Mandiant Azure AD Investigator

Axé sur les TTPs d'UNC2452

Aperçu

Ce dépôt contient un module PowerShell permettant de détecter des artefacts pouvant être des indicateurs de l'activité d'UNC2452 et d'autres acteurs de menace. Certains indicateurs sont des indicateurs de compromission de « haute fidélité », tandis que d'autres artefacts sont qualifiés d'« à double usage ». Les artefacts à double usage peuvent être liés à l'activité d'un acteur de menace, mais aussi à des fonctionnalités légitimes. Une analyse et une vérification seront nécessaires pour ces derniers. Pour une description détaillée des techniques utilisées par UNC2452, consultez notre blog.

Cet outil est en lecture seule. Il n'apporte aucune modification à l'environnement Microsoft 365.

En résumé, ce module va :

Faire de son mieux pour identifier les indicateurs de compromission qui nécessiteront une vérification et une analyse plus approfondies

Il ne va pas :

Identifier une compromission à 100 %, ou
Vous dire si un artefact est une activité administrative légitime ou une activité d'acteur de menace.

Avec les retours de la communauté, l'outil pourrait devenir plus exhaustif dans la détection des IOC. Veuillez ouvrir un issue, soumettre une PR ou contacter les auteurs si vous avez des problèmes, des idées ou des commentaires.

Fonctionnalités

:warning : Le script a identifié une application avec des autorisations API à haut risque et a ajouté des identifiants. Cela peut être normal, car certaines applications tierces ou personnalisées nécessitent l'ajout d'identifiants pour fonctionner. Cela peut également être une trace de l'activité d'UNC2452 dans votre environnement. Consultez vos administrateurs et recherchez dans les journaux d'audit pour vérifier que l'identifiant est légitime. ### Programme Fournisseur de solutions cloud (Invoke-MandiantGetCSPInformation) Ce module vérifie si le locataire est géré par un CSP (Fournisseur de solutions cloud), ou partenaire, et si l'administration déléguée est activée. L'administration déléguée permet au CSP d'accéder au locataire client avec les mêmes privilèges qu'un administrateur général. Bien que le programme CSP impose des contrôles de sécurité stricts sur le locataire du partenaire, un acteur malveillant qui compromet le CSP pourrait accéder aux environnements clients. Les organisations doivent vérifier si leur partenaire a besoin des privilèges d'administration déléguée et les supprimer si ce n'est pas le cas. Si le partenaire doit conserver l'accès d'administration déléguée, envisagez de mettre en œuvre des stratégies d'accès conditionnel pour restreindre son accès. Les organisations peuvent vérifier et gérer les relations partenaires en accédant au [Centre d'administration](https://admin.microsoft.com) et en naviguant vers `Paramètres` -> `Relations partenaires` dans la barre de menu de gauche. ### Autorisations des dossiers de boîte aux lettres (Get-MandiantMailboxFolderPermissions) Ce module audite toutes les boîtes aux lettres du locataire pour détecter la présence d'autorisations suspectes sur les dossiers. Plus précisément, ce module examinera les dossiers « Top of Information Store » et « Boîte de réception » de chaque boîte aux lettres et vérifiera les autorisations attribuées aux utilisateurs « Par défaut » et « Anonyme ». Toute valeur autre que « Aucun » entraînera le signalement de la boîte aux lettres pour analyse. En général, les utilisateurs Par défaut et Anonyme ne devraient pas avoir d'autorisations sur les boîtes de réception des utilisateurs, car cela permettrait à tout utilisateur de lire leur contenu. Certaines organisations peuvent trouver des boîtes aux lettres partagées avec cette autorisation, mais ce n'est pas une pratique recommandée. ### Emprunt d'identité d'application (Get-MandiantApplicationImpersonationHolders) Ce module affiche la liste des utilisateurs et des groupes qui détiennent le rôle ApplicationImpersonation. Tout utilisateur ou membre d'un groupe figurant dans la sortie de cette commande peut utiliser l'emprunt d'identité pour « agir en tant que » et accéder à la boîte aux lettres de tout autre utilisateur du locataire. Les organisations doivent auditer la sortie de cette commande pour s'assurer que seuls les utilisateurs et groupes attendus sont inclus et, dans la mesure du possible, restreindre davantage l'étendue. ### Audit Purview (anciennement Advanced Auditing) (Invoke-MandiantCheckAuditing) Ce module énumérera tous les utilisateurs sous licence du locataire qui sont autorisés pour Purview Audit Mail Items Accessed. Il générera un rapport CSV documentant si la fonctionnalité a été activée sur une boîte aux lettres éligible. Les organisations doivent filtrer les boîtes aux lettres éligibles pour Mail Items Accessed mais dont la fonctionnalité est désactivée et vérifier que cela est intentionnel. ### Journal d'audit unifié (Get-MandiantUnc2452AuditLogs) Ce module est un script d'assistance pour rechercher le journal d'audit unifié. La recherche dans le journal d'audit unifié comporte de nombreuses mises en garde techniques qui peuvent être facilement négligées. Ce module peut aider à simplifier le processus de recherche en mettant en œuvre les bonnes pratiques pour naviguer dans ces mises en garde et gérer certaines erreurs courantes. Par défaut, le module recherche les entrées de journal qui peuvent enregistrer les techniques UNC2452. Les enregistrements du journal peuvent également capturer une activité d'administrateur légitime et devront être vérifiés. * **Mettre à jour l'application** - Enregistre les actions entreprises pour mettre à jour les inscriptions d'applications. * **Définir l'authentification de domaine** - Enregistre les modifications apportées aux paramètres d'authentification d'un domaine, y compris la création d'objets de domaine de fédération. Ces événements devraient être rares dans un environnement et peuvent indiquer qu'un acteur malveillant configure une porte dérobée Azure AD. * **Définir les paramètres de fédération** - Enregistre les modifications apportées à l'objet de domaine de fédération pour un domaine. Ces événements devraient être rares dans un environnement et peuvent indiquer qu'un acteur malveillant se prépare à exécuter une attaque Golden SAML. * **Mettre à jour les certificats et secrets d'application** - Enregistre lorsqu'un secret ou un certificat est ajouté à une inscription d'application. * **Connexions à la boîte aux lettres via PowerShell** - Enregistre les opérations de connexion à la boîte aux lettres où l'application cliente était PowerShell. * **Mettre à jour le principal de service** - Enregistre les mises à jour apportées à un principal de service existant. * **Ajouter des informations d'identification au principal de service** - Enregistre lorsqu'un secret ou un certificat est ajouté à un principal de service. * **Ajouter une attribution de rôle d'application** - Enregistre lorsqu'un rôle d'application (autorisation d'application) est ajouté. * **Attribution de rôle d'application pour l'utilisateur** - Enregistre lorsqu'un rôle d'application est attribué à un utilisateur. * **Authentification PowerShell** - Enregistre lorsqu'un utilisateur s'authentifie auprès d'Azure AD à l'aide d'un client PowerShell. * **Nouvelles attributions de rôles de gestion** - Enregistre la création de nouvelles attributions de rôles de gestion. Cela peut être utile pour identifier de nouvelles attributions ApplicationImpersonation. ## Utilisation ### Modules requis Le module PowerShell nécessite l'installation de trois modules PowerShell Microsoft 365. * AzureAD * MSOnline * ExchangeOnlineManagement * Microsoft.Graph Pour installer les modules : 1. Ouvrez une fenêtre PowerShell en tant qu'administrateur local (clic droit puis sélectionnez Exécuter en tant qu'administrateur) 2. Exécutez la commande `Install-Module <NOM DU MODULE ICI>` et suivez les invites ### Autorisations utilisateur requises Le module PowerShell doit être exécuté avec un compte Microsoft 365 disposant de privilèges spécifiques. * Rôle `Administrateur général` ou `Lecteur général` dans le portail Azure AD * `Journaux d'audit en lecture seule` dans le Centre d'administration Exchange * Étendues `User.Read.All` et `Directory.Read.All`. Les titulaires du rôle `Lecteur général` devraient pouvoir utiliser ces étendues automatiquement. Pour accorder à un compte les `Journaux d'audit en lecture seule` dans le Centre d'administration Exchange : 1. Accédez à https://outlook.office365.com/ecp et connectez-vous en tant qu'administrateur général ou administrateur Exchange (l'URL exacte peut différer si vous êtes dans un cloud alternatif) 2. Cliquez sur `rôles d'administration` dans le tableau de bord, ou développez l'onglet `rôles` à gauche et cliquez sur `rôles d'administration` si vous êtes dans la nouvelle interface utilisateur 3. Créez un nouveau rôle d'administration en cliquant sur le signe `+` ou en cliquant sur `ajouter un groupe de rôles` 4. Donnez un nom à votre rôle et une étendue d'écriture par défaut 5. Ajoutez l'autorisation `Journaux d'audit en lecture seule` au rôle 6. Ajoutez l'utilisateur au rôle **Remarque** : l'application de ce rôle peut prendre jusqu'à une heure ### Exécution de l'outil 1. Téléchargez cet outil au format ZIP et décompressez-le, ou clonez le dépôt sur votre système 2. Ouvrez une fenêtre PowerShell 3. Changez de répertoire vers l'emplacement de ce module `cd C:\chemin\vers\le\module` 4. Importez ce module `Import-Module .\MandiantAzureADInvestigator.psd1` vous devriez recevoir cette sortie``` Mandiant Azure AD Investigator Focusing on UNC2452 Investigations PS C:\Users\admin\Desktop\mandiant>

Populaires

Mandiant-Azure-AD-Investigator

Domaines fédérés (Invoke-MandiantAuditAzureADDomains)

Exemples```

Principaux de service (Invoke-MandiantAuditAzureADServicePrincipals)

Exemples```

Applications (Invoke-MandiantAuditAzureADApplications)

Exemple```

Populaires

Mandiant-Azure-AD-Investigator

Mandiant Azure AD Investigator

Axé sur les TTPs d'UNC2452

Aperçu

Fonctionnalités

Domaines fédérés (Invoke-MandiantAuditAzureADDomains)

Exemples```

Principaux de service (Invoke-MandiantAuditAzureADServicePrincipals)

Exemples```

Applications (Invoke-MandiantAuditAzureADApplications)

Exemple```

Send your product improvement suggestions and feedback to [email protected]. For issues related to the module, contact Microsoft support. Don't use the feedback alias for problems or support issues.