Acerca de Microsoft-Extractor-Suite

Microsoft-Extractor-Suite es una herramienta de PowerShell completamente funcional y mantenida activamente, diseñada para agilizar el proceso de recopilación de todos los datos e información necesarios de diversas fuentes dentro de Microsoft.

Se admiten las siguientes fuentes de datos de Microsoft:

• Registro de auditoría unificada
• Registro de auditoría de administración
• Registro de auditoría de buzón
• Reglas de buzón
• Reglas de transporte
• Registros de seguimiento de mensajes
• Registros de inicio de sesión de Entra ID
• Registros de auditoría de Entra ID
• Registros de actividad de Azure
• Registros de actividad de directorio de Azure

Además de las fuentes de registro anteriores, la herramienta también puede recuperar otra información relevante:

• Aplicaciones OAuth registradas en Entra ID
• El estado de MFA para todos los usuarios
• La fecha y hora de creación del último cambio de contraseña para todos los usuarios
• Los usuarios de riesgo
• Las detecciones de riesgo
• Las políticas de acceso condicional
• Roles de directorio de administrador y sus usuarios
• Un correo(s) o archivo(s) adjunto(s) específico(s) o una lista de ellos
• Permisos delegados para todos los buzones en Microsoft 365
• Información sobre todos los dispositivos registrados en Entra ID
• Estado y configuración de auditoría para todos los buzones en Microsoft 365
• Funciones diseñadas para recopilar información sobre grupos
• Funciones diseñadas para recopilar información sobre licencias
• Recuperar información sobre actividad de roles
• Genera una visión general de todas las asignaciones de roles de Privileged Identity Management (PIM)
• Alertas de seguridad
• Recomendaciones de Microsoft Secure Score y estado de control

Microsoft-Extractor-Suite fue creado por Joey Rentenaar y Korstiaan Stam y es mantenido por el equipo de Invictus IR.

Uso

Para comenzar con la herramienta Microsoft-Extractor-Suite, asegúrate de cumplir con los requisitos. Si no tienes instalados los módulos Connect-ExchangeOnline, AZ o connect-mggraph, consulta la guía de instalación.

Instala el kit de herramientas Microsoft-Extractor-Suite:

Install-Module -Name Microsoft-Extractor-Suite

Para importar Microsoft-Extractor-Suite:

Import-Module .\Microsoft-Extractor-Suite.psd1

Debes iniciar sesión en Microsoft 365 o Azure según tu caso de uso antes de ejecutar las funciones. Para iniciar sesión, utiliza uno de los siguientes cmdlets:

Connect-M365 o connect-exchangeonline

connect-mggraph

Connect-AzureAZ o Connect-AzAccount

Funciones disponibles

Registro de auditoría unificada

• Get-UAL - Recopila todos los registros de auditoría unificada
• Get-MailboxAuditLog - Recopila registros de auditoría de buzón
• Get-AdminAuditLog - Recopila registros de auditoría de administración

Reglas de buzón y transporte

• Show-MailboxRules - Muestra las reglas de buzón
• Get-MailboxRules - Exporta las reglas de buzón
• Get-MailboxRulesGraph - Exporta las reglas de buzón a través de Graph API
• Get-TransportRules - Exporta las reglas de transporte
• Show-TransportRules - Muestra las reglas de transporte

Correo y seguimiento de mensajes

• Get-MessageTraceLog - Recopila registros de seguimiento de mensajes
• Get-Email - Descarga correos electrónicos específicos o en lote
• Show-Email - Muestra el contenido del correo electrónico
• Get-Attachment - Descarga archivos adjuntos de correo electrónico
• Get-Sessions - Recopila información de sesión relacionada con eventos de MailItemsaccessed
• Get-MessageIDs - Extrae identificadores de mensaje de eventos de MailItemsaccessed

Registro de inicio de sesión y auditoría

• Get-GraphEntraSignInLogs - Recopila registros de inicio de sesión
• Get-GraphEntraAuditLogs - Recopila registros de auditoría

Registro de actividad

• Get-ActivityLogs - Recopila registros de actividad
• Get-DirectoryActivityLogs - Recopila registros de actividad de directorio

Aplicaciones OAuth

• Get-OAuthPermissionsGraph - Recopila permisos de aplicaciones OAuth a través de Graph API

Relacionadas con usuarios

• Get-Users - Recopila información de usuarios
• Get-AdminUsers - Recopila usuarios con privilegios administrativos
• Get-MFA - Recopila el estado de MFA de los usuarios
• Get-RiskyUsers - Recopila usuarios de riesgo
• Get-RiskyDetections - Recopila eventos de detección de riesgo

Políticas de acceso condicional

• Get-ConditionalAccessPolicies - Recopila políticas de acceso condicional

Gestión de dispositivos

• Get-Devices - Recopila información de registro de dispositivos

Permisos y configuración de auditoría

• Get-MailboxAuditStatus - Recopila las configuraciones de auditoría de buzón
• Get-MailboxPermissions - Recopila permisos delegados de buzón

Gestión de licencias

• Get-Licenses - Recopila todas las licencias en el tenant con tiempos de retención e indicadores de licencia premium
• Get-LicenseCompatibility - Verifica la presencia de licencias E5, P2, P1 y E3 e informa sobre limitaciones de funcionalidad
• Get-EntraSecurityDefaults - Verifica el estado de los valores predeterminados de seguridad de Entra ID
• Get-LicensesByUser - Recopila asignaciones de licencias para todos los usuarios en el tenant

Gestión de grupos

• Get-Groups - Recopila todos los grupos en la organización, incluidos detalles como ID de grupo y nombre para mostrar
• Get-GroupMembers - Recopila todos los miembros de cada grupo y sus detalles relevantes
• Get-DynamicGroups - Recopila todos los grupos dinámicos y sus reglas de membresía

Gestión de roles

• Get-PIMAssignments - Genera un informe de todas las asignaciones de roles de Privileged Identity Management (PIM) en Entra ID.
• Get-AllRoleActivity - Recupera todas las membresías de roles de directorio con información del último inicio de sesión de los usuarios.

Gestión de seguridad

• Get-SecurityAlerts - Recupera alertas de seguridad
• Get-SecureScore - Recupera recomendaciones de Microsoft Secure Score y su estado actual

Recopilar automáticamente todo lo que desees

• Get-AllEvidence - Recopila automáticamente todos (o casi) los tipos de evidencia disponibles
• Start-MESTriage - Realiza un triaje rápido para usuarios específicos utilizando plantillas personalizables

Autenticación y gestión de sesiones

• Connect-M365 - Conecta a los servicios de Microsoft 365
• Connect-AzureAZ - Conecta usando el módulo Az
• Disconnect-M365 - Desconecta de los servicios de Microsoft 365
• Disconnect-AzureAZ - Desconecta de la sesión del módulo Az

Proyectos relacionados

Para mejorar tu análisis, considera explorar Microsoft-Analyzer-Suite desarrollado por LETHAL FORENSICS. Este conjunto ofrece una colección de scripts de PowerShell diseñados específicamente para analizar datos de Microsoft 365 y Microsoft Entra ID, que pueden extraerse utilizando Microsoft-Extractor-Suite.