bert-janp/entratraceDefensives Recherche-Tool, das beobachtbare API-Endpunkte und User-Agents von Offensiv-Tooling dokumentiert, das auf Microsoft Entra ID abzielt, und Detection Engineering sowie Incident Response unterstützt.
EntraTrace ist ein defensives Sicherheitsforschungswerkzeug zur Dokumentation und Identifizierung des beobachtbaren Verhaltens von Offensiv-Tooling, das auf Microsoft Entra ID abzielt.
Das Projekt baut eine automatische Wissensdatenbank rund um Tools wie AzureHound, AADInternals, O365Enum, PingCastle und andere auf, mit Fokus auf die UserAgent- und API-Artefakte, die sie erzeugen.
🚧 In Entwicklung
Das Projekt wird aktiv weiterentwickelt. Daten, Tooling-Abdeckung und Funktionalität werden sich im Laufe der Zeit weiterentwickeln.
Beiträge, Recherchen, Korrekturen und zusätzliche Tool-Analysen sind willkommen.
EntraTrace konzentriert sich auf Informationen, die für Verteidiger nützlich sein können, darunter:
Das Ziel ist es, das Verhalten von Offensiv-Tooling für Verteidigungsteams leichter verständlich zu machen und in umsetzbare Informationen zu verwandeln.
| Tool | Eindeutige APIs | Eindeutige API-Aufrufe | UserAgents |
|---|---|---|---|
| aadinternals | 4 | 110 | 18 |
| AzureHound | 2 | 28 | 0 |
| Graphpython | 3 | 119 | 17 |
| GraphRunner | 4 | 67 | 21 |
| GraphSpy | 2 | 38 | 2 |
| MFASweep | 4 | 17 | 11 |
| MicroBurst | 3 | 78 | 0 |
| MSOLSpray | 1 | 1 | 0 |
| o365enum | 1 | 1 | 2 |
| o365spray | 1 | 1 | 2 |
| pingcastle | 3 | 14 | 1 |
| PowerZure | 3 | 29 | 0 |
| ROADtools | 4 | 434 | 7 |
| ropci | 3 | 15 | 0 |
| Stormspotter | 3 | 4 | 0 |
| TeamFiltration | 3 | 62 | 2 |
| TokenSmith | 2 | 8 | 0 |
| TokenTactics | 4 | 8 | 16 |
| TokenTacticsV2 | 4 | 30 | 23 |
Offensive Sicherheitswerkzeuge werden häufig eingesetzt, um Identitätsumgebungen zu bewerten und anzugreifen. Zu verstehen, wie diese Tools mit Entra ID interagieren, kann Verteidigern helfen, ihre Nutzung zu erkennen, verdächtige Aktivitäten zu untersuchen und die Detection-Abdeckung zu verbessern.
EntraTrace zielt darauf ab, die Lücke zwischen Offensiv-Tooling-Forschung und defensiven Sicherheitsoperationen zu schließen.
EntraTrace kann verwendet werden, um:
Die folgenden KQL-Hunting-Abfragen können verwendet werden, um IOC-Sweeping auf Ihren Protokolldaten durchzuführen:
Das Repository wird täglich aktualisiert, aber eine lokale Bereitstellung wird unterstützt. Um es lokal vom Repository-Stamm mit Python auszuführen. Verwenden Sie die integrierte Hilfeausgabe, um die verfügbaren Optionen zu bestätigen, bevor Sie sie ausführen.
⚠️ - Das lokale Ausführen des Skripts kann zu Sicherheitswarnungen führen, da Repositories mit Offensive-Tools lokal heruntergeladen werden, um die zur Erstellung eines Profils benötigten Informationen zu extrahieren.
# Extract API behavior from a repo or refresh all profile entries
python .\Scripts\ExtractToolBehavior.py --all-profiles --output-dir .\Profiles
# Export tool user agents from YAML profiles into a CSV
python .\Scripts\SummarizeUserAgents.py --profiles-dir .\Profiles --output .\Indicator Lists\UserAgents.csv
SummarizeUserAgents.py exportiert User-Agent-Daten aus Profil-YAML-Dateien in eine Hunting-CSV.ExtractToolBehavior.py liest Repository-URLs aus Profiles\Tools.txt, sofern vorhanden, und greift andernfalls auf jede repository_url zurück, die in den YAML-Profildateien im Ausgabeverzeichnis gefunden wird.-h oder --help aus, um den vollständigen Parametersatz und das Verhalten anzuzeigen.🤖 EntraTrace wird mit Unterstützung von KI entwickelt. KI wird während des gesamten Entwicklungs- und Forschungsprozesses eingesetzt, wobei die resultierenden Arbeiten durch menschliche Prüfung und Validierung begleitet werden.
Informationen zur Lizenzierung finden Sie in LICENSE.