Mandiant Azure AD Investigator

Fokus auf UNC2452 TTPs

Überblick

Dieses Repository enthält ein PowerShell-Modul zur Erkennung von Artefakten, die Indikatoren für UNC2452 und andere Bedrohungsakteure sein können. Einige Indikatoren sind "hochzuverlässige" Kompromittierungsindikatoren, während andere sogenannte "Dual-Use"-Artefakte sind. Dual-Use-Artefakte können mit Aktivitäten von Bedrohungsakteuren zusammenhängen, aber auch mit legitimer Funktionalität. Für diese ist eine Analyse und Verifizierung erforderlich. Eine detaillierte Beschreibung der von UNC2452 verwendeten Techniken finden Sie in unserem Blog.

Dieses Tool ist schreibgeschützt. Es nimmt keine Änderungen an der Microsoft 365-Umgebung vor.

Zusammenfassend wird dieses Modul:

Mit bestmöglichem Aufwand Kompromittierungsindikatoren identifizieren, die einer weiteren Verifizierung und Analyse bedürfen

Es wird nicht:

Eine Kompromittierung zu 100 % der Fälle identifizieren, oder
Ihnen sagen, ob ein Artefakt auf legitime Admin-Aktivitäten oder Aktivitäten von Bedrohungsakteuren zurückgeht.

Mit Rückmeldungen aus der Community kann das Tool bei der Erkennung von IOCs gründlicher werden. Bitte eröffnen Sie ein Issue, reichen Sie einen PR ein oder kontaktieren Sie die Autoren, wenn Sie Probleme, Ideen oder Feedback haben.

Funktionen

:warning: Das Skript hat eine Anwendung mit risikoreichen API-Berechtigungen und hinzugefügten Anmeldeinformationen identifiziert. Dies ist möglicherweise zu erwarten, da einige Drittanbieter- oder maßgeschneiderte Anwendungen zusätzliche Anmeldeinformationen benötigen, um zu funktionieren. Dies kann auch ein Artefakt von UNC2452-Aktivitäten in Ihrer Umgebung sein. Konsultieren Sie Ihre Administratoren und durchsuchen Sie die Überwachungsprotokolle, um die Legitimität der Anmeldeinformationen zu überprüfen. ### Cloud Solution Provider Program (Invoke-MandiantGetCSPInformation) Dieses Modul prüft, ob der Mandant von einem CSP oder Partner verwaltet wird und ob die delegierte Verwaltung aktiviert ist. Die delegierte Verwaltung erlaubt dem CSP, mit denselben Berechtigungen wie ein Globaler Administrator auf einen Kundenmandanten zuzugreifen. Obwohl das CSP-Programm strenge Sicherheitskontrollen auf dem Partner-Mandanten erzwingt, könnte ein Angreifer, der den CSP kompromittiert, auf Kundenumgebungen zugreifen. Unternehmen sollten überprüfen, ob ihr Partner delegierte Administratorrechte benötigt, und diese ansonsten entfernen. Wenn der Partner die delegierte Admin-Funktion beibehalten muss, sollten Sie bedingte Zugriffsrichtlinien in Betracht ziehen, um deren Zugriff einzuschränken. Unternehmen können Partnerbeziehungen überprüfen und verwalten, indem sie zum [Admin Center](https://admin.microsoft.com) navigieren und im linken Menü auf `Einstellungen` -> `Partnerbeziehungen` klicken. ### Mailbox Folder Permissions (Get-MandiantMailboxFolderPermissions) Dieses Modul überprüft alle Postfächer im Mandanten auf das Vorhandensein verdächtiger Ordnerberechtigungen. Insbesondere werden die Ordner "Top of Information Store" und "Posteingang" in jedem Postfach untersucht und die Berechtigungen für die Benutzer "Standard" und "Anonym" überprüft. Jeder andere Wert als "Keine" führt dazu, dass das Postfach zur Analyse markiert wird. Im Allgemeinen sollten die Benutzer "Standard" und "Anonym" keine Berechtigungen für Benutzerposteingänge haben, da dies jedem Benutzer das Lesen ihrer Inhalte ermöglichen würde. Einige Unternehmen können freigegebene Postfächer mit dieser Berechtigung vorfinden, dies ist jedoch nicht empfehlenswert. ### Application Impersonation (Get-MandiantApplicationImpersonationHolders) Dieses Modul gibt die Liste der Benutzer und Gruppen aus, die die Rolle "ApplicationImpersonation" besitzen. Jeder Benutzer oder jedes Mitglied einer Gruppe in der Ausgabe dieses Befehls kann die Identitätswechsel-Funktion nutzen, um "als" ein anderer Benutzer aufzutreten und auf das Postfach jedes anderen Benutzers im Mandanten zuzugreifen. Unternehmen sollten die Ausgabe dieses Befehls prüfen, um sicherzustellen, dass nur erwartete Benutzer und Gruppen enthalten sind, und den Bereich nach Möglichkeit weiter einschränken. ### Purview Audit (ehemals Advanced Audity) (Invoke-MandiantCheckAuditing) Dieses Modul listet alle lizenzierten Benutzer im Mandanten auf, die für "Purview Audit Mail Items Accessed" lizenziert sind. Es erstellt einen CSV-Bericht, der dokumentiert, ob die Funktion für ein berechtigtes Postfach aktiviert wurde oder nicht. Unternehmen sollten nach Postfächern filtern, die für "Mail Items Accessed" berechtigt sind, aber die Funktion deaktiviert haben, und überprüfen, ob dies beabsichtigt ist. ### Unified Audit Log (Get-MandiantUnc2452AuditLogs) Dieses Modul ist ein Hilfsskript zum Durchsuchen des Unified Audit Logs. Die Suche im Unified Audit Log weist viele technische Besonderheiten auf, die leicht übersehen werden können. Dieses Modul kann den Suchprozess vereinfachen, indem es Best Practices für den Umgang mit diesen Besonderheiten implementiert und häufige Fehler behandelt. Standardmäßig sucht das Modul nach Protokolleinträgen, die UNC2452-Techniken aufzeichnen können. Die Protokolleinträge können auch legitime Administratoraktivitäten erfassen und müssen überprüft werden. * **Anwendung aktualisieren** - Zeichnet Aktionen zum Aktualisieren von App-Registrierungen auf. * **Domänenauthentifizierung festlegen** - Zeichnet Änderungen an den Authentifizierungseinstellungen für eine Domäne auf, einschließlich der Erstellung von Verbundbereichsobjekten. Diese Ereignisse sollten in einer Umgebung selten auftreten und können auf einen Angreifer hinweisen, der ein AAD-Backdoor konfiguriert. * **Verbundseinstellungen festlegen** - Zeichnet Änderungen am Verbundbereichsobjekt einer Domäne auf. Diese Ereignisse sollten in einer Umgebung selten auftreten und können auf einen Angreifer hinweisen, der sich auf einen Golden-SAML-Angriff vorbereitet. * **Anwendungszertifikate und -geheimnisse aktualisieren** - Zeichnet das Hinzufügen eines Geheimnisses oder Zertifikats zu einer App-Registrierung auf. * **PowerShell-Postfachanmeldungen** - Zeichnet Postfachanmeldevorgänge auf, bei denen die Clientanwendung PowerShell war. * **Dienstprinzipal aktualisieren** - Zeichnet Aktualisierungen eines vorhandenen Dienstprinzipals auf. * **Dienstprinzipal-Anmeldeinformationen hinzufügen** - Zeichnet das Hinzufügen eines Geheimnisses oder Zertifikats zu einem Dienstprinzipal auf. * **App-Rollenzuweisung hinzufügen** - Zeichnet das Hinzufügen einer App-Rolle (Anwendungsberechtigung) auf. * **App-Rollenzuweisung für Benutzer** - Zeichnet die Zuweisung einer App-Rolle zu einem Benutzer auf. * **PowerShell-Authentifizierung** - Zeichnet die Authentifizierung eines Benutzers bei Azure AD mit einem PowerShell-Client auf. * **Neue Verwaltungsrollenzuweisungen** - Zeichnet die Erstellung neuer Verwaltungsrollenzuweisungen auf. Dies kann nützlich sein, um neue ApplicationImpersonation-Gewährungen zu identifizieren. ## Verwendung ### Erforderliche Module Das PowerShell-Modell erfordert die Installation von drei Microsoft 365 PowerShell-Modulen. * AzureAD * MSOnline * ExchangeOnlineManagement * Microsoft.Graph So installieren Sie die Module: 1. Öffnen Sie ein PowerShell-Fenster als lokaler Administrator (Rechtsklick, dann "Als Administrator ausführen" auswählen) 2. Führen Sie den Befehl `Install-Module <MODULNAME HIER>` aus und folgen Sie den Eingabeaufforderungen ### Erforderliche Benutzerberechtigungen Das PowerShell-Modul muss mit einem Microsoft 365-Konto ausgeführt werden, das bestimmte Berechtigungen besitzt. * Rolle `Globaler Administrator` oder `Globaler Leser` im Azure AD-Portal * `Nur-Ansicht-Überwachungsprotokolle` in der Exchange-Verwaltungskonsole * Bereiche `User.Read.All` und `Directory.Read.All`. Inhaber der Rolle `Globaler Leser` sollten diese Bereiche automatisch nutzen können. So gewähren Sie einem Konto `Nur-Ansicht-Überwachungsprotokolle` in der Exchange-Verwaltungskonsole: 1. Navigieren Sie zu https://outlook.office365.com/ecp und melden Sie sich als globaler Administrator oder Exchange-Administrator an (die genaue URL kann abweichen, wenn Sie sich in einer alternativen Cloud befinden) 2. Klicken Sie im Dashboard auf `Administratorrollen` oder erweitern Sie die Registerkarte `Rollen` auf der linken Seite und klicken Sie auf `Administratorrollen`, falls Sie sich in der neuen Benutzeroberfläche befinden 3. Erstellen Sie eine neue Administratorrolle, indem Sie auf das `+`-Zeichen klicken oder auf `Neue Rollengruppe hinzufügen` klicken 4. Geben Sie Ihrer Rolle einen Namen und einen Standard-Schreibbereich 5. Fügen Sie die Berechtigung `Nur-Ansicht-Überwachungsprotokolle` zur Rolle hinzu 6. Fügen Sie den Benutzer zur Rolle hinzu **Hinweis** Es kann bis zu einer Stunde dauern, bis diese Rolle wirksam wird ### Ausführen des Tools 1. Laden Sie dieses Tool als ZIP herunter und entpacken Sie es, oder klonen Sie das Repository auf Ihr System 2. Öffnen Sie ein PowerShell-Fenster 3. Wechseln Sie in das Verzeichnis dieses Moduls `cd C:\path\to\the\module` 4. Importieren Sie dieses Modul `Import-Module .\MandiantAzureADInvestigator.psd1` Sie sollten diese Ausgabe erhalten``` Mandiant Azure AD Investigator Focusing on UNC2452 Investigations PS C:\Users\admin\Desktop\mandiant>

Beliebteste

Mandiant-Azure-AD-Investigator

Federierte Domänen (Invoke-MandiantAuditAzureADDomains)

Beispiele```

Service Principals (Invoke-MandiantAuditAzureADServicePrincipals)

Beispiele```

Anwendungen (Invoke-MandiantAuditAzureADApplications)

Beispiel```

Beliebteste

Mandiant-Azure-AD-Investigator

Mandiant Azure AD Investigator

Fokus auf UNC2452 TTPs

Überblick

Funktionen

Federierte Domänen (Invoke-MandiantAuditAzureADDomains)

Beispiele```

Service Principals (Invoke-MandiantAuditAzureADServicePrincipals)

Beispiele```

Anwendungen (Invoke-MandiantAuditAzureADApplications)

Beispiel```

Send your product improvement suggestions and feedback to [email protected]. For issues related to the module, contact Microsoft support. Don't use the feedback alias for problems or support issues.