如何主动检测受感染的Exchange 2010帐户？

这通常是使用集中式日志解决scheme更好地解决的问题。 这样，您就可以在不影响邮件服务的情况下将检测和智能排除在外。 它们的实现方式与日志logging解决scheme的差异很大，但是任何现代日志收集器都应该允许警报。 我见过的最成功的方法是：

• 在Y小时内从X个国家login。 您用于X和Y的值可能会有所不同，但一些常识将占上风。 例如，4个小时内有2个国家可能对美国中部的一个组织来说是相当安全的，但对于欧洲边界附近的一家公司可能会更加嘈杂。
• 在Y分钟内从X IP地址login。 大多数人现在将有2-4个设备configuration了电子邮件; 桌面，手提电脑，手机，平板电脑。 多一些，less一些。 这两个值将在很大程度上取决于您的用户群。 一个好的起点可能是3个设备和10分钟。
• 从1个IP地址loginX个用户。 在这里使用1比1通常是相当不错的。 请记住，如果您将共享邮箱configuration为单独的帐户并将其configuration为单独的用户， 则会触发此操作。 如果你有一个VPN或代理，你也会经常看到这个标志。 所以准备好白名单系统。

请记住，防止恶意用户访问被盗用帐户的最佳方式是首先不允许访问您的邮件系统。 如果您可以限制您的组织使用OWA或EWS，那么从一开始就可以使用VPN来实现外部工作。