Módulo de PowerShell de Respuesta a Incidentes de Azure AD

El módulo de PowerShell de Respuesta a Incidentes de Azure Active Directory proporciona una serie de herramientas, desarrolladas por el Grupo de Producto de Azure Active Directory en conjunto con el Equipo de Detección y Respuesta de Microsoft (DART), para ayudar en la respuesta a compromisos.

¿Por qué usar el módulo?

El módulo cumple estos objetivos de desarrollo:

• Proporcionar herramientas rápidas y fáciles de instalar y usar:
  • Los pasos de configuración complejos no son deseables en una situación de compromiso
  • La ayuda detallada y los ejemplos se incluyen como elementos fundamentales
• Proporcionar cmdlets que obtengan de manera sólida los datos que necesita:
  • Combinar datos específicos de IR de varias fuentes
  • Ofrecer opciones integradas para mostrar o capturar resultados
  • Paginación y lógica de reintento por defecto
• Convertir el módulo en un proyecto comunitario para su mejora continua
• Ayudar a cerrar la brecha entre los entornos y conocimientos locales (on-premises) y en la nube
  • Cmdlets para realizar conexiones y correlaciones
  • Proporcionar familiaridad a quienes no conocen la automatización en la nube
• Adecuado para centros de operaciones de seguridad (SOC)

¿Cómo instalo el módulo?

El módulo se puede encontrar aquí:

https://www.powershellgallery.com/packages/AzureADIncidentResponse

Utilice la versión más reciente. El módulo tiene varios requisitos previos que se instalarán automáticamente:

• Módulo de PowerShell MSAL.ps
• Módulo de PowerShell AzureAD
• Módulo de PowerShell MSOnline

Desde PowerShell, debe ejecutar:

  Install-Module -Name AzureADIncidentResponse -AcceptLicense

Consejo: es posible que necesite confiar en el repositorio de la galería de PowerShell para que esta acción se complete correctamente.

Si encuentra un problema de instalación con uno de los módulos dependientes, MSAL.ps, consulte aquí los pasos de corrección:

https://github.com/AzureAD/MSAL.PS/blob/master/README.md#install-from-the-powershell-gallery

NB - uno de los cmdlets del módulo, Get-AzureADIRPrivilegedUserOnPremCorrelation, utiliza el módulo de Active Directory de Windows Server. Si desea usar ese cmdlet, el módulo AzureADIncidentResponse deberá instalarse en un Windows Server unido a un dominio, con conectividad a Internet. El dominio normalmente será aquel en el que esté instalado el servidor de Azure AD Connect. El módulo de PowerShell ActiveDirectory también deberá instalarse en el servidor de destino.

Contribuciones

Este proyecto acepta contribuciones y sugerencias. La mayoría de las contribuciones requieren que usted acepte un Acuerdo de Licencia de Colaborador (CLA) en el que declara que tiene el derecho, y de hecho nos concede, los derechos para usar su contribución. Para más detalles, visite https://cla.opensource.microsoft.com.

Cuando envíe una solicitud de extracción (pull request), un bot de CLA determinará automáticamente si necesita proporcionar un CLA y decorará el PR adecuadamente (por ejemplo, verificación de estado, comentario). Simplemente siga las instrucciones proporcionadas por el bot. Solo necesitará hacerlo una vez en todos los repositorios que usen nuestro CLA.

Este proyecto ha adoptado el Código de Conducta de Código Abierto de Microsoft. Para obtener más información, consulte las Preguntas frecuentes sobre el Código de Conducta o póngase en contacto con [email protected] si tiene preguntas o comentarios adicionales.

Marcas comerciales

Este proyecto puede contener marcas comerciales o logotipos de proyectos, productos o servicios. El uso autorizado de las marcas comerciales o logotipos de Microsoft está sujeto y debe seguir las Directrices de Marcas Comerciales y Marca de Microsoft. El uso de marcas comerciales o logotipos de Microsoft en versiones modificadas de este proyecto no debe causar confusión ni implicar el patrocinio de Microsoft. Cualquier uso de marcas comerciales o logotipos de terceros está sujeto a las políticas de dichos terceros.