CRT

Strumento di Reporting CrowdStrike per Azure (CRT)

Questo strumento interroga le seguenti configurazioni nel tenant Azure AD/O365 che possono far luce su autorizzazioni e impostazioni di configurazione difficili da trovare per assistere le organizzazioni nella protezione di questi ambienti.

Exchange Online (O365):

• Configurazione Federazione
• Trust di Federazione
• Impostazioni di Accesso Client Configurate sulle Cassette Postali
• Regole di Inoltro della Posta per Domini Remoti
• Regole di Inoltro SMTP delle Cassette Postali
• Regole di Trasporto della Posta
• Delegati con Autorizzazione 'Accesso Completo' Concessa
• Delegati con Qualsiasi Autorizzazione Concessa
• Delegati con Autorizzazioni 'Invia Come' o 'Invia per Conto di'
• Utenti con PowerShell di Exchange Online Abilitato
• Utenti con 'Bypass Audit' Abilitato
• Cassette Postali Nascoste dall'Elenco Indirizzi Globale (GAL)
• Raccogli le impostazioni di configurazione del logging di audit dell'amministratore.

Azure AD:

• Oggetti Principal del Servizio con KeyCredentials
• Report dei Gruppi Amministrativi O365
• Autorizzazioni Delegate e Autorizzazioni dell'Applicazione

Interrogazione delle Informazioni sul Partner del Tenant: Per visualizzare le Informazioni sul Partner del Tenant, inclusi i ruoli assegnati ai tuoi partner, devi accedere al Centro di Amministrazione Microsoft 365 come Amministratore Globale:

https://admin.microsoft.com/AdminPortal/Home#/partners

Prerequisiti:

I seguenti moduli PowerShell sono richiesti e verranno installati automaticamente:

• ExchangeOnlineManagement
• AzureAD

NOTA: Per restituire l'intera estensione delle configurazioni interrogate, è richiesto il seguente ruolo:

• Amministratore Globale

Quando i privilegi di Amministratore Globale non sono disponibili, lo strumento ti avviserà su quali informazioni non saranno disponibili di conseguenza.

Utilizzo:

Nessun parametro specificato: Una cartella denominata con data e ora (YYYYDDMMTHHMM) verrà creata automaticamente nella directory da cui viene eseguito lo script. Il metodo di autenticazione predefinito richiederà una richiesta per ogni connessione per compatibilità con MFA.

.\Get-CRTReport.ps1

Parametro -BasicAuth: [OPZIONALE] Se MFA non è applicata per il tuo utente principale, puoi utilizzare questo parametro che richiederà l'autenticazione una sola volta e memorizzerà le credenziali usando Get-Credential. (Non Consigliato)

.\Get-CRTReport.ps1 -BasicAuth

Parametro -JobName: [OPZIONALE] Usa il parametro JobName per distinguere tra diversi tenant. Se non viene specificato alcun JobName, una cartella formattata con Data/Ora verrà posizionata nella directory di lavoro.

.\Get-CRTReport.ps1 -JobName MyJobName

Parametro -WorkingDirectory: [OPZIONALE] Se vuoi specificare una directory di lavoro diversa per i tuoi job, puoi farlo con questo parametro. La directory di lavoro predefinita è la directory da cui viene eseguito lo script.

.\Get-CRTReport.ps1 -JobName MyJobName -WorkingDirectory 'C:\Path\to\Job\Folder'

Parametro -Commands: [OPZIONALE] Con questo parametro, specifica i comandi specifici che vuoi eseguire tra virgolette, separati da virgola o spazio.

.\Get-CRTReport.ps1 -JobName MyJobName -WorkingDirectory 'C:\Path\to\Job\Folder' -Commands "Command1,Command2"

Parametro -AzureEnvironmentName & -ExchangeEnvironmentName: [OPZIONALE] Con questo parametro, specifica i nomi degli ambienti Azure o Exchange. Usando il completamento con tab puoi cercare i valori accettabili.

.\Get-CRTReport.ps1 -ExchangeEnvironmentName O365USGovGCCHigh -AzureEnvironmentName AzureUSGovernment

Comandi Disponibili:

FedConfig
FedTrust
ClientAccess
RemoteDomains
SMTPForward
TransportRules
FullAccessGranted
AnyAccessGranted
SendAsGranted
EXOPowerShell
AuditBypassEnabled
HiddenMailboxes
KeyCredentials
O365AdminGroups
DelegateAppPerms
AdminAuditLogConfig

Parametro -Interactive: [OPZIONALE] Alcuni comandi potrebbero richiedere molto tempo per essere elaborati a seconda della quantità di dati nel tenant. Usando il parametro Interactive, avrai la possibilità di saltare qualsiasi comando particolare prima che il modulo venga eseguito.

.\Get-CRTReport.ps1 -JobName MyJobName -WorkingDirectory 'C:\Path\to\Job\Folder' -Interactive

Riepilogo Report:

Ad ogni esecuzione, CRT produrrà un report per ogni query in formato json così come in formati più leggibili, .TXT e .CSV:

Nessun parametro specificato: Una cartella denominata con data e ora (YYYYDDMMTHHMM) verrà creata automaticamente nella directory da cui viene eseguito lo script. Per supportare MFA, il metodo di autenticazione predefinito richiederà all'utente di effettuare l'accesso per ogni connessione.

• YYYYDDMMTHHMM\output.log (copia fisica del log della console)
• YYYYDDMMTHHMM\_CRTReportSummary.txt (Riepilogo degli script eseguiti e suggerimenti investigativi per orientamento)
• YYYYDDMMTHHMM\Reports\<report>.csv (Report in output CSV, dove applicabile)
• YYYYDDMMTHHMM\Reports\<report>.txt (Report in output TXT, dove applicabile)
• YYYYDDMMTHHMM\Reports\json\<report>.json (Ogni report è accompagnato da un output JSON per maggiore verbosità)

Problemi Noti:

• Il tentativo di connettersi a Exchange Online utilizzando accessi federati non funziona al momento quando si cerca di connettersi sia a Exchange Online che ad Azure AD nella stessa sessione PowerShell.
• Il recupero dei risultati per le autorizzazioni Any/FullAccess (comandi AnyAccessGranted e FullAccessGranted) in alcuni casi restituisce un errore e potrebbe non completarsi completamente. Eseguire il comando manualmente potrebbe comunque funzionare:

Get-EXOMailbox -ResultSize Unlimited | Get-EXOMailboxPermission | Where-Object { ($_.IsInherited -eq $false) -and -not ($_.User -like "NT AUTHORITY\SELF")} | Export-Csv "AnyAssignedPerms.csv" -NoTypeInformation -Encoding Default

Get-EXOMailbox -ResultSize Unlimited | Get-EXOMailboxPermission | Where-Object { ($_.AccessRights -eq "FullAccess") -and ($_.IsInherited -eq $false) -and -not ($_.User -like "NT AUTHORITY\SELF")} | Export-Csv "FullAccessPerms.csv" -NoTypeInformation -Encoding Default

Come Posso Contribuire?

Se hai trovato un bug, utilizza la scheda Issues per segnalare un nuovo problema o aggiungere i tuoi commenti a uno esistente.

Se hai raccomandazioni per lo strumento o necessiti di un'escalation critica, invia un'email a: [email protected].