邮箱审核的第三方解决方案。采用第三方解决方案的众多好处之一是，它们可以聚合和关联来自多个平台（本地和“云端”）的事件数据，并通过直观的仪表板显示这些事件的摘要。他们还提供数据发现和分类工具、阈值警报、非活动用户帐户管理和自动密码过期提醒。大多数复杂的第三方解决方案使用机器学习算法进行高级异常检测，并可以向您的电子邮件地址或手机发送实时警报。

设置“阈值警报”

正如上面简要提到的，一些实时审核解决方案允许您检测并响应与预定义阈值条件匹配的事件 - 这种技术称为“阈值警报”。这对于识别某些异常非常有用，例如当用户多次尝试（但失败）登录其帐户时，或者在短时间内多次更改密码时。当满足阈值条件时，可以执行自定义脚本，该脚本可以禁用用户帐户、停止特定进程、更改邮箱设置，或者在某些情况下关闭受影响的服务器。

使用 Defender for Office 365（以前称为高级威胁防护）

Microsoft Defender for Office 365 是一项电子邮件过滤服务，有助于保护您的组织免受各种形式的恶意软件和病毒的侵害。它包含在 Office 365 企业版 E5 和 Microsoft 365 商业高级版计划中，并且可以添加到其他几个 Office 365 订阅计划中。 Defender 提供以下功能：

安全附件 - 检查收件箱中的所有电子邮件附件，以确保其不是恶意的。
安全链接 - 提供电子邮件和 Office 文档中网站地址的点击时间验证。
欺骗情报 - 允许您设置欺骗过滤器，以确定合法活动和恶意活动之间的区别。
反网络钓鱼 - 使用机器学习模型来识别潜在的网络钓鱼攻击。

结论

Defender 现在还提供实时警报、SIEM 集成、防止用户和域冒充等。请访问 Microsoft 网站，了解有关 Microsoft Defender for Office 365 最新功能的更多信息。或者，如果您想了解 Lepide 数据安全平台如何帮助您保护 Office 365 帐户安全，请与我们的其中一位合作伙伴安排演示工程师或立即开始免费试用。