synacktiv/eippEntra ID パスワード保護の禁止パスワード リスト
Entra ID Password Protection の Banned Password List（BPL）を操作するためのツールです。
グローバル BPL のエントリを含む eipp-global-bpl.txt は、2024-04-11 にダンプされました。
このユーティリティは、オンプレミスの Entra ID Password Protection デプロイメントの構成とパスワードポリシーを抽出するために使用できます。DC エージェント DLL に依存しており、ドメインコントローラー上で実行する必要があります。
PS> cp 'C:\Program Files\Azure AD Password Protection DC Agent\Rules\1.0.0.0\ServiceCommon.dll' .
PS> cp 'C:\Program Files\Azure AD Password Protection DC Agent\Rules\1.0.0.0\ServiceCommonHelper.dll' .
PS> cp 'C:\Program Files\Azure AD Password Protection DC Agent\Rules\1.0.0.0\vcruntime140.dll' .
PS> .\EIPPDecrypt.exe \\localhost\SYSVOL\CORP.LOCAL\AzureADPasswordProtection\Configuration\*.cfge
PS> .\EIPPDecrypt.exe \\localhost\SYSVOL\CORP.LOCAL\AzureADPasswordProtection\PasswordPolicies\*.ppe
.ppe 拡張子のファイルには、タイムスタンプ付きのグローバル BPL とカスタム BPL を含むパスワードポリシーが格納されています。
$ jq -r .GlobalBPLTimestampUTC policy.json
2020-10-30T00:00:00Z
$ jq -r .GlobalBPL policy.json | tr '\t' '\n' | wc -l
3270
$ jq -r .GlobalBPL policy.json | tr '\t' '\n'
administracion123
administrador123
administrateur123
administrator123
administrator2022
administrator2023
password1
password12
password123
[...]
このユーティリティは、侵害されたパスワードのリストから最適化されたカスタム BPL を生成するために使用できます。大規模なデータセット（1万パスワード）向けに設計されており、小規模なリストでは結果が悪くなる可能性があります。
PS> .\EIPP.exe
usage:
EIPP.exe normalize passwords.txt
EIPP.exe generate [-t threads] [-m minOccurences] [-n entries] passwords.txt global.txt output.txt
EIPP.exe stats [-t threads] passwords.txt global.txt [tenant.txt]
normalize コマンドは、EIPP アルゴリズム（小文字化と置換）に従ってパスワードを正規化するために使用します。正規化するパスワードのリストを受け取り、ソートせずに結果を stdout に出力します。
PS> cat passwords.txt
Company2024
PS> .\EIPP.exe normalize passwords.txt
companyzoz4
generate コマンドは、最適化されたカスタム BPL を生成するために使用します。禁止するパスワードのリスト（例: パスワード監査の結果）、グローバル BPL、出力ファイル名（ここでは custom.txt）を受け取ります。速度は、スレッド数（-t、デフォルトは 4）と、エントリとみなすための最小出現回数（-m、デフォルトは 5）で調整できます。-n オプションを使用して、生成するエントリのデフォルト数を変更することもできます。これは、組織がカスタム BPL に既にエントリを保有している場合に役立ちます。
PS> .\EIPP.exe generate passwords.txt global.txt custom.txt
PS> .\EIPP.exe generate -t 8 -m 10 -n 500 passwords.txt global.txt custom.txt
Progress: 1234/23456 (5%)
stats コマンドは、カスタム BPL の禁止率を計算し、その有効性を評価するために使用します。禁止するパスワードのリスト、グローバル BPL、カスタム BPL を受け取ります。カスタム BPL なしで使用して、グローバル BPL 単体の有効性（通常は低い）を評価することもできます。
PS> .\EIPP.exe stats passwords.txt global.txt [tenant.txt]
PS> .\EIPP.exe stats -t 8 passwords.txt global.txt tenant.txt
Results: 37% banned