البدء مع Microsoft-Extractor-Suite

للبدء مع Microsoft-Extractor-Suite، اطّلع على وثائق Microsoft-Extractor-Suite.

حول Microsoft-Extractor-Suite

Microsoft-Extractor-Suite هي أداة Powershell كاملة الميزات، تتم صيانتها بنشاط، ومصممة لتبسيط عملية جمع جميع البيانات والمعلومات الضرورية من مصادر متعددة داخل Microsoft.

مصادر بيانات Microsoft التالية مدعومة:

• Unified Audit Log
• Admin Audit Log
• Mailbox Audit Log
• Mailbox Rules
• Transport Rules
• Message Trace Logs
• Entra ID Sign-In Logs
• Entra ID Audit Logs
• Azure Activity Logs
• Azure Directory Activity Logs

بالإضافة إلى مصادر السجلات المذكورة أعلاه، تستطيع الأداة أيضًا استرداد معلومات أخرى ذات صلة:

• تطبيقات OAuth المسجلة في Entra ID
• حالة MFA لجميع المستخدمين
• تاريخ ووقت إنشاء آخر تغيير لكلمة المرور لجميع المستخدمين
• المستخدمون ذوو المخاطر
• الاكتشافات الخطرة
• سياسات الوصول المشروط
• أدوار مسؤول الدليل والمستخدمون التابعون لها
• بريد إلكتروني محدد أو قائمة بريد إلكتروني أو مرفق
• الأذونات المفوضة لجميع صناديق البريد في Microsoft 365
• معلومات حول جميع الأجهزة المسجلة في Entra ID
• حالة وإعدادات التدقيق لجميع صناديق البريد في Microsoft 365
• وظائف مصممة لجمع المعلومات حول المجموعات
• وظائف مصممة لجمع المعلومات حول التراخيص
• استرداد معلومات نشاط الدور
• إنشاء نظرة عامة على جميع تعيينات أدوار Privileged Identity Management (PIM)
• تنبيهات الأمان
• توصيات Microsoft Secure Score وحالة التحكم

تم إنشاء Microsoft-Extractor-Suite بواسطة Joey Rentenaar و Korstiaan Stam ويتم صيانتها بواسطة فريق Invictus IR.

الاستخدام

للبدء مع أداة Microsoft-Extractor-Suite، تأكد من استيفاء المتطلبات. إذا لم يكن لديك Connect-ExchangeOnline أو وحدة AZ أو connect-mggraph مثبتة، راجع دليل التثبيت.

قم بتثبيت مجموعة أدوات Microsoft-Extractor-Suite:

Install-Module -Name Microsoft-Extractor-Suite

لاستيراد Microsoft-Extractor-Suite:

Import-Module .\Microsoft-Extractor-Suite.psd1

يجب عليك تسجيل الدخول إلى Microsoft 365 أو Azure حسب حالة الاستخدام قبل تشغيل الوظائف. لتسجيل الدخول، استخدم أحد الأوامر التالية:

Connect-M365 or connect-exchangeonline

connect-mggraph

Connect-AzureAZ or Connect-AzAccount

الوظائف المتاحة

سجل التدقيق الموحد

• Get-UAL - جمع جميع سجلات التدقيق الموحدة
• Get-MailboxAuditLog - جمع سجلات تدقيق صندوق البريد
• Get-AdminAuditLog - جمع سجلات تدقيق المسؤول

قواعد صندوق البريد والنقل

• Show-MailboxRules - عرض قواعد صندوق البريد
• Get-MailboxRules - تصدير قواعد صندوق البريد
• Get-MailboxRulesGraph - تصدير قواعد صندوق البريد عبر Graph API
• Get-TransportRules - تصدير قواعد النقل
• Show-TransportRules - عرض قواعد النقل

تتبع البريد والرسائل

• Get-MessageTraceLog - جمع سجلات تتبع الرسائل
• Get-Email - تنزيل رسائل بريد إلكتروني محددة أو جماعية
• Show-Email - عرض محتوى البريد الإلكتروني
• Get-Attachment - تنزيل مرفقات البريد الإلكتروني
• Get-Sessions - جمع معلومات الجلسة المتعلقة بأحداث MailItemsaccessed
• Get-MessageIDs - استخراج معرفات الرسائل من أحداث MailItemsaccessed

تسجيل الدخول وسجلات التدقيق

• Get-GraphEntraSignInLogs - جمع سجلات تسجيل الدخول
• Get-GraphEntraAuditLogs - جمع سجلات التدقيق

سجلات النشاط

• Get-ActivityLogs - جمع سجلات النشاط
• Get-DirectoryActivityLogs - جمع سجلات نشاط الدليل

تطبيقات OAuth

• Get-OAuthPermissionsGraph - جمع أذونات تطبيقات OAuth عبر Graph API

متعلق بالمستخدم

• Get-Users - جمع معلومات المستخدم
• Get-AdminUsers - جمع المستخدمين ذوي الامتيازات الإدارية
• Get-MFA - جمع حالة MFA للمستخدمين
• Get-RiskyUsers - جمع المستخدمين ذوي المخاطر
• Get-RiskyDetections - جمع أحداث الكشف الخطرة

سياسات الوصول المشروط

• Get-ConditionalAccessPolicies - جمع سياسات الوصول المشروط

إدارة الأجهزة

• Get-Devices - جمع معلومات تسجيل الأجهزة

الأذونات وإعدادات التدقيق

• Get-MailboxAuditStatus - جمع تكوينات تدقيق صندوق البريد
• Get-MailboxPermissions - جمع أذونات صندوق البريد المفوضة

إدارة التراخيص

• Get-Licenses - جمع جميع التراخيص في المستأجر مع أوقات الاحتفاظ ومؤشرات الترخيص المميزة
• Get-LicenseCompatibility - التحقق من وجود تراخيص E5 و P2 و P1 و E3 والإبلاغ عن قيود الوظائف
• Get-EntraSecurityDefaults - التحقق من حالة الإعدادات الافتراضية للأمان في Entra ID
• Get-LicensesByUser - جمع تعيينات التراخيص لجميع المستخدمين في المستأجر

إدارة المجموعات

• Get-Groups - جمع جميع المجموعات في المؤسسة بما في ذلك التفاصيل مثل معرف المجموعة واسم العرض
• Get-GroupMembers - جمع جميع أعضاء كل مجموعة وتفاصيلهم ذات الصلة
• Get-DynamicGroups - جمع جميع المجموعات الديناميكية وقواعد عضويتها

إدارة الأدوار

• Get-PIMAssignments - إنشاء تقرير عن جميع تعيينات أدوار Privileged Identity Management (PIM) في Entra ID.
• Get-AllRoleActivity - استرداد جميع عضويات أدوار الدليل مع معلومات آخر تسجيل دخول للمستخدمين.

إدارة الأمان

• Get-SecurityAlerts - استرداد تنبيهات الأمان
• Get-SecureScore - استرداد توصيات Microsoft Secure Score والحالة الحالية

جمع كل ما تريد تلقائيًا

• Get-AllEvidence - جمع جميع (تقريبًا) أنواع الأدلة المتاحة تلقائيًا
• Start-MESTriage - إجراء فحص سريع لمستخدمين محددين باستخدام قوالب قابلة للتخصيص

المصادقة وإدارة الجلسات

• Connect-M365 - الاتصال بخدمات Microsoft 365
• Connect-AzureAZ - الاتصال باستخدام وحدة Az
• Disconnect-M365 - قطع الاتصال بخدمات Microsoft 365
• Disconnect-AzureAZ - قطع الاتصال بجلسة وحدة Az

المشاريع ذات الصلة

لتعزيز تحليلك، فكر في استكشاف Microsoft-Analyzer-Suite الذي طورته LETHAL FORENSICS. تقدم هذه المجموعة مجموعة من نصوص PowerShell المصممة خصيصًا لتحليل بيانات Microsoft 365 و Microsoft Entra ID، والتي يمكن استخراجها باستخدام Microsoft-Extractor-Suite.