Démarrer avec Microsoft-Extractor-Suite

Pour commencer avec Microsoft-Extractor-Suite, consultez la documentation Microsoft-Extractor-Suite.

À propos de Microsoft-Extractor-Suite

Microsoft-Extractor-Suite est un outil Powershell complet, activement maintenu, conçu pour rationaliser le processus de collecte de toutes les données et informations nécessaires à partir de diverses sources au sein de Microsoft.

Les sources de données Microsoft suivantes sont prises en charge :

• Journal d'audit unifié
• Journal d'audit administrateur
• Journal d'audit de boîte aux lettres
• Règles de boîte aux lettres
• Règles de transport
• Journaux de traçage des messages
• Journaux de connexion Entra ID
• Journaux d'audit Entra ID
• Journaux d'activité Azure
• Journaux d'activité d'Azure Directory

En plus des sources de journaux ci-dessus, l'outil peut également récupérer d'autres informations pertinentes :

• Applications OAuth enregistrées dans Entra ID
• Le statut MFA pour tous les utilisateurs
• La date et l'heure de création du dernier changement de mot de passe pour tous les utilisateurs
• Les utilisateurs à risque
• Les détections à risque
• Les politiques d'accès conditionnel
• Les rôles d'annuaire administrateur et leurs utilisateurs
• Un ou plusieurs e-mails ou pièces jointes spécifiques
• Les autorisations déléguées pour toutes les boîtes aux lettres dans Microsoft 365
• Informations sur tous les appareils enregistrés dans Entra ID
• Statut et paramètres d'audit pour toutes les boîtes aux lettres dans Microsoft 365
• Fonctions conçues pour recueillir des informations sur les groupes
• Fonctions conçues pour recueillir des informations sur les licences
• Récupérer les informations sur l'activité des rôles
• Génère un aperçu de toutes les attributions de rôles Privileged Identity Management (PIM)
• Alertes de sécurité
• Recommandations Microsoft Secure Score et statut des contrôles

Microsoft-Extractor-Suite a été créé par Joey Rentenaar et Korstiaan Stam et est maintenu par l'équipe Invictus IR.

Utilisation

Pour commencer avec l'outil Microsoft-Extractor-Suite, assurez-vous que les prérequis sont remplis. Si vous n'avez pas les modules Connect-ExchangeOnline, AZ ou/et connect-mggraph installés, consultez le guide d'installation.

Installez le kit d'outils Microsoft-Extractor-Suite :

Install-Module -Name Microsoft-Extractor-Suite

Pour importer Microsoft-Extractor-Suite :

Import-Module .\Microsoft-Extractor-Suite.psd1

Vous devez vous connecter à Microsoft 365 ou Azure selon votre cas d'utilisation avant d'exécuter les fonctions. Pour vous connecter, utilisez l'une des cmdlets :

Connect-M365 or connect-exchangeonline

connect-mggraph

Connect-AzureAZ or Connect-AzAccount

Fonctions disponibles

Journal d'audit unifié

• Get-UAL - Collecte tous les journaux d'audit unifiés
• Get-MailboxAuditLog - Collecte les journaux d'audit de boîte aux lettres
• Get-AdminAuditLog - Collecte les journaux d'audit administrateur

Règles de boîte aux lettres et de transport

• Show-MailboxRules - Affiche les règles de boîte aux lettres
• Get-MailboxRules - Exporte les règles de boîte aux lettres
• Get-MailboxRulesGraph - Exporte les règles de boîte aux lettres via l'API Graph
• Get-TransportRules - Exporte les règles de transport
• Show-TransportRules - Affiche les règles de transport

Suivi des courriels et des messages

• Get-MessageTraceLog - Collecte les journaux de traçage des messages
• Get-Email - Télécharge des e-mails spécifiques ou en masse
• Show-Email - Affiche le contenu de l'e-mail
• Get-Attachment - Télécharge les pièces jointes des e-mails
• Get-Sessions - Collecte les informations de session liées aux événements MailItemsaccessed
• Get-MessageIDs - Extrait les identifiants de message des événements MailItemsaccessed

Connexion et journalisation d'audit

• Get-GraphEntraSignInLogs - Collecte les journaux de connexion
• Get-GraphEntraAuditLogs - Collecte les journaux d'audit

Journalisation d'activité

• Get-ActivityLogs - Collecte les journaux d'activité
• Get-DirectoryActivityLogs - Collecte les journaux d'activité d'annuaire

Applications OAuth

• Get-OAuthPermissionsGraph - Collecte les autorisations des applications OAuth via l'API Graph

Lié aux utilisateurs

• Get-Users - Collecte les informations utilisateur
• Get-AdminUsers - Collecte les utilisateurs avec privilèges administratifs
• Get-MFA - Collecte le statut MFA pour les utilisateurs
• Get-RiskyUsers - Collecte les utilisateurs à risque
• Get-RiskyDetections - Collecte les événements de détection à risque

Politiques d'accès conditionnel

• Get-ConditionalAccessPolicies - Collecte les politiques d'accès conditionnel

Gestion des appareils

• Get-Devices - Collecte les informations d'enregistrement des appareils

Autorisations et paramètres d'audit

• Get-MailboxAuditStatus - Collecte les configurations d'audit de boîte aux lettres
• Get-MailboxPermissions - Collecte les autorisations de boîte aux lettres déléguées

Gestion des licences

• Get-Licenses - Collecte toutes les licences dans le locataire avec les délais de rétention et les indicateurs de licence premium
• Get-LicenseCompatibility - Vérifie la présence des licences E5, P2, P1 et E3 et informe sur les limitations de fonctionnalités
• Get-EntraSecurityDefaults - Vérifie le statut des paramètres de sécurité par défaut d'Entra ID
• Get-LicensesByUser - Collecte les attributions de licences pour tous les utilisateurs dans le locataire

Gestion des groupes

• Get-Groups - Collecte tous les groupes dans l'organisation, y compris les détails tels que l'ID du groupe et le nom d'affichage
• Get-GroupMembers - Collecte tous les membres de chaque groupe et leurs détails pertinents
• Get-DynamicGroups - Collecte tous les groupes dynamiques et leurs règles d'appartenance

Gestion des rôles

• Get-PIMAssignments - Génère un rapport de toutes les attributions de rôles Privileged Identity Management (PIM) dans Entra ID.
• Get-AllRoleActivity - Récupère toutes les appartenances aux rôles d'annuaire avec les informations de dernière connexion pour les utilisateurs.

Gestion de la sécurité

• Get-SecurityAlerts - Récupère les alertes de sécurité
• Get-SecureScore - Récupère les recommandations Microsoft Secure Score et le statut actuel

Collecte automatique de tout ce que vous souhaitez

• Get-AllEvidence - Collecte automatiquement tous (presque) les types de preuves disponibles
• Start-MESTriage - Effectue un tri rapide pour des utilisateurs spécifiques à l'aide de modèles personnalisables

Gestion de l'authentification et des sessions

• Connect-M365 - Se connecter aux services Microsoft 365
• Connect-AzureAZ - Se connecter à l'aide du module Az
• Disconnect-M365 - Se déconnecter des services Microsoft 365
• Disconnect-AzureAZ - Se déconnecter de la session du module Az

Projets connexes

Pour améliorer votre analyse, envisagez d'explorer le Microsoft-Analyzer-Suite développé par LETHAL FORENSICS. Cette suite propose une collection de scripts PowerShell spécialement conçus pour analyser les données Microsoft 365 et Microsoft Entra ID, qui peuvent être extraites à l'aide de Microsoft-Extractor-Suite.