Como monitorizar tu tenant de Office365, registros de Exchange, sharepoint

Monitorización Avanzada de Office 365 con Wazuh: Detección de Amenazas en Tiempo Real

La migración a la nube con Office 365 ha traído flexibilidad, pero también nuevos vectores de ataque. Sin una monitorización centralizada, eventos críticos como accesos anómalos desde el extranjero, intentos de inicio de sesión masivos o borrado de ficheros en SharePoint pasan desapercibidos. La solución es integrar los logs de Office 365, Exchange y SharePoint en Wazuh, transformando datos dispersos en alertas accionables contra phishing, compromisos de cuenta y pérdida de datos.

Caso de uso empresarial: Detección de una campaña de phishing dirigida

Una empresa con sede en España notó actividad extraña en su SharePoint. Tras investigar con Wazuh, descubrieron que una cuenta de usuario había sido comprometida mediante un correo de phishing. El atacante, desde una IP en un país sin operaciones, accedió a la cuenta y eliminó en masa documentos críticos de una biblioteca de SharePoint. Gracias a las reglas personalizadas, el SOC recibió una alerta en minutos, pudiendo revocar el acceso, revertir la eliminación y contener la amenaza antes de que se propagara.

Requisitos previos

• Tenant de Office 365 con permisos de administrador global o de seguridad.
• Wazuh Manager (versión 4.3 o superior) instalado y operativo.
• Acceso a Azure Active Directory para crear una aplicación de registro.
• Agente Wazuh instalado en un servidor con conectividad a la API de Microsoft Graph.

Instalación paso a paso: Configurar la integración de Office 365

El primer paso es registrar una aplicación en Azure AD para que Wazuh obtenga permisos de lectura de logs. Luego, se configura el módulo de Office 365 en el Wazuh Manager.

# 1. En el servidor del Wazuh Manager, edita el archivo de configuración del módulo
sudo nano /var/ossec/etc/office365.conf

# 2. Inserta la configuración básica con tus credenciales
<office365>
  "app_id": "TU_ID_DE_APLICACION",
  "app_secret": "TU_SECRETO",
  "tenant_domain": "tudominio.onmicrosoft.com"
</office365>

Luego, habilita y reinicia el módulo integrador en el manager.

sudo systemctl restart wazuh-integratord

Ejemplo práctico: Crear reglas para los escenarios clave

Con los logs fluyendo, se crean reglas personalizadas en Wazuh. Por ejemplo, para detectar accesos desde fuera del país, se analiza el campo 'location' de los logs de inicio de sesión. Para la eliminación en masa en SharePoint, se monitoriza la operación 'FileDeleted'.

<!-- Ejemplo de regla para detectar accesos desde una lista de países no permitidos -->
<group name="office365,attack,">
  <rule id="100100" level="10">
    <if_sid>87000</if_sid>
    <field name="office365.UserId">.+</field>
    <field name="office365.location.country" negate="yes">ES|PT|FR|DE</field>
    <description>Acceso a Office 365 desde ubicación no habitual: $(office365.location.country)</description>
  </rule>
  <!-- Regla para muchos intentos de inicio de sesión fallidos -->
  <rule id="100101" level="12" frequency="10" timeframe="300">
    <if_matched_sid>100100</if_matched_sid>
    <same_field>office365.UserId</same_field>
    <description>Multiples intentos de acceso anomalo para la cuenta: $(office365.UserId)</description>
  </rule>
</group>

Estas reglas generarán alertas en el dashboard de Wazuh, permitiendo una investigación rápida y una respuesta inmediata.

Conclusión

La monitorización proactiva de Office 365 con Wazuh ya no es un lujo, es una necesidad de ciberseguridad. Centralizar los logs de Exchange, SharePoint y actividad general te permite detectar patrones de ataque como phishing, intentos de inicio de sesión bruteforce y fugas o eliminación de datos. Transforma la ingente cantidad de datos de tu tenant en inteligencia accionable, fortaleciendo tu postura de seguridad en la nube. ¿Necesitas ayuda para implementar esta solución en tu organización? Solicita una consulta gratuita con nuestros expertos.