bert-janp/incident-response-powershellPowerShellベースのインシデント対応ツールキットで、25以上のフォレンジックアーティファクト（プロセス、ネットワーク接続、レジストリ、ブラウザ履歴）を収集し、SIEM統合用にCSVをエクスポートします。Defender for Endpoint Live Responseをサポートしています。
このリポジトリは、PowerShellベースのインシデントレスポンススクリプトを提供します。
DFIR-Script.ps1スクリプトは、Windowsデバイス上のフォレンジックアーティファクトを収集します。主な機能は次のとおりです。
これらのスクリプトは、Windowsセキュリティイベントの収集、アクティブユーザーセッションのリセット、Azure Storage Blobへのフォルダのアップロードなどの特定のタスクを実行します。一部のスクリプトはAPIを使用してデータを取得またはエクスポートし、必要な権限は各スクリプトに記載されています。スクリプトはインシデントレスポンスのサイクルに合わせて構成されています：
| フェーズ | 説明 |
|---|---|
| Acquisition | インシデント発生時のデータと証拠を取得するためのスクリプトとツール。 |
| Analysis | 取得したデータを分析し、侵害インジケーターを特定し、インシデントの範囲を把握するためのスクリプト。 |
| Containment | インシデントを封じ込め、さらなる被害と拡大を防ぐためのスクリプトと手法。 |
DFIRスクリプトは、複数のソースから情報を収集し、現在のディレクトリに'DFIR-hostname-year-month-date'という名前のフォルダに出力を構成します。このフォルダは最後にZIP圧縮されるため、リモートで収集できます。このスクリプトは、Defender for EndpointのLive Responseセッション内でも使用できます（以下を参照）。DFIRスクリプトは、通常ユーザーとして実行した場合、以下の情報を収集します：
最良の結果を得るには、管理者としてスクリプトを実行してください。その場合、以下の項目も収集されます：
フォレンジックアーティファクトはCSVファイルとしてエクスポートされ、対応者がそれらをSentinel、Splunk、Elastic、Azure Data Explorerなどのツールに取り込んで、フィルタリング、集約、可視化できるようにします。
CSV Results (SIEM Import Data) フォルダには、アーティファクトを含むすべてのCSVファイルが含まれています：
Name
----
ActiveUsers.csv
AutoRun.csv
ConnectedDevices.csv
DefenderExclusions.csv
DNSCache.csv
Drivers.csv
InstalledSoftware.csv
IPConfiguration.csv
LocalUsers.csv
NetworkShares.csv
OfficeConnections.csv
OpenTCPConnections.csv
PowerShellHistory.csv
Processes.csv
RDPSessions.csv
RemotelyOpenedFiles.csv
RunningServices.csv
ScheduledTasks.csv
ScheduledTasksRunInfo.csv
SecurityEvents.csv
ShadowCopy.csv
SMBShares.csv
スクリプトは次のコマンドを実行して実行できます。
.\DFIR-Script.ps1
スクリプトは署名されていないため、スクリプトを実行するには -ExecutionPolicy Bypass を使用する必要がある場合があります。
Powershell.exe -ExecutionPolicy Bypass .\DFIR-Script.ps1
スクリプトをDefender for Endpoint Live Responseと組み合わせて使用することが可能です。Live Responseが設定されていることを確認してください（ドキュメントを参照）。私のスクリプトは署名されていないため、スクリプトを実行できるように設定を変更する必要があります。
Live Responseでカスタムスクリプトを活用する方法について詳しく説明したブログ記事があります：インシデントレスポンス パート3: Live Responseの活用
Live Responseで署名なしスクリプトを実行するには：
スクリプトの実行：
run DFIR-script.ps1を実行してスクリプトを開始します。パラメータを使用してスクリプトを実行する場合は、run DFIR-Script.ps1 -parameters "-sw 10"を実行してください。getfile DFIR-DeviceName-yyyy-mm-ddを実行して、取得したアーティファクトを分析のためにローカルマシンにダウンロードします。