bert-janp/entratraceरक्षात्मक अनुसंधान उपकरण जो Microsoft Entra ID को लक्षित करने वाले आक्रामक टूलिंग के अवलोकनीय API एंडपॉइंट और यूज़र एजेंट का दस्तावेज़ीकरण करता है, जो डिटेक्शन इंजीनियरिंग और इंसिडेंट रिस्पॉन्स का समर्थन करता है।
EntraTrace Microsoft Entra ID को लक्षित करने वाले आक्रामक टूलिंग के अवलोकनीय व्यवहार को प्रलेखित और पहचानने के लिए एक रक्षात्मक सुरक्षा अनुसंधान उपकरण है।
यह परियोजना AzureHound, AADInternals, O365Enum, PingCastle और अन्य जैसे उपकरणों के आसपास एक स्वचालित ज्ञान आधार बनाती है, जिसमें उनके द्वारा उत्पन्न UserAgent और API कलाकृतियों पर ध्यान केंद्रित किया जाता है।
🚧 विकास
परियोजना सक्रिय रूप से विकसित की जा रही है। डेटा, टूलिंग कवरेज और कार्यक्षमता समय के साथ विकसित होंगे।
योगदान, अनुसंधान, सुधार और अतिरिक्त टूल विश्लेषण का स्वागत है।
EntraTrace उस जानकारी पर ध्यान केंद्रित करता है जो रक्षकों के लिए उपयोगी हो सकती है, जिसमें शामिल हैं:
लक्ष्य रक्षात्मक टीमों के लिए आक्रामक टूलिंग व्यवहार को समझना आसान बनाना और उसे कार्रवाई योग्य जानकारी में बदलना है।
| Tool | Unique APIs | Unique API calls | UserAgents |
|---|---|---|---|
| aadinternals | 4 | 110 | 18 |
| AzureHound | 2 | 28 | 0 |
| Graphpython | 3 | 119 | 17 |
| GraphRunner | 4 | 67 | 21 |
| GraphSpy | 2 | 38 | 2 |
| MFASweep | 4 | 17 | 11 |
| MicroBurst | 3 | 78 | 0 |
| MSOLSpray | 1 | 1 | 0 |
| o365enum | 1 | 1 | 2 |
| o365spray | 1 | 1 | 2 |
| pingcastle | 3 | 14 | 1 |
| PowerZure | 3 | 29 | 0 |
| ROADtools | 4 | 434 | 7 |
| ropci | 3 | 15 | 0 |
| Stormspotter | 3 | 4 | 0 |
| TeamFiltration | 3 | 62 | 2 |
| TokenSmith | 2 | 8 | 0 |
| TokenTactics | 4 | 8 | 16 |
| TokenTacticsV2 | 4 | 30 | 23 |
आक्रामक सुरक्षा उपकरणों का उपयोग अक्सर पहचान वातावरण का आकलन और हमला करने के लिए किया जाता है। ये उपकरण Entra ID के साथ कैसे इंटरैक्ट करते हैं यह समझना रक्षकों को उनके उपयोग की पहचान करने, संदिग्ध गतिविधि की जांच करने और डिटेक्शन कवरेज में सुधार करने में मदद कर सकता है।
EntraTrace का उद्देश्य आक्रामक टूलिंग अनुसंधान और रक्षात्मक सुरक्षा संचालन के बीच की खाई को पाटना है।
EntraTrace का उपयोग इनके लिए किया जा सकता है:
निम्नलिखित KQL हंटिंग क्वेरी का उपयोग आपके लॉग डेटा पर IOC स्वीपिंग करने के लिए किया जा सकता है:
रिपॉज़िटरी प्रतिदिन अपडेट की जाती है, लेकिन स्थानीय परिनियोजन समर्थित है। Python के साथ रिपॉज़िटरी रूट से स्थानीय रूप से चलाने के लिए। उपलब्ध विकल्पों की पुष्टि करने के लिए उन्हें चलाने से पहले अंतर्निहित सहायता आउटपुट का उपयोग करें।
⚠️ - स्क्रिप्ट को स्थानीय रूप से चलाने पर सुरक्षा अलर्ट उत्पन्न हो सकते हैं क्योंकि प्रोफ़ाइल बनाने के लिए आवश्यक जानकारी निकालने हेतु आक्रामक टूल वाले रेपो स्थानीय रूप से डाउनलोड किए जाते हैं।
# Extract API behavior from a repo or refresh all profile entries
python .\Scripts\ExtractToolBehavior.py --all-profiles --output-dir .\Profiles
# Export tool user agents from YAML profiles into a CSV
python .\Scripts\SummarizeUserAgents.py --profiles-dir .\Profiles --output .\Indicator Lists\UserAgents.csv
SummarizeUserAgents.py प्रोफ़ाइल YAML फ़ाइलों से user-agent डेटा को हंटिंग CSV में निर्यात करता है।ExtractToolBehavior.py उपस्थित होने पर Profiles\Tools.txt से रिपॉज़िटरी URL पढ़ता है, अन्यथा आउटपुट डायरेक्टरी में YAML प्रोफ़ाइल फ़ाइलों में पाए गए प्रत्येक repository_url पर वापस चला जाता है।-h या --help के साथ चलाएँ।🤖 EntraTrace को AI की सहायता से विकसित किया गया है। विकास और अनुसंधान प्रक्रिया के दौरान AI का उपयोग किया जाता है, तथा परिणामी कार्य की मानवीय समीक्षा और सत्यापन किया जाता है।
लाइसेंसिंग जानकारी के लिए LICENSE देखें।