Modulo PowerShell per Azure AD Incident Response

Il modulo PowerShell per l'Incident Response di Azure Active Directory fornisce una serie di strumenti, sviluppati dal gruppo di prodotto Azure Active Directory in collaborazione con il Microsoft Detection and Response Team (DART), per assistere nella risposta alle compromissioni.

Perché usare il modulo?

Il modulo soddisfa questi obiettivi di sviluppo:

• Fornire strumenti rapidi e facili da installare e usare:
  • Passaggi di configurazione complessi non sono desiderabili in una situazione di compromissione
  • Guida dettagliata ed esempi inclusi come elementi fondamentali
• Fornire cmdlet che ottengano in modo affidabile i dati di cui hai bisogno:
  • Combinare dati specifici per l'IR provenienti da numerose fonti
  • Offrire opzioni integrate per visualizzare o acquisire i risultati
  • Paginazione e logica di ripetizione come impostazione predefinita
• Rendere il modulo un progetto della comunità per un miglioramento continuo
• Aiutare a colmare il divario tra ambienti e conoscenze on-premises e cloud
  • Cmdlet per creare connessioni e correlazioni
  • Fornire familiarità a chi non conosce l'automazione cloud
• Adatto a Security Operations Centre (SOC)

Come installo il modulo?

Il modulo può essere trovato qui:

https://www.powershellgallery.com/packages/AzureADIncidentResponse

Si prega di utilizzare la versione più recente. Il modulo ha una serie di prerequisiti che verranno installati automaticamente:

• Modulo PowerShell MSAL.ps
• Modulo PowerShell AzureAD
• Modulo PowerShell MSOnline

Da PowerShell è necessario eseguire:

  Install-Module -Name AzureADIncidentResponse -AcceptLicense

Suggerimento: potrebbe essere necessario considerare attendibile il repository di PowerShell Gallery affinché questa operazione venga completata correttamente.

Se si verifica un problema di installazione con uno dei moduli dipendenti, MSAL.ps, vedere qui per le procedure di risoluzione:

https://github.com/AzureAD/MSAL.PS/blob/master/README.md#install-from-the-powershell-gallery

NB - uno dei cmdlet del modulo, Get-AzureADIRPrivilegedUserOnPremCorrelation, utilizza il modulo Windows Server Active Directory. Se si desidera utilizzare tale cmdlet, il modulo AzureADIncidentResponse dovrà essere installato su un Windows Server aggiunto al dominio, con connettività a Internet. Il dominio sarà in genere quello in cui è installato il server Azure AD Connect. Il modulo PowerShell ActiveDirectory dovrà inoltre essere installato sul server di destinazione.

Contributi

Questo progetto accoglie con favore contributi e suggerimenti. La maggior parte dei contributi richiede di accettare un Contributor License Agreement (CLA) che dichiari di avere il diritto di concederci, e di concederci effettivamente, i diritti di utilizzo del tuo contributo. Per dettagli, visita https://cla.opensource.microsoft.com.

Quando invii una pull request, un bot per il CLA determinerà automaticamente se devi fornire un CLA e decorerà la PR in modo appropriato (ad es. controllo dello stato, commento). Segui semplicemente le istruzioni fornite dal bot. Dovrai farlo solo una volta in tutti i repository che utilizzano il nostro CLA.

Questo progetto ha adottato il Codice di comportamento Microsoft per l'open source. Per maggiori informazioni, consultare le FAQ sul Codice di comportamento oppure contattare [email protected] per eventuali domande o commenti aggiuntivi.

Marchi

Questo progetto può contenere marchi o loghi relativi a progetti, prodotti o servizi. L'uso autorizzato dei marchi o dei loghi Microsoft è soggetto a e deve seguire Linee guida su marchi e brand di Microsoft. L'uso di marchi o loghi Microsoft in versioni modificate di questo progetto non deve creare confusione né implicare il patrocinio di Microsoft. Qualsiasi uso di marchi o loghi di terze parti è soggetto alle politiche di tali terze parti.