リサーチ:

https://redcanary.com/blog/email-forwarding-rules/

概要:

攻撃者は機密データを持ち出したり、被害者のメールアカウントへのアクセスを失った場合の保険として、ユーザーの受信トレイに転送ルールを設定します。

対策の詳細:

Overeは2箇所で転送/トランスポートルールの存在を監視します

テナントで実行できる Assess 'Deep Scan' の一環として こちら

悪意のある可能性のある転送ルールが追加された際に、リアルタイムのアラートアクティビティ ' External Email Forwarding Enabled' として

‍

MSFTで手動レポートを実行することもできます:

転送レポートの確認

1. 移動先: https://admin.exchange.microsoft.com
2. Reports > Mail Flow をクリック
3. Auto forwarded message report をクリック
4. 不審なメール受信者がいないか、すべての転送ルールを確認

‍

‍