如何调查销售账户中被错误批准的 OAuth 令牌

这发生在我的一次正常轮班中，当时我在一家使用 Google Workspace 和多个 SaaS 应用的小型公司负责运营安全：一名销售人员批准了一个未知的 OAuth 应用，因为它看起来像是一个日历扩展程序。让我认真调查的迹象是，虽然没有异常登录，但该应用请求的权限范围（scope）包括读取邮件和发送消息。我选择不即兴处理，因为快速修复可能会掩盖根本原因，并将问题留给下一个轮班的人。 我的处理流程是将数据与观点分开。首先，我检查了审计日志，搜索了客户端 ID（client id），比较了权限范围，撤销了令牌，并确认是否有新的转发规则。我还检查了证据，如 OAuth 权限范围、Google Workspace 审计日志、客户端 ID、令牌撤销情况以及 DLP（数据防泄漏）。我整理了截图、事件发生时间以及流程中断的确切点。 实际的解决方案是：我阻止了未经验证的应用，保留了一份批准列表，并为销…