CRT

Azure向けCrowdStrikeレポートツール（CRT）

このツールは、Azure AD/O365テナントの以下の構成を照会し、見つけにくい権限や構成設定を明らかにすることで、組織がこれらの環境をセキュリティ保護する際に役立ちます。

Exchange Online（O365）:

• フェデレーション構成
• フェデレーション信頼
• メールボックスで構成されたクライアントアクセス設定
• リモートドメインのメール転送ルール
• メールボックスSMTP転送ルール
• メールトランスポートルール
• 「完全アクセス」権限が付与された委任者
• 任意の権限が付与された委任者
• 「送信者として」または「代理送信」権限を持つ委任者
• Exchange Online PowerShellが有効なユーザー
• 「監査バイパス」が有効なユーザー
• グローバルアドレス一覧（GAL）から非表示のメールボックス
• 管理者監査ログの構成設定を収集します。

Azure AD:

• KeyCredentialsを持つサービスプリンシパルオブジェクト
• O365管理者グループレポート
• 委任された権限とアプリケーション権限

テナントパートナー情報の照会: パートナーに割り当てられたロールを含むテナントパートナー情報を表示するには、グローバル管理者としてMicrosoft 365管理センターにログインする必要があります。

https://admin.microsoft.com/AdminPortal/Home#/partners

前提条件:

以下のPowerShellモジュールが必要であり、自動的にインストールされます:

• ExchangeOnlineManagement
• AzureAD

注: 照会される構成のすべての範囲を取得するには、次のロールが必要です:

• グローバル管理者

グローバル管理者権限がない場合、ツールはその結果としてどの情報が利用できなくなるかを通知します。

使用方法:

パラメータなし: スクリプトが実行されるディレクトリに、日時（YYYYDDMMTHHMM）の名前のフォルダが自動的に作成されます。デフォルトの認証方法では、MFAとの互換性のために接続ごとにプロンプトが表示されます。

.\Get-CRTReport.ps1

-BasicAuth パラメータ: [オプション] ユーザープリンシパルにMFAが強制されていない場合、このパラメータを使用すると、認証のプロンプトは1回のみで、Get-Credential を使用して資格情報を保存します。（推奨されません）

.\Get-CRTReport.ps1 -BasicAuth

-JobName パラメータ: [オプション] 異なるテナントを区別するためにJobNameパラメータを使用します。JobNameが指定されない場合、作業ディレクトリ内に日時形式のフォルダが作成されます。

.\Get-CRTReport.ps1 -JobName MyJobName

-WorkingDirectory パラメータ: [オプション] ジョブに別の作業ディレクトリを指定する場合は、このパラメータを使用します。デフォルトの作業ディレクトリは、スクリプトが実行されるディレクトリです。

.\Get-CRTReport.ps1 -JobName MyJobName -WorkingDirectory 'C:\Path\to\Job\Folder'

-Commands パラメータ: [オプション] このパラメータを使用して、実行する特定のコマンドを引用符で囲み、カンマまたはスペース区切りで指定します。

.\Get-CRTReport.ps1 -JobName MyJobName -WorkingDirectory 'C:\Path\to\Job\Folder' -Commands "Command1,Command2"

-AzureEnvironmentName および -ExchangeEnvironmentName パラメータ: [オプション] このパラメータを使用して、AzureまたはExchangeの環境名を指定します。タブ補完を使用して、許容される値を検索できます。

.\Get-CRTReport.ps1 -ExchangeEnvironmentName O365USGovGCCHigh -AzureEnvironmentName AzureUSGovernment

利用可能なコマンド:

FedConfig
FedTrust
ClientAccess
RemoteDomains
SMTPForward
TransportRules
FullAccessGranted
AnyAccessGranted
SendAsGranted
EXOPowerShell
AuditBypassEnabled
HiddenMailboxes
KeyCredentials
O365AdminGroups
DelegateAppPerms
AdminAuditLogConfig

-Interactive パラメータ: [オプション] 一部のコマンドは、テナント内のデータ量によって処理に時間がかかる場合があります。Interactiveパラメータを使用すると、モジュールの実行前に特定のコマンドをスキップするオプションが提供されます。

.\Get-CRTReport.ps1 -JobName MyJobName -WorkingDirectory 'C:\Path\to\Job\Folder' -Interactive

レポート概要:

実行ごとに、CRTは各クエリのレポートをjson形式、およびより読みやすい.TXTおよび.CSV形式で出力します。

パラメータなし: スクリプトが実行されるディレクトリに、日時（YYYYDDMMTHHMM）の名前のフォルダが自動的に作成されます。MFAをサポートするために、デフォルトの認証方法では接続ごとにユーザーにログインを求めます。

• YYYYDDMMTHHMM\output.log（コンソールログのハードコピー）
• YYYYDDMMTHHMM\_CRTReportSummary.txt（実行されたスクリプトの概要とガイダンスのための調査のヒント）
• YYYYDDMMTHHMM\Reports\<report>.csv（該当する場合、CSV出力のレポート）
• YYYYDDMMTHHMM\Reports\<report>.txt（該当する場合、TXT出力のレポート）
• YYYYDDMMTHHMM\Reports\json\<report>.json（各レポートには、さらに詳細なJSON出力が付属します）

既知の問題点:

• フェデレーションログインを使用してExchange Onlineに接続しようとすると、同じPowerShellセッションでExchange OnlineとAzure ADの両方に接続しようとする場合に現在動作しません。
• Any/FullAccess権限（AnyAccessGrantedおよびFullAccessGrantedコマンド）の結果を取得する際、場合によってはエラーが返され、完全に完了しないことがあります。手動でコマンドを実行すると動作する場合があります:

Get-EXOMailbox -ResultSize Unlimited | Get-EXOMailboxPermission | Where-Object { ($_.IsInherited -eq $false) -and -not ($_.User -like "NT AUTHORITY\SELF")} | Export-Csv "AnyAssignedPerms.csv" -NoTypeInformation -Encoding Default

Get-EXOMailbox -ResultSize Unlimited | Get-EXOMailboxPermission | Where-Object { ($_.AccessRights -eq "FullAccess") -and ($_.IsInherited -eq $false) -and -not ($_.User -like "NT AUTHORITY\SELF")} | Export-Csv "FullAccessPerms.csv" -NoTypeInformation -Encoding Default

どのように貢献できますか？

バグを見つけた場合は、Issuesタブを使用して新しい問題を報告するか、既存の問題にコメントを追加してください。

ツールに関する推奨事項がある場合や緊急のエスカレーションが必要な場合は、次のメールアドレスまでご連絡ください: [email protected]。