Erste Schritte mit dem Microsoft-Extractor-Suite

Um mit dem Microsoft-Extractor-Suite zu beginnen, schauen Sie sich die Microsoft-Extractor-Suite-Dokumentation. an.

Über das Microsoft-Extractor-Suite

Microsoft-Extractor-Suite ist ein voll ausgestattetes, aktiv gewartetes Powershell-Tool, das entwickelt wurde, um den Prozess der Erfassung aller erforderlichen Daten und Informationen aus verschiedenen Quellen innerhalb von Microsoft zu optimieren.

Die folgenden Microsoft-Datenquellen werden unterstützt:

• Unified Audit Log
• Admin Audit Log
• Mailbox Audit Log
• Mailbox Rules
• Transport Rules
• Message Trace Logs
• Entra ID Sign-In Logs
• Entra ID Audit Logs
• Azure Activity Logs
• Azure Directory Activity Logs

Zusätzlich zu den oben genannten Logquellen ist das Tool auch in der Lage, andere relevante Informationen abzurufen:

• Registered OAuth applications in Entra ID
• The MFA status for all users
• The creation time and date of the last password change for all users
• The risky users
• The risky detections
• The conditional access policies
• Administrator directory roles and their users
• A specific or list of e-mail(s) or attachment(s)
• Delegated permissions for all mailboxes in Microsoft 365
• Information about all devices registered in Entra ID
• Audit status and settings for all mailboxes in Microsoft 365
• Functions designed to gather information about groups
• Functions designed to gather information about licenses
• Retrieve Role Activity Information
• Generates an overview of all Privileged Identity Management (PIM) role assignments
• Security alerts
• Microsoft Secure Score recommendations and control status

Microsoft-Extractor-Suite wurde von Joey Rentenaar und Korstiaan Stam erstellt und wird vom Invictus IR-Team gewartet.

Verwendung

Um mit dem Microsoft-Extractor-Suite-Tool zu beginnen, stellen Sie sicher, dass die Voraussetzungen erfüllt sind. Wenn Sie Connect-ExchangeOnline, das AZ-Modul oder/und connect-mggraph nicht installiert haben, sehen Sie sich die Installationsanleitung an.

Installieren Sie das Microsoft-Extractor-Suite-Toolkit:

Install-Module -Name Microsoft-Extractor-Suite

Um das Microsoft-Extractor-Suite zu importieren:

Import-Module .\Microsoft-Extractor-Suite.psd1

Sie müssen sich je nach Anwendungsfall bei Microsoft 365 oder Azure anmelden, bevor Sie die Funktionen ausführen. Verwenden Sie zum Anmelden einen der Cmdlets:

Connect-M365 or connect-exchangeonline

connect-mggraph

Connect-AzureAZ or Connect-AzAccount

Verfügbare Funktionen

Unified Audit Log

• Get-UAL - Sammelt alle Unified Audit Logs
• Get-MailboxAuditLog - Sammelt Mailbox Audit Logs
• Get-AdminAuditLog - Sammelt Admin Audit Logs

Mailbox- & Transportregeln

• Show-MailboxRules - Zeigt Postfachregeln an
• Get-MailboxRules - Exportiert Postfachregeln
• Get-MailboxRulesGraph - Exportiert Postfachregeln über die Graph-API
• Get-TransportRules - Exportiert Transportregeln
• Show-TransportRules - Zeigt Transportregeln an

E-Mail- und Nachrichtenverfolgung

• Get-MessageTraceLog - Sammelt Nachrichtenverfolgungsprotokolle
• Get-Email - Lädt einzelne oder mehrere E-Mails herunter
• Show-Email - Zeigt E-Mail-Inhalte an
• Get-Attachment - Lädt E-Mail-Anhänge herunter
• Get-Sessions - Sammelt Sitzungsinformationen zu MailItemsaccessed-Ereignissen
• Get-MessageIDs - Extrahiert Nachrichten-IDs aus MailItemsaccessed-Ereignissen

Anmelde- & Überwachungsprotokollierung

• Get-GraphEntraSignInLogs - Sammelt Anmeldeprotokolle
• Get-GraphEntraAuditLogs - Sammelt Überwachungsprotokolle

Aktivitätsprotokollierung

• Get-ActivityLogs - Sammelt Aktivitätsprotokolle
• Get-DirectoryActivityLogs - Sammelt Verzeichnisaktivitätsprotokolle

OAuth-Apps

• Get-OAuthPermissionsGraph - Sammelt OAuth-Anwendungsberechtigungen über die Graph-API

Benutzerbezogen

• Get-Users - Sammelt Benutzerinformationen
• Get-AdminUsers - Sammelt Benutzer mit Administratorrechten
• Get-MFA - Sammelt MFA-Status für Benutzer
• Get-RiskyUsers - Sammelt riskante Benutzer
• Get-RiskyDetections - Sammelt riskante Erkennungsereignisse

Bedingte Zugriffsrichtlinien

• Get-ConditionalAccessPolicies - Sammelt bedingte Zugriffsrichtlinien

Geräteverwaltung

• Get-Devices - Sammelt Geräteregistrierungsinformationen

Berechtigungen und Überwachungseinstellungen

• Get-MailboxAuditStatus - Sammelt die Postfach-Überwachungskonfigurationen
• Get-MailboxPermissions - Sammelt delegierte Postfachberechtigungen

Lizenzverwaltung

• Get-Licenses - Sammelt alle Lizenzen im Mandanten mit Aufbewahrungszeiten und Premium-Lizenzindikatoren
• Get-LicenseCompatibility - Überprüft das Vorhandensein von E5-, P2-, P1- und E3-Lizenzen und informiert über Funktionseinschränkungen
• Get-EntraSecurityDefaults - Überprüft den Status der Entra-ID-Sicherheitsstandardeinstellungen
• Get-LicensesByUser - Sammelt Lizenzzuweisungen für alle Benutzer im Mandanten

Gruppenverwaltung

• Get-Groups - Sammelt alle Gruppen in der Organisation einschließlich Details wie Gruppen-ID und Anzeigename
• Get-GroupMembers - Sammelt alle Mitglieder jeder Gruppe und deren relevante Details
• Get-DynamicGroups - Sammelt alle dynamischen Gruppen und deren Mitgliedschaftsregeln

Rollenverwaltung

• Get-PIMAssignments - Erstellt einen Bericht aller Privileged Identity Management (PIM)-Rollenzuweisungen in Entra ID.
• Get-AllRoleActivity - Ruft alle Verzeichnisrollenmitgliedschaften mit den letzten Anmeldeinformationen der Benutzer ab.

Sicherheitsverwaltung

• Get-SecurityAlerts - Ruft Sicherheitswarnungen ab
• Get-SecureScore - Ruft Microsoft Secure Score-Empfehlungen und den aktuellen Status ab

Automatisch alles sammeln, was Sie brauchen

• Get-AllEvidence - Sammelt automatisch alle (fast) verfügbaren Beweisarten
• Start-MESTriage - Führt eine schnelle Triage für bestimmte Benutzer mit anpassbaren Vorlagen durch

Authentifizierungs- und Sitzungsverwaltung

• Connect-M365 - Stellt eine Verbindung zu Microsoft 365-Diensten her
• Connect-AzureAZ - Stellt eine Verbindung mit dem Az-Modul her
• Disconnect-M365 - Trennt die Verbindung zu Microsoft 365-Diensten
• Disconnect-AzureAZ - Trennt die Verbindung zur Az-Modulsitzung

Verwandte Projekte

Um Ihre Analyse zu verbessern, sollten Sie sich das Microsoft-Analyzer-Suite ansehen, das von LETHAL FORENSICS entwickelt wurde. Diese Suite bietet eine Sammlung von PowerShell-Skripten, die speziell für die Analyse von Microsoft 365- und Microsoft Entra ID-Daten entwickelt wurden, die mit dem Microsoft-Extractor-Suite extrahiert werden können.