#### Linux```sh
# You may need to run sudo apt-get install python3-venv first
python3 -m venv .venv
source .venv/bin/activate

### आवश्यकताएँ
Untitled Goose Tool को चलाने के लिए निम्नलिखित EntraID/M365 अनुमतियाँ आवश्यक हैं, और ये टूल को टेनंट तक केवल-पठन (read-only) पहुँच प्रदान करती हैं।

कृपया ध्यान दें: उपयोगकर्ता खाता केवल-क्लाउड (cloud-only) खाता होना चाहिए (ऑन-प्रिमाइस वातावरण से sync'd नहीं), यह सुनिश्चित करेगा कि टूल के लिए लॉगिन प्रक्रिया सभी वातावरणों में समान बनी रहे।

एक cloud-only उपयोगकर्ता खाता और संबद्ध EXO सेवा प्रिंसिपल, जिसमें निम्नलिखित अनुमतियाँ हों:

Exchange Online Admin Center```
- View-Only Audit Logs
- View-Only Configuration 
- View-Only Recipients
- User Options

Azure सदस्यता IAM भूमिकाएँ```
- Reader
- Storage Blob Data Reader
- Storage Queue Data Reader

इसके अतिरिक्त, जब आप इसका उपयोग समाप्त कर लें तो स्क्रिप्ट एप्लिकेशन को हटा सकती है।```powershell
PS > Write-Host "Creating a new Goose Application and Users"
PS > ./Create_SP.ps1 -AppName GooseApp -Delete

#### Docker```sh
docker build . -t goosey
docker run -it -v $PWD:/workdir goosey goosey honk --debug

इस कमांड का एक संस्करण तब उत्पन्न किया जाएगा जब powershell इंस्टॉलेशन स्क्रिप्ट को सर्विस प्रिंसिपल बनाने/सेट करने के लिए चलाया जाता है। नीचे नकली पैरामीटर मानों के साथ एक उदाहरण दिया गया है।```sh
$ goosey conf --config_tenant=5fd146ad-8b31-4afa-a72f-6f71df5c7173 --config_subscriptionid=all --auth_appid=24fd6377-79e0-445d-838b-3eaa60d3ca21 

न्यूनतम कॉन्फ़िग इस प्रकार दिखता है:```
[config]
# The tenant ID of your AAD tenant
tenant=
# If you have a GCC High tenant
us_government=False
# If you have a GCC tenant with MDE
mde_gcc=False
# If you have a GCC High tenant with MDE
mde_gcc_high=False
# If your M365 tenant is a government tenant
exo_us_government=False
# If you want to check all of your Azure subscriptions, set this to All, otherwise enter your Azure subscription ID. For multiple IDs, separate it with commas, no spaces
subscriptionid=All

[filters]
# Format should be YYYY-MM-DD. If not set will default to the earliest date for log retention
date_start=
# Format should be YYYY-MM-DD. Will default to the present day
date_end=

[variables]
# Threshold used for ual API requests. Specifies the maximum results pulled per session. Can be between 100 - 50000. The api is optimized to return results faster the larger the threshold, but the whole session has to be repeated if an error occurs as the results are not returned sorted. We recommend 5000 as the threshold, but this can be toggled with
ual_threshold=5000
# Maximum number of ual coroutines/tasks to have running asynchronously. Minimum value is 1.
max_ual_tasks=5
# Start date for an extra time frame for ual to search. Reason for this is because ual takes the longest to pull and while you don't want the oldest data to roll off, you may want to look at another timeframe and do not want to wait for ual to get there and pull the logs. Format should be YYY-MM-DD
ual_extra_start=
# End date for an extra time frame for ual to search. Reason for this is because ual takes the longest to pull and while you don't want the oldest data to roll off, you may want to look at another timeframe and do not want to wait for ual to get there and pull the logs. Format should be YYY-MM-DD
ual_extra_end=
# Threshold for how many logs to pull per query. Usually want to try to max this out as KQL queries are rate limited.
mde_threshold=10000
# can be either 'table' or 'machine'. 'table' will pull directly from the mde tables without filtering. While 'machine' will filter by 'machine' with large tenants 'machine' will likely be prefered as time bounding on the entire table will likely cause issues.
mde_query_mode=table

[azure]
# Dumps activity log from azure
activity_log=False
# Returns all azure subscriptions
all_azure_subscriptions=False
# Dump insights bastion audit logs
bastion_logs=False
# Dump Azure configuration information
configs=False
# Dump D4IOT portal configs
d4iot_portal_configs=False
# Dump D4IOT portal pcaps from alerts
d4iot_portal_pcap=False
# Dump insights audit events for key_vault
key_vault_log=False
# Dump insights network security group flow events
nsg_flow_logs=False

[entraid]
# Dumps Entra ID Audit logs
entraid_audit=False
# Dumps Entra ID provisioning logs
entraid_provisioning=False
# Dumps Entra ID configuration files
configs=False
# Dumps risk detections from identity protection. Requires a minimum of Microsoft Entra ID P1 license and Microsoft Entra Workload ID premium license for full results.
risk_detections=False
# Dumps risky users and service principal information. Requires a minimum of Microsoft Entra ID P2 license and Microsoft Entra Workload ID premium license for full results.
risky_objects=False
# Dump security actions, alerts, and scores
security=False
# Dump interactive (adfs) sign in logs
signins_adfs=False
# Dump managed identity (msi) sign in logs
signins_msi=False
# Dump non-interactive (rt) sign in logs
signins_rt=False
# Dump service principal (sp) signin logs
signins_sp=False

[m365]
# Get Exchange discovery information
ediscovery_info=False
# Get all of the applications installed for the organization
exo_addins=False
# Get EXO config information
exo_config_info=False
# Dumps Exchange Online Role Group and Role Group Members information.
exo_groups=False
# Get all the messageRule objects defined for all users' inboxes
exo_inboxrules=False
# Dumps Exchange Online Mailbox Information
exo_mailbox=False
# Get information on m365 mobile devices
exo_mobile_devices=False
# Dumps UAL for last year using Search-UnifiedAuditLog api. Previous ual api is currently deprecated.
ual=False

[mde]
# Dumps the results from incidents and alerts.
advanced_hunting_alerts_incidents=False
# Dumps the results from advanced hunting queries.
advanced_hunting_query=False
# Dumps the results from advanced hunting API queries.
advanced_identity_hunting_query=False
# Dump alerts
alerts=False
# Dump indicators
indicators=False
# Dump investigations
investigations=False
# Dump library files
library_files=False
# Dump known machine vulnerabilities
machine_vulns=False
# Dump machines with mde
machines=False
# Dump mde recommendations
recommendations=False
# Dump known installed software
software=False

D4IoT कॉन्फ़िग इस प्रकार दिखता है:```
[config]
# Enter your D4IoT sensor IP
d4iot_sensor_ip=
# Enter your D4IoT management console IP
d4iot_mgmt_ip=

[d4iot]
# Dump management alerts
mgmt_alerts=False
# Dump management devices
mgmt_devices=False
# Dump management sensor pcap captured
mgmt_pcap=False
# Dump management sensor information
mgmt_sensor_info=False
# Dump sensor alerts
sensor_alerts=False
# Collect all device connections
sensor_device_connections=False
# Dummp sensor device known cves
sensor_device_cves=False
# Dump sensor device known vulnerabilities
sensor_device_vuln=False
# Dump sensor devices
sensor_devices=False
# Dump sensor events
sensor_events=False
# Dump sensor operation vulnerabilities
sensor_operational_vuln=False
# Dump sensor pcap
sensor_pcap=False
# Dump sensor security vulnerabilities
sensor_security_vuln=False

डिफ़ॉल्ट के साथ चलाएँ। डिफ़ॉल्ट रूप से यह क्रेडेंशियल/टोकन को प्रॉम्प्ट किए गए पासवर्ड से एन्क्रिप्ट करेगा। यदि कॉन्फ़िग में फ़ील्ड परिभाषित नहीं हैं तो यह उनके लिए भी प्रॉम्प्ट करेगा:```sh
$ goosey auth

### Csv```sh
$ goosey csv --help
NAME
    goosey csv - Create csv files mapping GUIDs to text

SYNOPSIS
    goosey csv <flags>

DESCRIPTION
    Create csv files mapping GUIDs to text

FLAGS
    -o, --output_dir=OUTPUT_DIR
        Default: 'output/entraid/'
        The directory where the goose files are located
    -r, --result_dir=RESULT_DIR
        Default: 'output/csvs/'
        Directory for storing the results
    -d, --debug=DEBUG
        Default: False
        Enable debug logging

### Honk```sh
$ goosey honk --help
NAME
    goosey honk - Untitled Goose Tool Information Gathering

SYNOPSIS
    goosey honk <flags>

DESCRIPTION
    Untitled Goose Tool Information Gathering

FLAGS
    --authfile=AUTHFILE
        Default: '.ugt_auth'
        File to store the authentication tokens and cookies
    -c, --config=CONFIG
        Default: '.conf'
        Path to config file
    --auth=AUTH
        Default: '.auth'
        File to store the credentials used for authentication
    -o, --output_dir=OUTPUT_DIR
        Default: 'output'
        Directory for storing the results
    -r, --reports_dir=REPORTS_DIR
        Default: 'reports'
        Directory for storing debugging/informational logs
    --debug=DEBUG
        Default: False
        Enable debug logging
    --dry_run=DRY_RUN
        Default: False
        Dry run (do not do any API calls)
    --azure=AZURE
        Default: False
        Set all of the Azure calls to true
    --entraid=ENTRAID
        Default: False
        Set all of the Entra ID calls to true
    --m365=M365
        Default: False
        Set all of the M365 calls to true
    --mde=MDE
        Default: False
        Set all of the MDE calls to true

डीबग लॉगिंग सक्षम करके चलाएँ, निर्देशिका `my_outputs` में आउटपुट करें, और सभी Azure कॉल सक्षम करें:```sh
$ goosey honk --debug --output-dir my_outputs --azure

### अनुशंसित डिफ़ॉल्ट कार्यप्रवाह

1. टूल इंस्टॉल करें `pip install .`
2. (वैकल्पिक) अपने टेनेंट के लिए सेवा प्रिंसिपल सेटअप करने हेतु [setup powershell script](https://github.com/cisagov/untitledgoosetool/blob/HEAD/scripts/Create_SP.ps1) चलाएँ
3. आउटपुट हुआ `goosey conf` कमांड उपयोग करें। या इसे बिना किसी पैरामीटर के चलाएँ
4. अपनी साख (credentials) के साथ .auth फ़ाइल भरें (यदि आपने पॉवरशेल स्क्रिप्ट का आउटपुट उपयोग नहीं किया है)
5. कॉन्फ़िगरेशन जानकारी भरें और .conf फ़ाइल में वांछित कॉल को `True` पर सेट करें।
6. वांछित पैरामीटर के साथ `goosey auth` चलाएँ।
7. वांछित पैरामीटर के साथ `goosey honk` चलाएँ।
8. चरण 6-7 के बजाय वांछित पैरामीटर के साथ `goosey autohonk` चलाएँ

### UAL कॉल के लिए अनुशंसित कार्यप्रवाह

1. उपरोक्त चरण 1-4
2. .conf फ़ाइल खोलें और `m365` अनुभाग के अंतर्गत `ual` को `True` पर सेट करें।
3. वांछित पैरामीटर के साथ `goosey auth` चलाएँ।
4. वांछित पैरामीटर के साथ `goosey honk` चलाएँ।
5. चरण 3-4 के बजाय वांछित पैरामीटर के साथ `goosey autohonk` चलाएँ

### विचारणीय बातें

1. हम पहले [setup powershell script](https://github.com/cisagov/untitledgoosetool/blob/HEAD/scripts/Create_SP.ps1) चलाने या .conf भरने की अनुशंसा करते हैं
2. .auth और/या .auth_d4iot भरना अब वैकल्पिक है।
3. `goosey honk` या `goosey d4iot` चलाने से पहले हमेशा `goosey auth` चलाएँ। `goosey autohonk` अपने आप प्रमाणीकरण कर लेगा।

### विशेष उपयोग के मामले

#### प्रॉक्सी के पीछे

यह टूल प्रॉक्सी के पीछे काम करना चाहिए। जब तक क्ली (cli) के लिए उपयुक्त पर्यावरण चर सेट हैं```
https_proxy=<proxy_url>
http_proxy=<proxy_url>