Microsoft-Extractor-Suite を始めるにあたって

Microsoft-Extractor-Suite を使い始めるには、Microsoft-Extractor-Suite ドキュメント をご覧ください。

Microsoft-Extractor-Suite について

Microsoft-Extractor-Suite は、Microsoft 内のさまざまなソースから必要なデータや情報を収集するプロセスを効率化するために設計された、フル機能で積極的にメンテナンスされている PowerShell ツールです。

以下の Microsoft データソースがサポートされています。

• 統合監査ログ
• 管理者監査ログ
• メールボックス監査ログ
• メールボックスルール
• トランスポートルール
• メッセージトレースログ
• Entra ID サインインログ
• Entra ID 監査ログ
• Azure アクティビティログ
• Azure ディレクトリアクティビティログ

上記のログソースに加えて、このツールはその他の関連情報も取得できます。

• Entra ID に登録された OAuth アプリケーション
• 全ユーザーの MFA ステータス
• 全ユーザーの最終パスワード変更日時
• リスクのあるユーザー
• リスクのある検出
• 条件付きアクセスポリシー
• 管理者ディレクトリロールとそのユーザー
• 特定のメールまたは添付ファイル（リスト可）
• Microsoft 365 内の全メールボックスの委任アクセス許可
• Entra ID に登録されたすべてのデバイス情報
• Microsoft 365 内の全メールボックスの監査ステータスと設定
• グループ情報を収集するための関数
• ライセンス情報を収集するための関数
• ロールアクティビティ情報の取得
• Privileged Identity Management (PIM) ロール割り当ての概要を生成
• セキュリティアラート
• Microsoft Secure Score の推奨事項とコントロールステータス

Microsoft-Extractor-Suite は Joey Rentenaar と Korstiaan Stam によって作成され、Invictus IR チームによってメンテナンスされています。

使い方

Microsoft-Extractor-Suite ツールを使い始めるには、要件を満たしていることを確認してください。Connect-ExchangeOnline、AZ モジュール、connect-mggraph がインストールされていない場合は、インストールガイド を確認してください。

Microsoft-Extractor-Suite ツールキットをインストールするには:

Install-Module -Name Microsoft-Extractor-Suite

Microsoft-Extractor-Suite をインポートするには:

Import-Module .\Microsoft-Extractor-Suite.psd1

関数を実行する前に、ユースケースに応じて Microsoft 365 または Azure にサインインする必要があります。サインインするには、次のいずれかのコマンドレットを使用します：

Connect-M365 または connect-exchangeonline

connect-mggraph

Connect-AzureAZ または Connect-AzAccount

利用可能な関数

統合監査ログ

• Get-UAL - すべての統合監査ログを収集します
• Get-MailboxAuditLog - メールボックス監査ログを収集します
• Get-AdminAuditLog - 管理者監査ログを収集します

メールボックスルールとトランスポートルール

• Show-MailboxRules - メールボックスルールを表示します
• Get-MailboxRules - メールボックスルールをエクスポートします
• Get-MailboxRulesGraph - Graph API 経由でメールボックスルールをエクスポートします
• Get-TransportRules - トランスポートルールをエクスポートします
• Show-TransportRules - トランスポートルールを表示します

メールとメッセージ追跡

• Get-MessageTraceLog - メッセージ追跡ログを収集します
• Get-Email - 特定のメールまたは大量のメールをダウンロードします
• Show-Email - メールの内容を表示します
• Get-Attachment - メールの添付ファイルをダウンロードします
• Get-Sessions - MailItemsaccessed イベントに関連するセッション情報を収集します
• Get-MessageIDs - MailItemsaccessed イベントからメッセージ ID を抽出します

サインインと監査ログ

• Get-GraphEntraSignInLogs - サインインログを収集します
• Get-GraphEntraAuditLogs - 監査ログを収集します

アクティビティログ

• Get-ActivityLogs - アクティビティログを収集します
• Get-DirectoryActivityLogs - ディレクトリアクティビティログを収集します

OAuth アプリ

• Get-OAuthPermissionsGraph - Graph API 経由で OAuth アプリケーションのアクセス許可を収集します

ユーザー関連

• Get-Users - ユーザー情報を収集します
• Get-AdminUsers - 管理者権限を持つユーザーを収集します
• Get-MFA - ユーザーの MFA ステータスを収集します
• Get-RiskyUsers - リスクのあるユーザーを収集します
• Get-RiskyDetections - リスクのある検出イベントを収集します

条件付きアクセスポリシー

• Get-ConditionalAccessPolicies - 条件付きアクセスポリシーを収集します

デバイス管理

• Get-Devices - デバイス登録情報を収集します

アクセス許可と監査設定

• Get-MailboxAuditStatus - メールボックス監査設定を収集します
• Get-MailboxPermissions - 委任されたメールボックスアクセス許可を収集します

ライセンス管理

• Get-Licenses - テナント内のすべてのライセンスを保持期間とプレミアムライセンス表示とともに収集します
• Get-LicenseCompatibility - E5、P2、P1、E3 ライセンスの有無を確認し、機能制限について通知します
• Get-EntraSecurityDefaults - Entra ID のセキュリティ既定値のステータスを確認します
• Get-LicensesByUser - テナント内の全ユーザーのライセンス割り当てを収集します

グループ管理

• Get-Groups - グループ ID や表示名などの詳細を含む、組織内のすべてのグループを収集します
• Get-GroupMembers - 各グループのすべてのメンバーとその関連詳細を収集します
• Get-DynamicGroups - すべての動的グループとそのメンバーシップルールを収集します

ロール管理

• Get-PIMAssignments - Entra ID 内の Privileged Identity Management (PIM) ロール割り当てのレポートを生成します
• Get-AllRoleActivity - すべてのディレクトリロールのメンバーシップと、ユーザーの最終ログイン情報を取得します

セキュリティ管理

• Get-SecurityAlerts - セキュリティアラートを取得します
• Get-SecureScore - Microsoft Secure Score の推奨事項と現在のステータスを取得します

必要なものをすべて自動収集

• Get-AllEvidence - 利用可能なほぼすべての証拠タイプを自動的に収集します
• Start-MESTriage - カスタマイズ可能なテンプレートを使用して特定のユーザーの迅速なトリアージを実行します

認証とセッション管理

• Connect-M365 - Microsoft 365 サービスに接続します
• Connect-AzureAZ - Az モジュールを使用して接続します
• Disconnect-M365 - Microsoft 365 サービスから切断します
• Disconnect-AzureAZ - Az モジュールセッションから切断します

関連プロジェクト

分析を強化するには、LETHAL FORENSICS が開発した Microsoft-Analyzer-Suite を検討してください。このスイートは、Microsoft-Extractor-Suite を使用して抽出できる Microsoft 365 および Microsoft Entra ID データを分析するために特別に設計された PowerShell スクリプトのコレクションを提供します。