¿Alguien ha implementado la ingesta de los registros de auditoría de Mimecast en Graylog?

¿Hay algún consejo que estarías dispuesto a compartir? Estamos buscando crear una alerta/regla en Graylog a partir de los registros de auditoría de salida de Mimecast ingeridos para detectar cuando un usuario envía más de 100 correos electrónicos en un período de 15 minutos. Esto generalmente indicaría una cuenta comprometida que está enviando spam a otros usuarios.