gundog

gundog - PowerShellベースのMicrosoft 365 Defenderガイド付きハンティング

Gundogは、Microsoft 365 Defenderでのガイド付きハンティングを提供します。特に（現時点では専ら）メールおよびエンドポイントアラート向けです。

機能

AlertID（メール通知で受け取る可能性があります）を指定すると、gundogは関連するデータを可能な限りハンティングします。ポータルのような高度なハンティングの柔軟性はありませんが、アラート、関連するすべてのエンティティ、およびいくつかのエンリッチメントに関する迅速な最初の概要を提供します。

実行するハンティングはすべてアラートのタイムスタンプに基づいています。そのため、アラートの直前または直後のイベントのみを考慮します。

また、ハンティングした各エンティティに対してPowerShellオブジェクトを提供します（例： $Network は、Microsoft 365 DefenderのDeviceNetworkEventsテーブルでこのアラートに関連して見つかったすべてのものを含みます）。

gundogには、作業を楽にする他の機能も備わっています。

• デフォルトでは、最も関連性の高いデータのみが表示されます（これが正しい方法です）
• 可能な限りコンテキストを提供：最後のAADサインインとユーザーのAADアドレス
• ネットワーク接続は自動的にフィルタリングされ、より関連性の高い接続のみが表示されます（例：Office 365への接続を除去）
• ネットワーク接続には地理的位置情報（国と都市）が付加されます
• 変数セクションでは、各クエリの高度なハンティング時間枠など、ほとんどのパラメータを簡単に調整できます
• さらに、abuse.ch、urlscan.io、ip-api.comなどの他のサービスでIOCを検索します。商用で使用する場合は、これらの有料サービスに申し込むことをお勧めします。

gundogで最初の評価を行った後は、ポータルでさらに深く調査を続けることができます。

自由にgundogを拡張し、プルリクエストを送ってください！最高のサイケデリック体験を得るには、Windows Terminal Draculaテーマをgundogと一緒に使用してください。

クイック使用

必須パラメータ:

- TenantID
- ClientID
- ClientSecret

オプションパラメータ:

- forgetIncidents

(背景: gundogが最初に行うことは、インシデントAPIから過去30日間のすべてのインシデントとアラートを問い合わせることです。これらはグローバル変数に保存されます。gundogを再起動した場合、forgetIncidentsをtrueに設定しない限り、すべてのインシデントを再度問い合わせることはありません。)

要件

AADに新しいアプリを登録し、次の権限を付与します: （アプリの登録方法）

Microsoft Graph

- Directory.Read.All
- IdentityRiskEvent.Read.All
- IdentityRiskyUser.Read.All
- SecurityEvents.Read.All
- User.Read

Microsoft Threat Protection

- AdvancedHunting.ReadAll
- Incident.Read.All

Windows Defender ATP

- AdvancedQuery.Read.All
- Alert.Read.All
- File.Read.All
- Ip.Read.All
- Url.Read.All
- User.Read.All
- Vulnerability.Read.All

詳細については、次を参照してください: https://emptydc.com/2021/02/25/gundog/