gundog

gundog - Microsoft 365 Defender में PowerShell आधारित निर्देशित हंटिंग

Gundog आपको Microsoft 365 Defender में निर्देशित हंटिंग प्रदान करता है। खासकर (यदि केवल नहीं) फिलहाल ईमेल और एंडपॉइंट अलर्ट के लिए।

कार्यक्षमता

आप एक AlertID प्रदान करते हैं (जो आपको ईमेल सूचना के माध्यम से प्राप्त हो सकता है) और gundog फिर यथासंभव अधिक से अधिक संबद्ध डेटा के लिए हंट करेगा। यह आपको पोर्टल में उपलब्ध एडवांस्ड हंटिंग जैसा लचीलापन नहीं देता, लेकिन यह आपको अलर्ट, सभी संबद्ध संस्थाओं और कुछ एनरिचमेंट का त्वरित, पहला अवलोकन देगा।

यह सभी हंटिंग अलर्ट टाइमस्टैम्प पर आधारित है – इसलिए हम केवल अलर्ट से कुछ समय पहले या बाद की घटनाओं की परवाह करते हैं।

यह आपको प्रत्येक संस्था के लिए PowerShell ऑब्जेक्ट्स भी प्रदान करता है जिसके लिए उसने हंट किया – जैसे $Network Microsoft 365 Defender DeviceNetworkEvents तालिका में इस अलर्ट से संबंधित सभी चीज़ों के लिए।

gundog कुछ अन्य विशेषताओं के साथ भी आता है जो आपके जीवन को आसान बनाते हैं:

• डिफ़ॉल्ट रूप से, केवल सबसे प्रासंगिक डेटा प्रदर्शित होता है (यही तरीका है)
• यह जहाँ भी संभव हो संदर्भ प्रदान करता है: पिछले AAD साइन-इन और उपयोगकर्ता का AAD पता
• नेटवर्क कनेक्शन को स्वचालित रूप से फ़िल्टर किया जा सकता है ताकि केवल अधिक प्रासंगिक कनेक्शन प्रदर्शित हों (जैसे Office 365 से कनेक्शन हटा दें)
• नेटवर्क कनेक्शन भू-स्थान (देश और शहर) से समृद्ध होते हैं
• वेरिएबल्स अनुभाग में आप अधिकांश पैरामीटर को आसानी से समायोजित कर सकते हैं जैसे प्रत्येक क्वेरी का एडवांस्ड हंटिंग टाइमफ्रेम
• इसके अलावा यह abuse.ch, urlscan.io या ip-api.com जैसी अन्य सेवाओं पर IOCs खोजता है। मैं आपसे अनुरोध करता हूँ कि यदि आप इनका व्यावसायिक रूप से उपयोग करते हैं तो उनकी भुगतान सेवाओं के लिए आवेदन करें।

gundog के साथ पहले मूल्यांकन के बाद, आप पोर्टल में गहराई से खोजबीन जारी रख सकते हैं।

बेझिझक gundog का विस्तार करें और मुझे पुल रिक्वेस्ट भेजें! सबसे अच्छे साइकेडेलिक अनुभव के लिए, gundog के साथ Windows Terminal Dracula थीम का उपयोग करें।

त्वरित उपयोग

mandatory parameters:

- TenantID
- ClientID
- ClientSecret

Optional parameters:

- forgetIncidents

(Background: the first thing gundog is doing is to query all incidents and alerts from the incident API from the last 30 days. These are 
saved to a global variable. If you restart gundog, it will not query all incidents again, unless you set forgetIncidents to true.)

आवश्यकताएँ

AAD में एक नया ऐप पंजीकृत करें और इसे निम्नलिखित अनुमति दें: (कैसे एक ऐप पंजीकृत करें)

Microsoft Graph

- Directory.Read.All
- IdentityRiskEvent.Read.All
- IdentityRiskyUser.Read.All
- SecurityEvents.Read.All
- User.Read

Microsoft Threat Protection

- AdvancedHunting.ReadAll
- Incident.Read.All

Windows Defender ATP

- AdvancedQuery.Read.All
- Alert.Read.All
- File.Read.All
- Ip.Read.All
- Url.Read.All
- User.Read.All
- Vulnerability.Read.All

अधिक जानकारी के लिए यहाँ जाएँ: https://emptydc.com/2021/02/25/gundog/