EntraTrace

EntraTrace は、Microsoft Entra ID を標的とする攻撃的ツールの観測可能な挙動を文書化し、特定するための防御的セキュリティ研究ツールです。

本プロジェクトは、AzureHound、AADInternals、O365Enum、PingCastle などのツールを中心に、それらが生成する UserAgent および API アーティファクトに焦点を当てた自動ナレッジベースを構築します。

プロジェクトの状況

🚧 初期開発段階

本プロジェクトは活発に開発が進められています。データ、ツールのカバレッジ、および機能は時間とともに進化します。

コントリビューション、調査、修正、および追加のツール分析を歓迎します。

何を追跡するのか？

EntraTrace は、防御側にとって有用となり得る情報に焦点を当てています。具体的には以下のとおりです。

• 🔎 API エンドポイント — ツールがアクセスする Microsoft Graph、Azure AD Graph、およびその他の API エンドポイント
• 🕵️ ユーザーエージェント — 攻撃的ツールに関連付けられた HTTP ユーザーエージェント
• 🛡️ 検知の機会 — 検知エンジニアリング、ハンティング、およびインシデント対応を支援できるデータ

目標は、攻撃的ツールの挙動を防御チームにとって理解しやすくし、実用的な情報へと変えることです。

ツールプロファイル

なぜ？

攻撃的セキュリティツールは、アイデンティティ環境を評価および攻撃するために頻繁に使用されます。これらのツールが Entra ID とどのようにやり取りするかを理解することは、防御側がその使用を特定し、不審なアクティビティを調査し、検知カバレッジを向上させるのに役立ちます。

EntraTrace は、攻撃的ツールの研究と防御的セキュリティ運用の間のギャップを埋めることを目指しています。

ユースケース

EntraTrace は以下の用途に使用できます。

• 既知の攻撃的セキュリティツールに対する検知の構築
• Microsoft Sentinel / SIEM ハンティングクエリの開発
• 不審な Entra ID および Microsoft Graph アクティビティの調査
• インシデント対応時のツール特定
• 攻撃的アイデンティティツールの挙動の研究
• アイデンティティ攻撃手法に対する防御側の可視性の向上

AI 支援による開発

🤖 EntraTrace は AI の支援を受けて開発されています。 AI は開発および研究プロセス全体で使用されており、成果物は人間によるレビューと検証が行われています。

ローカルデプロイ

リポジトリは毎日更新されますが、ローカルデプロイもサポートされています。Python を使用してリポジトリのルートからローカルで実行するには、以下のようにします。実行前に、組み込みのヘルプ出力を使用して利用可能なオプションを確認してください。

⚠️ - スクリプトをローカルで実行すると、プロファイルを作成するために必要な情報を抽出する目的で攻撃的ツールを含むリポジトリがローカルにダウンロードされるため、セキュリティアラートが発生する可能性があります。

# Extract API behavior from a repo or refresh all profile entries
python .\Scripts\ExtractToolBehavior.py --all-profiles --output-dir .\Profiles

# Export tool user agents from YAML profiles into a CSV
python .\Scripts\SummarizeUserAgents.py --profiles-dir .\Profiles --output .\Indicator Lists\UserAgents.csv

• SummarizeUserAgents.py は、プロファイル YAML ファイルからユーザーエージェントデータをハンティング用 CSV にエクスポートします。
• ExtractToolBehavior.py は、存在する場合は Profiles\Tools.txt からリポジトリ URL を読み取り、存在しない場合は出力ディレクトリ内の YAML プロファイルファイルで見つかったすべての repository_url にフォールバックします。
• いずれかのスクリプトを -h または --help 付きで実行すると、パラメータの全セットと動作を確認できます。

関連コンテンツ

• Investigating Microsoft Graph Activity Logs
• GraphApiAuditEvents: The new Graph API Logs
• Detect threats using Microsoft Graph activity logs - Part 1 by Fabian Bader
• Detect threats using Microsoft Graph activity logs - Part 2 by Fabian Bader
• Detect threats using GraphAPIAuditEvents - Part 3 by Fabian Bader
• Everything you need to know about the MicrosoftGraphActivityLogs by Invictus IR
• The Missing Link: AADGraphActivityLogs Finally Arrives by Invictus IR

ライセンス

ライセンス情報については LICENSE を参照してください。