Untitled Goose Tool è uno strumento robusto e flessibile di caccia e risposta agli incidenti che aggiunge nuovi metodi di autenticazione e raccolta dati per eseguire un'indagine completa sugli ambienti Azure Active Directory (AzureAD), Azure e M365 di un cliente.
The Goose is loose.
Untitled Goose Tool è uno strumento robusto e flessibile per la ricerca e la risposta agli incidenti che aggiunge nuovi metodi di autenticazione e raccolta dati al fine di condurre un'indagine completa contro gli ambienti Microsoft Entra ID, Azure e M365 di un cliente. Untitled Goose Tool raccoglie telemetria aggiuntiva da Microsoft Defender for Endpoint (MDE) e Defender for Internet of Things (IoT) (D4IoT).
Questo strumento è stato progettato per assistere i team di risposta agli incidenti esportando gli artefatti cloud dopo un incidente per gli ambienti che non acquisiscono log in un Security Information and Events Management (SIEM) o in un'altra soluzione a lungo termine per i log.
Per ulteriori indicazioni su come utilizzare Untitled Goose Tool, consultare: Untitled Goose Tool Fact Sheet
Python >= 3.9 è richiesto per eseguire Untitled Goose Tool con Python. Python 3.12 è altamente consigliato in quanto comporta un logging migliore.
Su una macchina Windows, sarà necessario assicurarsi di avere il pacchetto ridistribuibile Microsoft Visual C++ (14.x) installato prima di eseguire lo strumento.
Si consiglia inoltre di eseguire Untitled Goose Tool all'interno di un ambiente virtuale.
pip3 install virtualenv
virtualenv -p python3 .venv
source .venv/bin/activate
# You may need to run sudo apt-get install python3-venv first
python3 -m venv .venv
source .venv/bin/activate
# You can also use py -3 -m venv .venv
python -m venv .venv
.venv\Scripts\activate
Per eseguire Untitled Goose Tool e fornirgli accesso in sola lettura al tenant, sono necessarie le seguenti autorizzazioni EntraID/M365.
Nota bene: l'account utente deve essere un account solo cloud (non sincronizzato con l'ambiente on-premise); questo garantisce che il processo di accesso rimanga lo stesso in tutti gli ambienti per lo strumento.
Un account utente solo cloud e il relativo service principal EXO con le seguenti autorizzazioni:
Exchange Online Admin Center
- View-Only Audit Logs
- View-Only Configuration
- View-Only Recipients
- User Options
Un service principal con le seguenti autorizzazioni:
Autorizzazioni API
Log Analytics API
- Data.Read (Application)
Microsoft Threat Protection:
- AdvancedHunting.Read.All (Application)
WindowsDefenderATP:
- AdvancedQuery.Read.All (Application)
- Alert.Read.All (Application)
- Library.Manage (Application)
- Machine.Read.All (Application)
- SecurityRecommendation.Read.All (Application)
- Software.Read.All (Application)
- Ti.ReadWrite (Application)
- Vulnerability.Read.All (Application)
Microsoft Graph:
- APIConnectors.Read.All (Application)
- AuditLog.Read.All (Application)
- ConsentRequest.Read.All (Application)
- Directory.Read.All (Application)
- Domain.Read.All (Application)
- IdentityProvider.Read.All (Application)
- IdentityRiskEvent.Read.All (Application)
- IdentityRiskyServicePrincipal.Read.All (Application)
- IdentityRiskyUser.Read.All (Application)
- MailboxSettings.Read (Application)
- Policy.Read.All (Application)
- Policy.Read.PermissionGrant (Application)
- Reports.Read.All (Application)
- RoleManagement.Read.All (Application)
- SecurityActions.Read.All (Application)
- SecurityAlert.Read.All (Application)
- SecurityEvents.Read.All (Application)
- UserAuthenticationMethod.Read.All (Application)
Office 365 Exchange Online
- Exchange.ManageAsApp (Application)
Ruoli IAM della sottoscrizione Azure
- Reader
- Storage Blob Data Reader
- Storage Queue Data Reader
Assicurati di abilitare "Allow public client flows" per il service principal.
Abbiamo uno script powershell di setup per configurare un service principal con le autorizzazioni necessarie. Inoltre, l'associazione dell'Azure Service Principal con m365 può attualmente essere eseguita solo tramite powershell ed è necessaria per alcune delle operazioni di raccolta log di m365.
Di seguito è riportato un esempio di esecuzione dello script che restituirà il comando goosey conf che devi eseguire per creare i file di configurazione con le informazioni corrette
PS > Write-Host "Creating a new Goose Application and Users"
PS > ./Create_SP.ps1 -AppName GooseApp -Create
Inoltre, lo script può eliminare l'Applicazione quando hai finito di usarla
PS > Write-Host "Creating a new Goose Application and Users"
PS > ./Create_SP.ps1 -AppName GooseApp -Delete
Per installare, clona il repository e poi esegui un pip install:
git clone https://github.com/cisagov/untitledgoosetool.git
cd untitledgoosetool
python3 -m pip install .
docker build . -t goosey
docker run -it -v $PWD:/workdir goosey goosey honk --debug
Untitled Goose Tool richiede parametri di autenticazione e configurazione. Per generare automaticamente il file di configurazione, eseguire quanto segue dopo l'installazione.
$ goosey conf
Una versione di questo comando verrà generata quando viene eseguito lo script di installazione di PowerShell per creare/configurare il service principal. Di seguito è riportato un esempio con valori di parametro fittizi
$ goosey conf --config_tenant=5fd146ad-8b31-4afa-a72f-6f71df5c7173 --config_subscriptionid=all --auth_appid=24fd6377-79e0-445d-838b-3eaa60d3ca21
Dopo questo, i file .auth, .conf, .auth_d4iot e .d4iot_conf dovrebbero essere posizionati nella tua directory corrente. Questi file sono utilizzati da Untitled Goose Tool. A meno che non siano stati generati con i parametri sopra indicati, dovresti compilare la sezione superiore [auth] in modo che Untitled Goose Tool possa autenticarsi correttamente alle risorse appropriate. Tuttavia, se non ti senti a tuo agio nell'inserire le tue credenziali in un file, puoi scegliere di eliminare .auth e/o .auth_d4iot e ricevere invece una richiesta delle credenziali da parte dello strumento tramite console.
L'autenticazione essenziale appare così:
[auth]
# The username of your account. ex: [email protected]
username=
# The password of your account. ex: AAD_password
password=
# The application ID of your service principal
appid=
# The client secret value of your service principal (not the secret ID)
clientsecret=
La configurazione essenziale è simile a: