bert-janp/entratraceHerramienta de investigación defensiva que documenta los endpoints de API observables y los user agents de herramientas ofensivas dirigidas a Microsoft Entra ID, apoyando la ingeniería de detección y la respuesta a incidentes.
EntraTrace es una herramienta de investigación en seguridad defensiva para documentar e identificar el comportamiento observable de herramientas ofensivas dirigidas a Microsoft Entra ID.
El proyecto construye una base de conocimiento automática en torno a herramientas como AzureHound, AADInternals, O365Enum, PingCastle y otras, con un enfoque en los artefactos de UserAgent y API que generan.
🚧 Desarrollo
El proyecto está en desarrollo activo. Los datos, la cobertura de herramientas y la funcionalidad evolucionarán con el tiempo.
Se aceptan contribuciones, investigaciones, correcciones y análisis adicionales de herramientas.
EntraTrace se centra en información que puede ser útil para los defensores, incluyendo:
El objetivo es facilitar a los equipos defensivos la comprensión del comportamiento de las herramientas ofensivas y convertirlo en información procesable.
| Herramienta | APIs únicas | Llamadas a API únicas | UserAgents |
|---|---|---|---|
| aadinternals | 4 | 110 | 18 |
| AzureHound | 2 | 28 | 0 |
| Graphpython | 3 | 119 | 17 |
| GraphRunner | 4 | 67 | 21 |
| GraphSpy | 2 | 38 | 2 |
| MFASweep | 4 | 17 | 11 |
| MicroBurst | 3 | 78 | 0 |
| MSOLSpray | 1 | 1 | 0 |
| o365enum | 1 | 1 | 2 |
| o365spray | 1 | 1 | 2 |
| pingcastle | 3 | 14 | 1 |
| PowerZure | 3 | 29 | 0 |
| ROADtools | 4 | 434 | 7 |
| ropci | 3 | 15 | 0 |
| Stormspotter | 3 | 4 | 0 |
| TeamFiltration | 3 | 62 | 2 |
| TokenSmith | 2 | 8 | 0 |
| TokenTactics | 4 | 8 | 16 |
| TokenTacticsV2 | 4 | 30 | 23 |
Las herramientas de seguridad ofensiva se utilizan con frecuencia para evaluar y atacar entornos de identidad. Comprender cómo interactúan esas herramientas con Entra ID puede ayudar a los defensores a identificar su uso, investigar actividad sospechosa y mejorar la cobertura de detección.
EntraTrace tiene como objetivo cerrar la brecha entre la investigación de herramientas ofensivas y las operaciones de seguridad defensiva.
EntraTrace se puede utilizar para:
Las siguientes consultas de búsqueda de amenazas en KQL se pueden utilizar para realizar un barrido de IOC en sus datos de registro:
El repositorio se actualiza a diario, pero se admite el despliegue local. Para ejecutarlo localmente desde la raíz del repositorio con Python. Utilice la salida de ayuda integrada para confirmar las opciones disponibles antes de ejecutarlas.
⚠️ - Ejecutar el script localmente puede generar alertas de seguridad, ya que los repositorios que contienen herramientas ofensivas se descargan localmente para extraer la información necesaria para crear un perfil.
# Extract API behavior from a repo or refresh all profile entries
python .\Scripts\ExtractToolBehavior.py --all-profiles --output-dir .\Profiles
# Export tool user agents from YAML profiles into a CSV
python .\Scripts\SummarizeUserAgents.py --profiles-dir .\Profiles --output .\Indicator Lists\UserAgents.csv
SummarizeUserAgents.py exporta datos de user-agent desde archivos YAML de perfil a un CSV de hunting.ExtractToolBehavior.py lee las URL de repositorio desde Profiles\Tools.txt cuando está presente y, en caso contrario, recurre a cada repository_url encontrada en los archivos YAML de perfil del directorio de salida.-h o --help para ver el conjunto completo de parámetros y el comportamiento.🤖 EntraTrace se desarrolla con la asistencia de IA. La IA se utiliza a lo largo del proceso de desarrollo e investigación, con revisión y validación humana del trabajo resultante.
Consulte LICENSE para obtener información sobre la licencia.