EntraTrace

EntraTrace Microsoft Entra ID को लक्षित करने वाले आक्रामक टूलिंग के अवलोकन योग्य व्यवहार को प्रलेखित और पहचानने के लिए एक रक्षात्मक सुरक्षा अनुसंधान उपकरण है।

यह परियोजना AzureHound, AADInternals, O365Enum, PingCastle जैसे उपकरणों के आसपास एक स्वचालित ज्ञान आधार बनाती है, जिसमें उनके द्वारा उत्पन्न UserAgent और API कलाकृतियों पर ध्यान केंद्रित किया जाता है।

परियोजना की स्थिति

🚧 प्रारंभिक विकास

परियोजना सक्रिय रूप से विकसित की जा रही है। डेटा, टूलिंग कवरेज, और कार्यक्षमता समय के साथ विकसित होंगे।

योगदान, अनुसंधान, सुधार, और अतिरिक्त उपकरण विश्लेषण का स्वागत है।

यह क्या ट्रैक करता है?

EntraTrace उस जानकारी पर केंद्रित है जो रक्षकों के लिए उपयोगी हो सकती है, जिसमें शामिल हैं:

• 🔎 API एंडपॉइंट — Microsoft Graph, Azure AD Graph और टूलिंग द्वारा एक्सेस किए जाने वाले अन्य API एंडपॉइंट
• 🕵️ उपयोगकर्ता एजेंट — आक्रामक उपकरणों से जुड़े HTTP उपयोगकर्ता एजेंट
• 🛡️ पहचान के अवसर — वह डेटा जो पहचान इंजीनियरिंग, शिकार, और घटना प्रतिक्रिया का समर्थन कर सकता है

लक्ष्य आक्रामक टूलिंग व्यवहार को रक्षात्मक टीमों के लिए समझने में आसान बनाना और उसे कार्रवाई योग्य जानकारी में बदलना है।

उपकरण प्रोफ़ाइल

क्यों?

आक्रामक सुरक्षा उपकरणों का उपयोग अक्सर पहचान वातावरण का आकलन और हमला करने के लिए किया जाता है। यह समझना कि वे उपकरण Entra ID के साथ कैसे इंटरैक्ट करते हैं रक्षकों को उनके उपयोग की पहचान करने, संदिग्ध गतिविधि की जांच करने, और पहचान कवरेज में सुधार करने में मदद कर सकता है।

EntraTrace का उद्देश्य आक्रामक टूलिंग अनुसंधान और रक्षात्मक सुरक्षा संचालन के बीच की खाई को पाटना है।

उपयोग के मामले

EntraTrace का उपयोग निम्नलिखित के लिए किया जा सकता है:

• ज्ञात आक्रामक सुरक्षा उपकरणों के लिए पहचान बनाना
• Microsoft Sentinel / SIEM शिकार क्वेरी विकसित करना
• संदिग्ध Entra ID और Microsoft Graph गतिविधि की जांच करना
• घटना प्रतिक्रिया के दौरान टूलिंग की पहचान करना
• आक्रामक पहचान टूलिंग के व्यवहार पर शोध करना
• पहचान हमला तकनीकों में रक्षात्मक दृश्यता में सुधार करना

AI-सहायता प्राप्त विकास

🤖 EntraTrace AI की सहायता से विकसित किया गया है। AI का उपयोग पूरे विकास और अनुसंधान प्रक्रिया में किया जाता है, जिसमें परिणामी कार्य की मानवीय समीक्षा और सत्यापन शामिल है।

स्थानीय परिनियोजन

रिपॉजिटरी प्रतिदिन अपडेट की जाती है, लेकिन स्थानीय परिनियोजन समर्थित है। Python के साथ रिपॉजिटरी रूट से स्थानीय रूप से चलाने के लिए। उपलब्ध विकल्पों की पुष्टि करने के लिए उन्हें चलाने से पहले अंतर्निहित सहायता आउटपुट का उपयोग करें।

⚠️ - स्क्रिप्ट को स्थानीय रूप से चलाने से सुरक्षा अलर्ट उत्पन्न हो सकते हैं क्योंकि प्रोफ़ाइल बनाने के लिए आवश्यक जानकारी निकालने के लिए आक्रामक उपकरणों वाली रिपॉजिटरी स्थानीय रूप से डाउनलोड की जाती हैं।

# Extract API behavior from a repo or refresh all profile entries
python .\Scripts\ExtractToolBehavior.py --all-profiles --output-dir .\Profiles

# Export tool user agents from YAML profiles into a CSV
python .\Scripts\SummarizeUserAgents.py --profiles-dir .\Profiles --output .\Indicator Lists\UserAgents.csv

• SummarizeUserAgents.py प्रोफ़ाइल YAML फ़ाइलों से उपयोगकर्ता-एजेंट डेटा को शिकार CSV में निर्यात करता है।
• ExtractToolBehavior.py मौजूद होने पर Profiles\Tools.txt से रिपॉजिटरी URL पढ़ता है, अन्यथा आउटपुट निर्देशिका में YAML प्रोफ़ाइल फ़ाइलों में पाए जाने वाले प्रत्येक repository_url पर वापस आ जाता है।
• पूर्ण पैरामीटर सेट और व्यवहार देखने के लिए किसी भी स्क्रिप्ट को -h या --help के साथ चलाएं।

संबंधित सामग्री

• Investigating Microsoft Graph Activity Logs
• GraphApiAuditEvents: The new Graph API Logs
• Detect threats using Microsoft Graph activity logs - Part 1 by Fabian Bader
• Detect threats using Microsoft Graph activity logs - Part 2 by Fabian Bader
• Detect threats using GraphAPIAuditEvents - Part 3 by Fabian Bader
• Everything you need to know about the MicrosoftGraphActivityLogs by Invictus IR
• The Missing Link: AADGraphActivityLogs Finally Arrives by Invictus IR

लाइसेंस

लाइसेंसिंग जानकारी के लिए LICENSE देखें।