Guida introduttiva a Microsoft-Extractor-Suite

Per iniziare con Microsoft-Extractor-Suite, consulta la documentazione di Microsoft-Extractor-Suite.

Informazioni su Microsoft-Extractor-Suite

Microsoft-Extractor-Suite è uno strumento Powershell completo e attivamente mantenuto, progettato per semplificare la raccolta di tutti i dati e le informazioni necessari da varie fonti all'interno di Microsoft.

Sono supportate le seguenti fonti dati Microsoft:

• Unified Audit Log
• Admin Audit Log
• Mailbox Audit Log
• Mailbox Rules
• Transport Rules
• Message Trace Logs
• Log di accesso di Entra ID
• Log di controllo di Entra ID
• Log di attività di Azure
• Log di attività della directory di Azure

Oltre alle fonti di log sopra elencate, lo strumento è in grado di recuperare altre informazioni rilevanti:

• Applicazioni OAuth registrate in Entra ID
• Stato MFA per tutti gli utenti
• Data e ora di creazione dell'ultima modifica della password per tutti gli utenti
• Utenti a rischio
• Rilevamenti a rischio
• Criteri di accesso condizionato
• Ruoli amministrativi della directory e i relativi utenti
• Una o più e-mail o allegati specifici
• Permessi delegati per tutte le cassette postali in Microsoft 365
• Informazioni su tutti i dispositivi registrati in Entra ID
• Stato e impostazioni di controllo per tutte le cassette postali in Microsoft 365
• Funzioni progettate per raccogliere informazioni sui gruppi
• Funzioni progettate per raccogliere informazioni sulle licenze
• Recupero delle informazioni sulle attività dei ruoli
• Genera una panoramica di tutte le assegnazioni di ruoli di Privileged Identity Management (PIM)
• Avvisi di sicurezza
• Raccomandazioni e stato del controllo di Microsoft Secure Score

Microsoft-Extractor-Suite è stato creato da Joey Rentenaar e Korstiaan Stam ed è mantenuto dal team di Invictus IR.

Utilizzo

Per iniziare con lo strumento Microsoft-Extractor-Suite, assicurati che i requisiti siano soddisfatti. Se non hai installato Connect-ExchangeOnline, il modulo AZ o connect-mggraph, consulta la guida all'installazione.

Installa il toolkit Microsoft-Extractor-Suite:

Install-Module -Name Microsoft-Extractor-Suite

Per importare Microsoft-Extractor-Suite:

Import-Module .\Microsoft-Extractor-Suite.psd1

Prima di eseguire le funzioni, devi effettuare l'accesso a Microsoft 365 o Azure a seconda del caso d'uso. Per accedere, usa uno dei cmdlet:

Connect-M365 oppure connect-exchangeonline

connect-mggraph

Connect-AzureAZ oppure Connect-AzAccount

Funzioni disponibili

Unified Audit Log

• Get-UAL - Raccoglie tutti i log di controllo unificati
• Get-MailboxAuditLog - Raccoglie i log di controllo della cassetta postale
• Get-AdminAuditLog - Raccoglie i log di controllo amministrativo

Regole cassette postali e trasporto

• Show-MailboxRules - Mostra le regole della cassetta postale
• Get-MailboxRules - Esporta le regole della cassetta postale
• Get-MailboxRulesGraph - Esporta le regole della cassetta postale tramite API Graph
• Get-TransportRules - Esporta le regole di trasporto
• Show-TransportRules - Mostra le regole di trasporto

Posta e tracciamento dei messaggi

• Get-MessageTraceLog - Raccoglie i log di tracciamento dei messaggi
• Get-Email - Scarica e-mail specifiche o in blocco
• Show-Email - Mostra il contenuto dell'e-mail
• Get-Attachment - Scarica allegati e-mail
• Get-Sessions - Raccoglie informazioni sulle sessioni relative agli eventi MailItemsaccessed
• Get-MessageIDs - Estrae gli ID dei messaggi dagli eventi MailItemsaccessed

Log di accesso e controllo

• Get-GraphEntraSignInLogs - Raccoglie i log di accesso
• Get-GraphEntraAuditLogs - Raccoglie i log di controllo

Log di attività

• Get-ActivityLogs - Raccoglie i log di attività
• Get-DirectoryActivityLogs - Raccoglie i log di attività della directory

App OAuth

• Get-OAuthPermissionsGraph - Raccoglie le autorizzazioni delle applicazioni OAuth tramite API Graph

Relative agli utenti

• Get-Users - Raccoglie le informazioni sugli utenti
• Get-AdminUsers - Raccoglie gli utenti con privilegi amministrativi
• Get-MFA - Raccoglie lo stato MFA per gli utenti
• Get-RiskyUsers - Raccoglie gli utenti a rischio
• Get-RiskyDetections - Raccoglie gli eventi di rilevamento a rischio

Criteri di accesso condizionato

• Get-ConditionalAccessPolicies - Raccoglie i criteri di accesso condizionato

Gestione dispositivi

• Get-Devices - Raccoglie le informazioni sulla registrazione dei dispositivi

Autorizzazioni e impostazioni di controllo

• Get-MailboxAuditStatus - Raccoglie le configurazioni di controllo della cassetta postale
• Get-MailboxPermissions - Raccoglie le autorizzazioni delegate della cassetta postale

Gestione licenze

• Get-Licenses - Raccoglie tutte le licenze nel tenant con tempi di conservazione e indicatori di licenza premium
• Get-LicenseCompatibility - Verifica la presenza di licenze E5, P2, P1 ed E3 e informa sulle limitazioni funzionali
• Get-EntraSecurityDefaults - Verifica lo stato delle impostazioni predefinite di sicurezza di Entra ID
• Get-LicensesByUser - Raccoglie le assegnazioni di licenze per tutti gli utenti nel tenant

Gestione gruppi

• Get-Groups - Raccoglie tutti i gruppi nell'organizzazione, inclusi dettagli come ID gruppo e nome visualizzato
• Get-GroupMembers - Raccoglie tutti i membri di ciascun gruppo e i relativi dettagli
• Get-DynamicGroups - Raccoglie tutti i gruppi dinamici e le relative regole di appartenenza

Gestione ruoli

• Get-PIMAssignments - Genera un report di tutte le assegnazioni di ruoli di Privileged Identity Management (PIM) in Entra ID.
• Get-AllRoleActivity - Recupera tutte le appartenenze ai ruoli della directory con le informazioni sull'ultimo accesso per gli utenti.

Gestione sicurezza

• Get-SecurityAlerts - Recupera gli avvisi di sicurezza
• Get-SecureScore - Recupera le raccomandazioni e lo stato corrente di Microsoft Secure Score

Raccogli automaticamente tutto ciò che desideri

• Get-AllEvidence - Raccoglie automaticamente tutti (o quasi) i tipi di prova disponibili
• Start-MESTriage - Esegue un triage rapido per utenti specifici utilizzando modelli personalizzabili

Autenticazione e gestione delle sessioni

• Connect-M365 - Si connette ai servizi Microsoft 365
• Connect-AzureAZ - Si connette utilizzando il modulo Az
• Disconnect-M365 - Si disconnette dai servizi Microsoft 365
• Disconnect-AzureAZ - Si disconnette dalla sessione del modulo Az

Progetti correlati

Per migliorare la tua analisi, considera di esplorare Microsoft-Analyzer-Suite sviluppato da LETHAL FORENSICS. Questa suite offre una raccolta di script PowerShell progettati specificamente per analizzare i dati di Microsoft 365 e Microsoft Entra ID, che possono essere estratti utilizzando Microsoft-Extractor-Suite.