Module PowerShell Azure AD Incident Response

Le module PowerShell Azure Active Directory Incident Response fournit un certain nombre d’outils, développés par le groupe produit Azure Active Directory en collaboration avec l’équipe Microsoft Detection and Response Team (DART), pour aider à répondre aux compromissions.

Pourquoi utiliser ce module ?

Le module répond à ces objectifs de développement :

• Fournir des outils rapides et faciles à installer et à utiliser :
  • Des étapes de configuration complexes ne sont pas souhaitables en situation de compromission
  • Une aide détaillée et des exemples sont inclus comme éléments fondamentaux
• Fournir des cmdlets qui vous obtiennent de manière robuste les données dont vous avez besoin :
  • Combiner des données spécifiques à la réponse aux incidents (IR) provenant de plusieurs sources
  • Offrir des options intégrées pour afficher ou capturer les résultats
  • Pagination et logique de nouvelle tentative par défaut
• Faire du module un projet communautaire pour une amélioration continue
• Aider à combler l’écart entre les environnements et connaissances sur site et cloud
  • Des cmdlets pour établir des connexions et des corrélations
  • Offrir une prise en main à ceux qui ne sont pas familiers avec l’automatisation du cloud
• Adapté aux centres d’opérations de sécurité (SOC)

Comment installer le module ?

Le module est disponible ici :

https://www.powershellgallery.com/packages/AzureADIncidentResponse

Veuillez utiliser la dernière version. Le module comporte un certain nombre de prérequis qui seront installés automatiquement :

• Module PowerShell MSAL.ps
• Module PowerShell AzureAD
• Module PowerShell MSOnline

Depuis PowerShell, vous devez exécuter :

  Install-Module -Name AzureADIncidentResponse -AcceptLicense

Astuce : vous devrez peut-être approuver le référentiel PowerShell Gallery pour que cette action aboutisse.

Si vous rencontrez un problème d’installation avec l’un des modules dépendants, MSAL.ps, consultez ici les étapes de résolution :

https://github.com/AzureAD/MSAL.PS/blob/master/README.md#install-from-the-powershell-gallery

NB - un des cmdlets du module, Get-AzureADIRPrivilegedUserOnPremCorrelation, utilise le module Windows Server Active Directory. Si vous souhaitez utiliser ce cmdlet, le module AzureADIncidentResponse devra être installé sur un Windows Server joint au domaine, avec une connexion Internet. Le domaine sera généralement celui sur lequel le serveur Azure AD Connect est installé. Le module PowerShell ActiveDirectory devra également être installé sur le serveur cible.

Contribuer

Ce projet accueille les contributions et les suggestions. La plupart des contributions exigent que vous acceptiez un contrat de licence de contributeur (CLA) déclarant que vous avez le droit de, et que vous nous accordez effectivement, les droits d’utilisation de votre contribution. Pour plus de détails, consultez https://cla.opensource.microsoft.com.

Lorsque vous soumettez une demande de tirage (pull request), un robot CLA détermine automatiquement si vous devez fournir un CLA et décore la PR en conséquence (par exemple, vérification de statut, commentaire). Suivez simplement les instructions fournies par le robot. Vous n’aurez à le faire qu’une seule fois pour tous les dépôts utilisant notre CLA.

Ce projet a adopté le Code de conduite Open Source de Microsoft. Pour plus d’informations, consultez la FAQ du Code de conduite ou contactez [email protected] pour toute question ou commentaire supplémentaire.

Marques déposées

Ce projet peut contenir des marques ou logos de projets, produits ou services. L’utilisation autorisée des marques Microsoft ou logos est soumise à et doit suivre Directives de marques et de marques déposées de Microsoft. L’utilisation de marques ou logos Microsoft dans des versions modifiées de ce projet ne doit pas créer de confusion ni impliquer un parrainage de Microsoft. Toute utilisation de marques ou logos de tiers est soumise aux politiques de ces tiers.