الغرض

تعزيز أمان Microsoft 365 من خلال تأليف سكريبت PowerShell يعمل على أتمتة التقييم الأمني لبيئات Microsoft 365.

Soteria Inspect

ولد Soteria Inspect من مشروع 365Inspect وهو حل SaaS من Soteria للمساعدة في تقييم أمان مستأجر Microsoft 365 مع أكثر من 200 نقطة تفتيش عبر مجموعة كاملة من خدمات Microsoft 365.

يسمح Soteria Inspect for Microsoft 365 للعملاء بتتبع التغييرات على الكائنات المتأثرة لكل نتيجة مع مرور الوقت بالإضافة إلى جهود المعالجة، ويتضمن الآن تعدد المستأجرين لمزودي الخدمات المُدارة (MSP) والمنظمات الأم لمراقبة حالة مستأجريهم الفرعيين.

يتوفر Soteria Inspect for Microsoft 365 مباشرة من خلال Soteria أو من خلال Azure Marketplace

اطلع على جميع عروض Soteria Inspect for Microsoft 365

الإعداد

يتطلب 365Inspect Community Edition وحدات PowerShell الإدارية لإدارة Exchange و Microsoft Graph و Microsoft Teams ووحدة إدارة SharePoint.

يعمل 365Inspect الآن مع PowerShell Core (6+) ويتطلب نظام تشغيل Microsoft Windows بسبب تبعيات الوحدات المطلوبة.

سيتحقق سكريبت PowerShell 365Inspect.ps1 من الوحدات المثبتة والحد الأدنى لإصدار الوحدات اللازمة لعمل المفتشين.

إذا لم تكن هذه الوحدات مثبتة، سيُطلب منك تثبيتها، وبموافقتك، سيحاول السكريبت تثبيتها. وإلا، يمكنك تثبيتها باستخدام الأوامر التالية في موجه PowerShell إداري، أو باتباع التعليمات في المراجع أدناه:

Install-Module -Name ExchangeOnlineManagement -AllowClobber -Force

Install-Module -Name PnP.PowerShell -AllowClobber -Force

Install-Module -Name Microsoft.Graph -AllowClobber -Force

Install-Module -Name MicrosoftTeams -AllowClobber -Force

تثبيت Exchange Online PowerShell

تثبيت وحدة SharePoint PnP PowerShell

تثبيت Microsoft Graph SDK

تثبيت Microsoft Teams

بمجرد تثبيت ما سبق، قم بتنزيل مجلد الكود المصدري لـ 365Inspect من Github باستخدام متصفحك أو باستخدام git clone.

__تذكر اسم التطبيق أو معرف العميل/التطبيق (Application/Client ID) الذي تم إنشاؤه. هذا مطلوب الآن للمصادقة وسيُطلب منك إدخال معرف التطبيق (AppID)!__

# توافق الوحدات

حاليًا، إصدارات الوحدات Microsoft.Graph وMicrosoft.Graph.Beta 2.23.0 غير متوافقة مع ExchangeOnlineManagement الإصدار 3.5.1.
الإصدارات التالية متوافقة:
- Microsoft.Graph الإصدار 2.21.1
- Microsoft.Graph.Beta الإصدار 2.21.1
- ExchangeOnlineManagement الإصدار 3.5.0

يمكن استخدام الأوامر التالية لتثبيت الإصدارات المتوافقة:```powershell
Install-Module -Name Microsoft.Graph -Scope CurrentUser -RequiredVersion 2.21.1 -AllowClobber -Force
Install-Module -Name Microsoft.Graph.Beta -Scope CurrentUser -RequiredVersion 2.21.1 -AllowClobber -Force
Install-Module -Name ExchangeOnlineManagement -Scope CurrentUser -RequiredVersion 3.5.0 -AllowClobber -Force

نظرًا لأنك ستقوم بتشغيل 365Inspect بصلاحيات إدارية، يجب وضعه في موقع منطقي والتأكد من أن محتويات المجلد قابلة للقراءة والكتابة فقط من قبل المستخدم الإداري. هذا مهم بشكل خاص إذا كنت تنوي تثبيت 365Inspect في موقع حيث سيتم تنفيذه بشكل متكرر أو استخدامه كجزء من عملية آلية. ملاحظة: لا يحتاج 365Inspect إلى التشغيل في نافذة PowerShell إدارية ليعمل.

الاستخدام

لتشغيل 365Inspect، افتح وحدة تحكم PowerShell وانتقل إلى المجلد الذي قمت بتنزيل 365Inspect فيه:

cd 365Inspect

ستتفاعل مع 365Inspect عن طريق تنفيذ ملف البرنامج النصي الرئيسي، 365Inspect.ps1، من داخل موجه أوامر PowerShell.

كل ما يتطلبه 365Inspect لفحص مستأجر M365 الخاص بك هو الوصول عبر حساب M365 بصلاحيات مناسبة، لذا فإن معظم معاملات سطر الأوامر تتعلق بالمؤسسة التي يتم تقييمها وطريقة المصادقة.

يبدو تنفيذ 365Inspect كما يلي:

.\365Inspect.ps1 -OutPath <value> -UserPrincipalName [email protected] -Auth <MFA|DEVICE|ALREADY_AUTHED|APP> -pnpPowerShellApplicationId <Your Pnp PowerShell Application/Client ID>

    .\365Inspect.ps1 -OutPath ..\365_report -UserPrincipalName [email protected] -Auth MFA

    .\365Inspect.ps1 -OutPath ..\365_report -UserPrincipalName [email protected] -Auth MFA -Environment USGovGCCHigh

    .\365Inspect.ps1 -OutPath ..\365_report -UserPrincipalName [email protected] -Auth APP

أثناء تنفيذ 365Inspect، سيقوم بطباعة تحديثات الحالة بشكل مطرد تشير إلى مهمة التفتيش التي تعمل حاليًا.

قد يستغرق 365Inspect بعض الوقت للتنفيذ. هذا الوقت يتناسب مع حجم وتعقيد البيئة قيد الاختبار. على سبيل المثال، تتضمن بعض مهام التفتيش مسح تكوين الحساب لجميع المستخدمين. قد يحدث هذا على الفور تقريبًا لمؤسسة تضم 50 مستخدمًا، أو قد يستغرق دقائق كاملة (!) لمؤسسة تضم 10000.

الإخراج

يقوم 365Inspect بإنشاء الدليل المحدد في معامل out_path. هذا الدليل هو نتيجة فحص 365Inspect بالكامل. يحتوي على أربعة عناصر مهمة:

• Report.html: تقرير رسومي يصف مشكلات أمان M365 التي تم تحديدها بواسطة 365Inspect، ويسرد كائنات M365 التي تم تكوينها بشكل خاطئ، ويقدم نصائح العلاج.
• ملفات نصية متنوعة باسم [Inspector-Name]: هذه هي الإخراج الخام من وحدات المفتش وتحتوي على قائمة (عنصر واحد لكل سطر) من كائنات M365 التي تم تكوينها بشكل خاطئ والتي تحتوي على الثغرة الأمنية الموصوفة. على سبيل المثال، إذا اكتشفت وحدة Inspect-FictionalMFASettings جميع المستخدمين الذين لم يقوموا بإعداد MFA، فإن ملف "Inspect-FictionalMFASettings" في تقرير ZIP سيحتوي على مستخدم واحد لكل سطر ليس لديه MFA. يتم تفريغ هذه المعلومات إلى ملف فقط في الحالات التي يتم فيها اكتشاف أكثر من 15 كائنًا متأثرًا. إذا تم اكتشاف أقل من 15 كائنًا متأثرًا، يتم سرد الكائنات مباشرة في نص تقرير HTML الرئيسي.
• Report.zip: نسخة مضغوطة من هذا الدليل بالكامل، لتوزيع النتائج بشكل ملائم في الحالات التي أنشأت فيها بعض وحدات المفتش كمية كبيرة من النتائج.
• دليل السجل: يسجل 365Inspect أي أخطاء تمت مواجهتها أثناء تنفيذ البرامج النصية في ملف سجل مختوم بالوقت موجود في دليل السجل

إخراج CSV

نظرًا لطبيعة بعض العناصر التي تم إرجاعها، فإن تقرير csv محدد بحرف الكارات (^). يوصى بفتح تقرير CSV في محرر نصوص بدلاً من Excel، حيث أن Excel يقوم افتراضيًا بتحديد الفاصلة (،) كمحدد وسيعرض التقرير بشكل غير صحيح. بمجرد فتحه في محرر نصوص، يمكن لصق البيانات في Excel.

قريبًا!

• أخبرنا!

سجل التغييرات

• تمت إضافة دعم لمتطلبات الأدوار المخفضة لمصادقة التطبيق - يمكن الآن تعيين دور القارئ العام (Global Reader) لمبادئ الخدمة على حساب تنفيذ بعض المفتشين.
• تم تقليل نطاق أذونات التطبيق - تم استبدال DelegatedPermissionGrant.ReadWrite.All بـ DelegatedPermissionGrant.Read.All، وهو إذن API لم يكن متاحًا سابقًا.

الصلاحيات اللازمة

لا يمكن لـ 365Inspect العمل بشكل صحيح ما لم يكن لحساب M365 الذي تقوم بالمصادقة به صلاحيات مناسبة. يتطلب 365Inspect، على الأقل، ما يلي:

• المسؤول العام (Global Administrator)
• مسؤول SharePoint

نحن ندرك أن هذه أدوار متساهلة للغاية، ولكن للأسف بسبب استخدام Microsoft Graph، فإننا مقيدون باستخدام صلاحيات أقل من قبل Microsoft. أدوار مسؤول التطبيق والمسؤول السحابي للتطبيق (المستخدمة لمنح أذونات مفوضة وأذونات التطبيق) مقيدة من منح أذونات لوحدات PowerShell الخاصة بـ Microsoft Graph أو Azure AD. وثائق Microsoft - مسؤول التطبيق

إذا تم تنفيذ 365Inspect باستخدام معامل مصادقة التطبيق، يجب منح أدوار إضافية للسماح للتطبيق بأداء جميع المهام المنفذة. راجع متطلبات مصادقة التطبيق

متطلبات مصادقة التطبيق

قبل أن يتم استخدام 365Inspect، يجب أن تكون جميع المكونات الأخرى المطلوبة في مكانها.

راجع المراجع التالية:

• برنامج تعليمي: تسجيل تطبيق مع Microsoft Entra ID
• مصادقة التطبيق فقط للبرامج النصية غير المراقبة في Exchange Online PowerShell و Security & Compliance PowerShell
• كائنات التطبيق ومبدأ الخدمة في Microsoft Entra ID

الأذونات المطلوبة

تطوير وحدات المفتش

تم تصميم 365Inspect ليكون سهل التوسع، على أمل أن يمكن الأفراد والمؤسسات إما من استخدام وحدات 365Inspect الخاصة بهم داخليًا، أو نشر تلك الوحدات لمجتمع M365.

يتم تخزين جميع وحدات المفتش الخاصة بـ 365Inspect في مجلد .\inspectors.

من السهل إنشاء وحدة مفتش. المفتشون لديهم ملفان:

• ModuleName.ps1: كود مصدر PowerShell لوحدة المفتش. يجب أن يعيد قائمة بجميع كائنات M365 المتأثرة بمشكلة معينة، ممثلة كسلاسل نصية.
• ModuleName.json: بيانات وصفية حول المفتش نفسه. على سبيل المثال، اسم النتيجة، الوصف، معلومات العلاج، والمراجع.

يتم تضمين القوالب في مجلد Templates. ما عليك سوى إضافة الكود والقيم الخاصة بك في المواقع المعنية. يجب أن تكون أسماء ملفات PowerShell و JSON متطابقة حتى يتعرف 365Inspect على أن الاثنين ينتميان معًا. هناك أمثلة عديدة في مجموعة الوحدات المدمجة في 365Inspect، لكننا سنضع مثالًا هنا أيضًا.

# If some of the parsed M365 objects were found to have the security flaw this module is inspecting for,
# return a list of strings representing those objects. This is what will end up as the "Affected Objects"
# field in the report.
If ($safe_attachment_bypass_rules.Count -ne 0) {
	return $safe_attachment_bypass_rules
}

# If none of the parsed M365 objects were found to have the security flaw this module is inspecting for,
# returning $null indicates to 365Inspect that there were no findings for this module.
return $null

</details>

<details>
<summary>ملف .json مثال، BypassingSafeAttachments.json:</summary>```json
{
    "FindingName": "Do Not Bypass the Safe Attachments Filter",
    "Description": "In Exchange, it is possible to create mail transport rules that bypass the Safe Attachments detection capability. The rules listed above bypass the Safe Attachments capability. Consider reviewing these rules, as bypassing the Safe Attachments capability even for a subset of senders could be considered insecure depending on the context or may be an indicator of compromise.",
    "Remediation": "Navigate to the Mail Flow &rarr; Rules screen in the Exchange Admin Center. Look for the offending rules and begin the process of assessing who created them and whether they are necessary to the continued function of the organization. If they are not, remove the rules.",
    "DefaultValue": "None",
    "ExpectedValue": "None",
    "Impact": "Critical",
    "AffectedObjects": "",
    "Service": "Exchange",  // Valid values are Exchange, SharePoint, Teams, Intune, AzureAD, SecurityandCompliance, Tenant //
    "PowerShell": "", // Any PowerShell remediation command examples should be placed here //
    "References": [
        {
            "Url": "https://docs.microsoft.com/en-us/exchange/security-and-compliance/mail-flow-rules/manage-mail-flow-rules",
            "Text": "Manage Mail Flow Rules in Exchange Online"
        },
        {
            "Url": "https://www.undocumented-features.com/2018/05/10/atp-safe-attachments-safe-links-and-anti-phishing-policies-or-all-the-policies-you-can-shake-a-stick-at/#Bypass_Safe_Attachments_Processing",
            "Text": "Undocumented Features: Safe Attachments, Safe Links, and Anti-Phishing Policies"
        }
    ]
}

بمجرد وضع هذين الملفين في مجلد .\inspectors، يعتبران جزءًا من مخزون وحدات 365Inspect وسيتم تشغيلهما في المرة التالية التي تقوم فيها بتنفيذ 365Inspect.

لقد قمت للتو بإنشاء وحدة BypassingSafeAttachments Inspector. هذا كل شيء!

سيقوم 365Inspect بإلقاء خطأ عالٍ وقبيح إذا كان هناك شيء في وحدتك لا يعمل أو لا يتبع اتفاقيات 365Inspect، لذا راقب مخرجات سطر الأوامر.

المساهمة

نشجع على المشاركة المجتمعية والمساهمات! يرجى الاطلاع على إرشادات المساهمة

حول الأمان

365Inspect هو إطار برمجي لتشغيل وحدات برنامج inspector الأخرى المخزنة في مجلد .\inspectors. كما هو الحال مع أي برنامج آخر قد تقوم بتشغيله بامتيازات مرتفعة، يجب عليك اتباع ممارسات معينة للنظافة الأمنية:

• لا ينبغي لأي مستخدم غير موثوق أن يكون لديه صلاحية الكتابة إلى مجلد/ملفات 365Inspect، حيث يمكن لذلك المستخدم بعد ذلك استبدال البرامج النصية أو القوالب الموجودة فيه وحثك على تشغيل تعليمات برمجية ضارة.
• لا ينبغي وضع أي وحدة برنامج نصي في .\inspectors ما لم تكن تثق في مصدر تلك الوحدة.

حول Soteria

تقدم Soteria مجموعة واسعة من حلول الأمان والاستشارات بما في ذلك الاستجابة للحوادث، الكشف والاستجابة المدارة، تقييمات الأمان، اختبار الاختراق، والمزيد. اتصل بنا لجميع احتياجاتك!