ब्लू टीम पावरशेल सुरक्षा पैकेज

ईमेल के बजाय अलर्ट के लिए Microsoft Teams का उपयोग करना

यदि आप ईमेल का उपयोग करने के बजाय Microsoft Teams का उपयोग करना चाहते हैं, तो आपको इस रिपॉजिटरी की microsoft-teams शाखा को लोड करना होगा, जिसमें Teams अलर्ट संशोधन हैं। इसे इंस्टॉल स्क्रिप्ट में एक कॉन्फ़िगरेशन विकल्प के रूप में लागू करने में मुझे थोड़ा समय लगेगा। अलर्ट पोस्ट के लिए Microsoft Teams का उपयोग करने से इस रिपॉजिटरी में कुछ ईमेल सूचनाओं की आवश्यकता समाप्त नहीं होती है। कुछ कार्यों के लिए ईमेल का अभी भी उपयोग किया जाएगा। ये Teams पोस्ट तब पूरी की जा सकती हैं जब आप पहले एक वेबहुक बनाते हैं। तथाकथित वेबहुक Microsoft Teams चैनल को अलर्ट या अन्य सूचनाएँ भेजने की संभावना प्रदान करते हैं। मैं व्यक्तिगत रूप से अभी भी इस संदेश का उपयोग करने के बाद ईमेल पसंद करता हूँ क्योंकि मेरी राय में उन्हें छाँटना आसान है।

• वेबहुक बनाने के लिए Microsoft दस्तावेज़ीकरण
• वेबहुक का उपयोग करने पर Microsoft दस्तावेज़ीकरण

आप निम्नलिखित चरणों का उपयोग करके एक वेबहुक बना सकते हैं (यदि आप एक व्यवस्थापक हैं)

1. Microsoft Teams एप्लिकेशन खोलें
2. बाएँ फलक में "Teams" पर क्लिक करें
3. वांछित Teams चैनलों में से एक के आगे तीन बिंदुओं "..." द्वारा दर्शाए गए अधिक विकल्प आइकन पर क्लिक करें। उदाहरण चैनल नाम: General
4. उन तीन बिंदुओं पर क्लिक करने से एक ड्रॉपडाउन मेनू प्रदर्शित होगा। "Connectors" पर क्लिक करें
5. "Incoming Webhook" के आगे "Add" बटन पर क्लिक करें
6. Incoming Webhook पॉप अप स्क्रीन पर "Add" पर क्लिक करें
7. Incoming Webhook स्क्रीन पर निम्नलिखित क्रियाएँ करें a. अपने वेबहुक के लिए एक नाम परिभाषित करें। नीचे दी गई छवि में यह मान "PowerShell-TeamsMessagePost" है b. "Create" पर क्लिक करें c. वैकल्पिक रूप से आप Incoming Webhook के लिए एक छवि चुनने के लिए "Upload Image" का भी उपयोग कर सकते हैं। नीचे दी गई छवि में मैंने डिफ़ॉल्ट आइकन छोड़ा है जो सफेद पृष्ठभूमि पर हल्का नीला त्रिभुज है। d. "Create" पर क्लिक करें
8. Incoming Webhook URL बनाया गया है। URL कॉपी करें और "Done" पर क्लिक करें

अब आप ऊपर दिए गए URL का उपयोग मेरे द्वारा प्रदान की गई B.T.P.S Security Package स्क्रिप्ट में कर सकते हैं। आप नीचे दिए गए कमांड को निष्पादित करके स्क्रिप्ट में मान को शीघ्रता से अपडेट कर सकते हैं

$WebHook = Read-Host -Prompt "Paster your Webhook URL here: "
$SIEM = Read-Host -Prompt "If you have a SIEM in your environment enter the link here: "
$BTPSHome = Read-Host -Prompt "Where did you save the BTPS Security Pacakge git repo? EXAMPLE: C:\Users\Administrator\Downloads\BTPS-SecPack-microsoft-teams"
$Files = (Get-ChildItem -Path $BTPSHome -Include "AttemptedPasswordChange.ps1","AttemptedPasswordReset.ps1","Failed.Username.and.Password.ps1","User.Account.Created.ps1 ","User.Account.Locked.ps1","User.Account.Unlocked.ps1","DNSZoneTransferAlert.ps1","NewComputerAlert.ps1","Query-InsecureLDAPBinds.ps1","UnusualUserSignInAlert.ps1","Watch-PortScan.ps1 " -Recurse -ErrorAction SilentlyContinue -Force).FullName
ForEach ($File in $Files) {

    ((Get-Content -Path $File -Raw) -Replace "WEBHOOK_URL_REPLACE","$WebHook") | Set-Content -Path $File -Force
    ((Get-Content -Path $File -Raw) -Replace "SIEM TOOL LINK","$SIEM") | Set-Content -Path $File -Force

}  # End ForEach

Microsoft Teams में आपका अलर्ट कुछ इस तरह दिखेगा

परियोजना में योगदान दें

यदि आप इस परियोजना की सामग्री में योगदान देना चाहते हैं, तो कृपया अपने विचारों और विचारों के साथ [email protected] पर मुझसे संपर्क करने में संकोच न करें। इस पर अधिक सामान्य जानकारी के लिए कृपया CONTRIBUTING दस्तावेज़ देखें।

दान

यदि आप इस परियोजना को दान देना चाहते हैं ताकि मैं दस्तावेज़ीकरण के लिए एक अच्छी दिखने वाली साइट बनाए रख सकूं, तो आपके दान कृतज्ञतापूर्वक स्वीकार किए जाएंगे।
ईथरम भेजें : 0xBeDbCfA5366fF1187957BB3ed8811c51B4dBe4D4

B.T.P.S. Sec Pack

इस रिपो में PowerShell टूल का एक संग्रह है जिसका उपयोग Microsoft की सिफारिशों के आधार पर वातावरण की सुरक्षा और रक्षा के लिए किया जा सकता है।
यह रिपो यह भी मानता है कि आपने अपने वातावरण में लॉगिंग के लिए Windows Event Logging Cheat Sheet का संदर्भ लिया है। अनुशंसित लॉगिंग कॉन्फ़िगर की गई है यह सुनिश्चित करने के लिए LOG-MD या CIS-CAT का उपयोग करें।

Installer.ps1

मैंने इन सुरक्षाओं में से अधिकतम को स्वचालित रूप से सेट करने के लिए एक प्रारंभिक इंस्टॉल स्क्रिप्ट लिखी है। इनमें से अधिकांश स्क्रिप्ट ईमेल अलर्ट हैं। Installer.ps1 चलाते समय आपसे पूछा जाएगा कि आप अपने SMTP सर्वर से कैसे प्रमाणित करना चाहते हैं। यह क्रेडेंशियल फ़ाइल के उपयोग या IP पता प्रमाणीकरण के माध्यम से किया जा सकता है। इस स्क्रिप्ट को एक डोमेन कंट्रोलर पर चलाया जाना चाहिए क्योंकि यह वह जगह है जहाँ कई अलर्ट स्थित हैं। मैं आपके वातावरण में HTTPS पर WinRM का उपयोग करने का सुझाव दूंगा। मेरे पास इस परियोजना की साइट यहाँ पर HTTPS पर WinRM के लिए एक वीडियो और सेटअप निर्देश हैं। यह स्क्रिप्ट आपको बताएगी कि क्या आपके वातावरण में LDAP over SSL का उपयोग किया जा रहा है। यदि आप अपने वातावरण में LDAP over SSL कॉन्फ़िगर करना चाहते हैं, जिसकी मैं अत्यधिक अनुशंसा करता हूँ, तो मैंने इस पर एक वीडियो बनाया है कि इसे सुरक्षित रूप से कैसे किया जाए यहाँ। Installer.ps1 स्क्रिप्ट आपको इस पैकेज के प्रत्येक अनुभाग को सेट करने में मदद करेगी, स्क्रिप्ट में रुकावटों के साथ जो आपके द्वारा एक कार्य पूरा करने की प्रतीक्षा करती हैं यदि आवश्यक हो। ऐसी एक प्रतीक्षा उदाहरण के लिए आपके द्वारा पुश किए जाने वाले समूह नीति को सेट करने के लिए है। चलाए जाने के बाद नीचे दी गई अधिकांश सुरक्षाएँ आपके वातावरण पर लागू हो जाएंगी। "Unusual Sign In Alert" के लिए आपको UserComputerList.csv फ़ाइल को संशोधित करना होगा ताकि इसमें यह जानकारी हो कि आपके वातावरण में किन उपकरणों में किन उपयोगकर्ताओं के साइन इन करने की उम्मीद है।

Installer.ps1 चलाने के बाद कौन सी सुरक्षाएँ शामिल हैं?

• Canary Executable Decoys मैंने कुछ निष्पादन योग्य फ़ाइलें शामिल की हैं जिन्हें एक हमलावर निष्पादित करने से रोक नहीं पाएगा। ये निष्पादन योग्य फ़ाइलें नकली बाइनरी हैं जो मूल निष्पादन योग्य फ़ाइल का सहायता संदेश प्रिंट करती हैं ताकि निष्पादन पर फ़ाइल वैध लगे। ये निष्पादन योग्य फ़ाइलें Canary Tokens पर अपलोड करने के लिए हैं जो आपको एक ईमेल अलर्ट भेजेगी जब भी फ़ाइल निष्पादित हो। इस पर निर्देश यहाँ देखे जा सकते हैं।
• RemediateCompromisedOfficeAccount.ps1 देखें का उपयोग उस उपयोगकर्ता को प्रतिक्रिया देने के लिए किया जाता है जिसका Office365 पासवर्ड समझौता किया गया है। यह पासवर्ड रीसेट करेगा (जो सत्र को समाप्त करता है)। मेलबॉक्स डेलीगेट हटाएं। बाहरी डोमेन के लिए मेल फ़ॉरवर्डिंग नियम हटाएं। मेलबॉक्स पर ग्लोबल मेल फ़ॉरवर्डिंग गुण हटाएं। खाते पर पासवर्ड जटिलता को उच्च पर सेट करें। मेलबॉक्स ऑडिटिंग सक्षम करें। व्यवस्थापक द्वारा समीक्षा के लिए ऑडिट लॉग तैयार करें।
• खाता और पासवर्ड अलर्ट देखें
  • जब कोई खाता 2 सप्ताह या उससे कम में समाप्त हो रहा हो तो अलर्ट प्राप्त करें
  • उन सभी उपयोगकर्ताओं की एक तालिका वाला अलर्ट प्राप्त करें जिनके पासवर्ड दो सप्ताह या उससे कम में समाप्त हो रहे हैं
  • जब कोई उपयोगकर्ता अपना पासवर्ड बदलने का प्रयास करता है तो अलर्ट प्राप्त करें
  • जब एक खाता दूसरे खाते का पासवर्ड बदलने का प्रयास करता है तो अलर्ट प्राप्त करें
  • जब कोई खाता किसी सर्वर पर लॉग ऑन करने में विफल रहता है तो अलर्ट प्राप्त करें
  • जब एक नया उपयोगकर्ता खाता बनाया जाता है तो अलर्ट प्राप्त करें
  • जब कोई उपयोगकर्ता खाता लॉक हो जाता है तो अलर्ट प्राप्त करें
  • जब कोई उपयोगकर्ता खाता अनलॉक किया गया है तो अलर्ट प्राप्त करें
  • जब उन्नत विशेषाधिकारों के साथ एक प्रक्रिया को निष्पादित करने के लिए व्यवस्थापक क्रेडेंशियल का उपयोग किया जाता है तो अलर्ट प्राप्त करें। यह वास्तव में केवल उन उपयोगकर्ताओं की निगरानी करने के लिए है जिन्हें आईटी की सिफारिशों के विरुद्ध व्यवस्थापक क्रेडेंशियल दिए गए हों। इसका उपयोग वांछित होने पर दुर्भावनापूर्ण गतिविधि के लिए किसी व्यवस्थापक की निगरानी के लिए भी किया जा सकता है। संभावना है कि आपको MonitorAdminEscalation.ps1 लागू करने की आवश्यकता नहीं होगी।
• AutoRunsToWinEvent मूल देखें