Documentation et ressources de Hawk

Consultez hawkforensics.io pour une documentation complète comprenant :

• Guides détaillés d'installation et d'autorisations
• Tutoriels pas à pas et vidéos « Comment faire »
• Aide pour le dépannage
• Meilleures pratiques et exemples d'utilisation

Qu'est-ce que Hawk ?

Hawk est un module PowerShell open-source et gratuit qui simplifie la collecte de données forensiques dans les environnements cloud Microsoft. Conçu principalement pour les professionnels de la sécurité, les intervenants en réponse aux incidents et les administrateurs, Hawk automatise la collecte de données de journaux critiques à travers les services Microsoft, avec un accent sur Microsoft 365 (M365) et Microsoft Entra ID.

Fonctionnalités principales

• Collecte de données : Rassembler efficacement des données forensiques avec des processus de collecte automatisés
• Analyse de sécurité : Examiner les configurations de sécurité, les journaux d'audit et les activités des utilisateurs
• Exportation et rapport : Générer à la fois des rapports CSV et des données JSON pour une intégration SIEM

Ce que Hawk est et n'est pas

Bien que Hawk inclue des capacités d'analyse de base pour signaler les éléments potentiellement intéressants (tels que les règles de transfert de courrier suspectes, les applications sur-privilégiées ou les activités utilisateur risquées), il s'agit fondamentalement d'un outil de collecte de données plutôt que d'un système automatisé de détection des menaces.

Hawk simplifie la collecte de données par rapport à l'exécution manuelle de requêtes individuelles via des interfaces web, libérant ainsi des ressources pour d'autres tâches administratives. L'objectif de l'outil est de rapidement vous fournir les données nécessaires pour parvenir à une conclusion, et non de faire la conclusion à votre place.

Pour commencer

Configuration système requise

• Système d'exploitation Windows avec accès administrateur
• PowerShell 5.0 ou supérieur (PowerShell Core sera pris en charge à l'avenir)
• Connectivité réseau vers :
  • PowerShell Gallery
  • Graph API
  • Services Microsoft 365

Installation

Install-Module -Name Hawk

Types d'investigation

Hawk propose deux approches d'investigation principales :

Investigations au niveau du locataire

• Examine les paramètres généraux du locataire Microsoft Cloud, les journaux d'audit et les configurations de sécurité
• Fournit un excellent point de départ pour identifier des schémas suspects
• Utilisez Start-HawkTenantInvestigation pour lancer une investigation à l'échelle du locataire

Investigations utilisateur

• Effectue une analyse approfondie des comptes utilisateur individuels
• Examine les configurations de boîte aux lettres, les règles de boîte de réception et les historiques de connexion
• Utilisez Start-HawkUserInvestigation -UserPrincipleName <[email protected]> pour enquêter sur des utilisateurs spécifiques

Comprendre les résultats

Hawk organise les résultats d'investigation dans une hiérarchie de répertoires structurée :

📂 [Investigation Root]
├── 📂 Tenant/
│   ├── AdminAuditLogConfig.csv
│   ├── OrgConfig.csv
│   ├── _Investigate_*.csv
│   └── [other tenant files]
├── 📂 [[email protected]]/
│   ├── Mailbox_Info.csv
│   ├── InboxRules.csv
│   ├── _Investigate_*.csv
│   └── [other user files]
└── 📂 [[email protected]]/
    └── [similar structure]

Les fichiers précédés de _Investigate_ contiennent des résultats potentiellement suspects qui méritent un examen plus approfondi.

Contribuer

Tout le monde est invité à contribuer à Hawk. L'objectif est de maintenir un outil piloté par la communauté qui fournisse aux professionnels de la sécurité les ressources dont ils ont besoin.

Façons de contribuer

1. Rejoindre l'équipe de développement : Contactez-nous à [email protected]
2. Soumettre des demandes de fonctionnalités : Utilisez notre modèle de demande de fonctionnalité
3. Signaler des problèmes : Utilisez notre modèle de rapport de bogue

Pour les problèmes critiques ou les demandes, envoyez un courriel à [email protected].

Support

• Package PowerShell Gallery
• Problèmes GitHub
• Discussions GitHub
• Courriel : [email protected]

Divulgation de la télémétrie de Hawk

Vue d'ensemble

Hawk, le module PowerShell open-source, collecte des données d'utilisation limitées pour aider à améliorer le module en identifiant les fonctionnalités les plus fréquemment utilisées. Ces données aident à prioriser les mises à jour, les améliorations et les nouvelles fonctionnalités.

Quelles données sont collectées ?

✅ Données collectées :

• Noms des fonctions exécutées dans Hawk.
• Région d'utilisation

❌ Non collectées :

• Aucune donnée identifiable de l'utilisateur.
• Aucune entrée, sortie ou argument de script.
• Aucune donnée personnelle, confidentielle ou sensible.
• Aucune donnée partagée ou vendue.

Pourquoi ces données sont-elles collectées ?

La télémétrie nous aide à comprendre quelles fonctions sont les plus utilisées afin de :

• Prioriser les mises à jour et les améliorations.
• Optimiser les performances des fonctionnalités largement utilisées.
• Prendre des décisions basées sur les données pour le développement futur.

Comment les données sont-elles utilisées ?

Les données collectées sont strictement utilisées à des fins de développement interne pour améliorer le module Hawk. Elles ne sont jamais partagées, vendues ou utilisées pour quelque forme de suivi que ce soit au-delà de l'utilisation des fonctionnalités.