Scopo

Migliorare lo stato della sicurezza di Microsoft 365 creando uno script PowerShell che automatizza la valutazione della sicurezza degli ambienti Microsoft 365.

Soteria Inspect

Soteria Inspect nasce dal progetto 365Inspect ed è la soluzione SaaS di Soteria per aiutare a valutare la sicurezza di un tenant Microsoft 365 con oltre 200 punti di ispezione nell'intera suite di servizi Microsoft 365.

Soteria Inspect for Microsoft 365 consente ai clienti di tracciare le modifiche agli oggetti interessati da ogni risultato nel tempo, così come gli sforzi di remediation, e ora include multi-tenancy per MSP e organizzazioni genitori per tenere sotto controllo i propri tenant figli.

Soteria Inspect for Microsoft 365 è disponibile direttamente tramite Soteria o tramite il Azure Marketplace

Vedi tutte le nostre offerte Soteria Inspect for Microsoft 365

Configurazione

365Inspect Community Edition richiede i moduli PowerShell amministrativi per l'amministrazione di Exchange, Microsoft Graph, Microsoft Teams e il modulo di amministrazione di SharePoint.

365Inspect è ora compatibile con PowerShell Core (6+) e richiede un sistema operativo Microsoft Windows a causa delle dipendenze dei moduli richiesti.

Lo script PowerShell 365Inspect.ps1 validerà i moduli installati e la versione minima dei moduli necessari per il funzionamento degli Inspector.

Se non hai questi moduli installati, ti verrà chiesto di installarli e, con la tua approvazione, lo script tenterà l'installazione. Altrimenti, dovresti essere in grado di installarli con i seguenti comandi in un prompt PowerShell amministrativo, o seguendo le istruzioni nei riferimenti sottostanti:

Install-Module -Name ExchangeOnlineManagement -AllowClobber -Force

Install-Module -Name PnP.PowerShell -AllowClobber -Force

Install-Module -Name Microsoft.Graph -AllowClobber -Force

Install-Module -Name MicrosoftTeams -AllowClobber -Force

Installa PowerShell per Exchange Online

Installa il modulo PnP.PowerShell di SharePoint

Installa Microsoft Graph SDK

Installa Microsoft Teams

Una volta installati i precedenti, scarica la cartella del codice sorgente di 365Inspect da Github usando il tuo browser o usando git clone.

__Ricorda il nome o l'Application/Client ID dell'applicazione che è stata creata. Questo è ora necessario per autenticarsi e ti verrà richiesto l'AppID!__

# Compatibilità dei moduli
Attualmente i moduli Microsoft.Graph e Microsoft.Graph.Beta versione 2.23.0 sono incompatibili con ExchangeOnlineManagement versione 3.5.1
Le seguenti versioni sono compatibili:
- Microsoft.Graph versione 2.21.1
- Microsoft.Graph.Beta versione 2.21.1
- ExchangeOnlineManagement versione 3.5.0

I seguenti comandi possono essere utilizzati per installare versioni compatibili:```powershell
Install-Module -Name Microsoft.Graph -Scope CurrentUser -RequiredVersion 2.21.1 -AllowClobber -Force
Install-Module -Name Microsoft.Graph.Beta -Scope CurrentUser -RequiredVersion 2.21.1 -AllowClobber -Force
Install-Module -Name ExchangeOnlineManagement -Scope CurrentUser -RequiredVersion 3.5.0 -AllowClobber -Force

Dato che eseguirai 365Inspect con privilegi amministrativi, dovresti posizionarlo in una posizione logica e assicurarti che i contenuti della cartella siano leggibili e scrivibili solo dall'utente amministratore. Questo è particolarmente importante se intendi installare 365Inspect in una posizione in cui verrà eseguito frequentemente o utilizzato come parte di un processo automatizzato. NOTA: 365Inspect non necessita di essere eseguito in una finestra di PowerShell amministrativa per funzionare.

Utilizzo

Per eseguire 365Inspect, apri una console PowerShell e naviga fino alla cartella in cui hai scaricato 365Inspect:

cd 365Inspect

Interagirai con 365Inspect eseguendo il file script principale, 365Inspect.ps1, dal prompt dei comandi di PowerShell.

Tutto ciò di cui 365Inspect ha bisogno per ispezionare il tuo tenant M365 è l'accesso tramite un account M365 con le autorizzazioni appropriate, quindi la maggior parte dei parametri della riga di comando riguardano l'organizzazione da valutare e il metodo di autenticazione.

L'esecuzione di 365Inspect si presenta così:

.\365Inspect.ps1 -OutPath <valore> -UserPrincipalName [email protected] -Auth <MFA|DEVICE|ALREADY_AUTHED|APP> -pnpPowerShellApplicationId <Il tuo ID applicazione/client PnP PowerShell>

    .\365Inspect.ps1 -OutPath ..\365_report -UserPrincipalName [email protected] -Auth MFA

    .\365Inspect.ps1 -OutPath ..\365_report -UserPrincipalName [email protected] -Auth MFA -Environment USGovGCCHigh

    .\365Inspect.ps1 -OutPath ..\365_report -UserPrincipalName [email protected] -Auth APP

Mentre 365Inspect viene eseguito, stamperà costantemente aggiornamenti di stato che indicano quale attività di ispezione è in esecuzione.

365Inspect potrebbe richiedere del tempo per essere eseguito. Questo tempo scala con le dimensioni e la complessità dell'ambiente sottoposto a test. Ad esempio, alcune attività di ispezione comportano la scansione della configurazione dell'account di tutti gli utenti. Ciò può avvenire quasi istantaneamente per un'organizzazione con 50 utenti, o richiedere interi minuti (!) per un'organizzazione con 10000.

Output

365Inspect crea la directory specificata nel parametro out_path. Questa directory è il risultato dell'intera ispezione di 365Inspect. Contiene quattro elementi degni di nota:

• Report.html: report grafico che descrive i problemi di sicurezza M365 identificati da 365Inspect, elenca gli oggetti M365 malconfigurati e fornisce consigli per la risoluzione.
• Vari file di testo denominati [Inspector-Name]: sono output grezzi dei moduli inspector e contengono un elenco (un elemento per riga) di oggetti M365 malconfigurati che presentano il difetto di sicurezza descritto. Ad esempio, se un modulo Inspect-FictionalMFASettings dovesse rilevare tutti gli utenti che non hanno MFA configurato, il file "Inspect-FictionalMFASettings" nel report ZIP conterrebbe un utente per riga che non ha MFA configurato. Queste informazioni vengono scaricate in un file solo nei casi in cui vengono scoperti più di 15 oggetti interessati. Se vengono scoperti meno di 15 oggetti interessati, gli oggetti sono elencati direttamente nel corpo principale del report HTML.
• Report.zip: versione zippata dell'intera directory, per una comoda distribuzione dei risultati nei casi in cui alcuni moduli inspector abbiano generato una grande quantità di risultati.
• Directory Log: 365Inspect registra eventuali errori incontrati durante l'esecuzione degli script in un file di log con timestamp nella directory Log

Output CSV

A causa della natura di alcuni degli elementi restituiti, il report csv è delimitato dal carattere caret (^). Si consiglia di aprire il report CSV in un editor di testo piuttosto che in Excel, poiché Excel utilizza per impostazione predefinita un delimitatore virgola (,) e visualizzerà il report in modo errato. Una volta aperto in un editor di testo, i dati possono essere incollati in Excel.

Prossimamente!

• Diccelo tu!

Registro delle modifiche

• Aggiunto supporto per requisiti di ruolo ridotti per l'autenticazione applicativa - Le entità servizio possono ora essere assegnate al ruolo Global Reader a costo dell'esecuzione di alcuni inspector.
• Ridotto ambito delle autorizzazioni applicative - DelegatedPermissionGrant.ReadWrite.All è stato sostituito con DelegatedPermissionGrant.Read.All, un'autorizzazione API che non era precedentemente disponibile.

Privilegi necessari

365Inspect non può funzionare correttamente a meno che l'account M365 con cui ti autentichi non disponga dei privilegi appropriati. 365Inspect richiede, come minimo, quanto segue:

• Amministratore globale
• Amministratore di SharePoint

Riconosciamo che questi sono ruoli estremamente permissivi, sfortunatamente a causa dell'uso di Microsoft Graph, siamo limitati da Microsoft nell'uso di privilegi inferiori. I ruoli di Amministratore applicazione e Amministratore cloud (utilizzati per concedere autorizzazioni delegate e applicative) non possono concedere autorizzazioni per i moduli PowerShell di Microsoft Graph o Azure AD. Documentazione Microsoft - Amministratore applicazione

Se esegui 365Inspect utilizzando il parametro di autenticazione applicativa, devono essere concessi ruoli aggiuntivi per consentire all'applicazione di eseguire tutte le attività previste. Vedi Requisiti di autenticazione applicativa

Requisiti di autenticazione applicativa

Prima che 365Inspect possa essere utilizzato, tutti gli altri componenti necessari devono essere in atto.

Vedere i seguenti riferimenti:

• Tutorial: Registrare un'app con Microsoft Entra ID
• Autenticazione solo app per script non presidiati in Exchange Online PowerShell e Security & Compliance PowerShell
• Oggetti applicazione e entità servizio in Microsoft Entra ID

Autorizzazioni richieste

Sviluppo di moduli Inspector

365Inspect è progettato per essere facile da espandere, con la speranza che consenta a individui e organizzazioni di utilizzare i propri moduli 365Inspect internamente o di pubblicare tali moduli per la community M365.

Tutti i moduli inspector di 365Inspect sono memorizzati nella cartella .\inspectors.

È semplice creare un modulo inspector. Gli inspector hanno due file:

• ModuleName.ps1: il codice sorgente PowerShell del modulo inspector. Dovrebbe restituire un elenco di tutti gli oggetti M365 interessati da un problema specifico, rappresentati come stringhe.
• ModuleName.json: metadati sull'inspector stesso. Ad esempio, il nome del risultato, la descrizione, le informazioni di correzione e i riferimenti.

I modelli sono inclusi nella cartella Templates. Aggiungi semplicemente il tuo codice e i tuoi valori nelle rispettive posizioni. I nomi dei file PowerShell e JSON devono essere identici affinché 365Inspect riconosca che i due appartengono insieme. Ci sono numerosi esempi nella suite di moduli integrata di 365Inspect, ma metteremo anche un esempio qui.

# If some of the parsed M365 objects were found to have the security flaw this module is inspecting for,
# return a list of strings representing those objects. This is what will end up as the "Affected Objects"
# field in the report.
If ($safe_attachment_bypass_rules.Count -ne 0) {
	return $safe_attachment_bypass_rules
}

# If none of the parsed M365 objects were found to have the security flaw this module is inspecting for,
# returning $null indicates to 365Inspect that there were no findings for this module.
return $null

</details>

<details>
<summary>Esempio di file .json, BypassingSafeAttachments.json:</summary>```json
{
    "FindingName": "Do Not Bypass the Safe Attachments Filter",
    "Description": "In Exchange, it is possible to create mail transport rules that bypass the Safe Attachments detection capability. The rules listed above bypass the Safe Attachments capability. Consider reviewing these rules, as bypassing the Safe Attachments capability even for a subset of senders could be considered insecure depending on the context or may be an indicator of compromise.",
    "Remediation": "Navigate to the Mail Flow &rarr; Rules screen in the Exchange Admin Center. Look for the offending rules and begin the process of assessing who created them and whether they are necessary to the continued function of the organization. If they are not, remove the rules.",
    "DefaultValue": "None",
    "ExpectedValue": "None",
    "Impact": "Critical",
    "AffectedObjects": "",
    "Service": "Exchange",  // Valid values are Exchange, SharePoint, Teams, Intune, AzureAD, SecurityandCompliance, Tenant //
    "PowerShell": "", // Any PowerShell remediation command examples should be placed here //
    "References": [
        {
            "Url": "https://docs.microsoft.com/en-us/exchange/security-and-compliance/mail-flow-rules/manage-mail-flow-rules",
            "Text": "Manage Mail Flow Rules in Exchange Online"
        },
        {
            "Url": "https://www.undocumented-features.com/2018/05/10/atp-safe-attachments-safe-links-and-anti-phishing-policies-or-all-the-policies-you-can-shake-a-stick-at/#Bypass_Safe_Attachments_Processing",
            "Text": "Undocumented Features: Safe Attachments, Safe Links, and Anti-Phishing Policies"
        }
    ]
}

Una volta inseriti questi due file nella cartella .\inspectors, saranno considerati parte dell'inventario dei moduli di 365Inspect e verranno eseguiti la prossima volta che si esegue 365Inspect.

Hai appena creato il modulo Inspector BypassingSafeAttachments. Tutto qui!

365Inspect genererà un errore piuttosto vistoso e antiestetico se qualcosa nel tuo modulo non funziona o non segue le convenzioni di 365Inspect, quindi tieni d'occhio l'output della riga di comando.

Contribuire

Incoraggiamo il coinvolgimento e i contributi della comunità! Consulta le nostre Linee guida per contribuire

Sulla sicurezza

365Inspect è un harness di script che esegue altri moduli script inspector memorizzati nella cartella .\inspectors. Come per qualsiasi altro script eseguito con privilegi elevati, è opportuno osservare alcune pratiche di igiene di sicurezza:

• Nessun utente non attendibile dovrebbe avere accesso in scrittura alla cartella/file di 365Inspect, poiché tale utente potrebbe sovrascrivere script o template e indurti a eseguire codice malevolo.
• Nessun modulo script dovrebbe essere inserito in .\inspectors a meno che non ti fidi della fonte di quel modulo script.

Informazioni su Soteria

Soteria offre una vasta gamma di soluzioni di sicurezza e consulenza, tra cui Incident Response, Managed Detection and Response, Security Assessments, Penetration Testing e altro ancora. Contattaci per ogni tua esigenza!