Hawk ドキュメントとリソース

包括的なドキュメントは hawkforensics.io をご覧ください。以下を含みます:

• 詳細なインストールと権限ガイド
• ステップバイステップのチュートリアルと「ハウツー」ビデオ
• トラブルシューティングヘルプ
• ベストプラクティスと使用例

Hawk とは？

Hawk は、Microsoft クラウド環境からのフォレンジックデータの収集を効率化する、無料のオープンソース PowerShell モジュールです。主にセキュリティ専門家、インシデントレスポンダー、管理者向けに設計されており、Microsoft 365 (M365) や Microsoft Entra ID を中心とした Microsoft サービス全体で重要なログデータの収集を自動化します。

コア機能

• データ収集: 自動収集プロセスによりフォレンジックデータを効率的に収集
• セキュリティ分析: セキュリティ構成、監査ログ、ユーザーアクティビティを調査
• エクスポートとレポート: SIEM連携のためのCSVレポートとJSONデータの両方を生成

Hawk の役割と限界

Hawk には、疑わしいメール転送ルール、過剰な権限を持つアプリケーション、リスクのあるユーザーアクティビティなど、潜在的な注目項目をフラグ付けする基本的な分析機能が含まれていますが、基本的には自動化された脅威検出システムではなく、データ収集ツールです。

Hawk は、Webインターフェースを通じて個別のクエリを手動で実行する場合と比較して、データ収集を効率化し、そのリソースを他の管理タスクに解放します。このツールの目標は、結論に至るために必要なデータを迅速に提供することであり、あなたの代わりに結論を下すことではありません。

はじめに

システム要件

• 管理者アクセス権を持つWindowsオペレーティングシステム
• PowerShell 5.0 以上（PowerShell Coreは将来サポート予定）
• 以下のネットワーク接続:
  • PowerShell Gallery
  • Graph API
  • Microsoft 365 サービス

インストール

Install-Module -Name Hawk

調査の種類

Hawk は2つの主要な調査アプローチを提供します:

テナント調査

• より広範なMicrosoft Cloudテナントの設定、監査ログ、セキュリティ構成を調査
• 不審なパターンを特定するための優れた出発点を提供
• Start-HawkTenantInvestigation を使用してテナント全体の調査を開始

ユーザー調査

• 個々のユーザーアカウントの詳細分析を実行
• メールボックス構成、受信トレイルール、ログイン履歴を調査
• Start-HawkUserInvestigation -UserPrincipleName <[email protected]> を使用して特定のユーザーを調査

出力について

Hawk は調査結果を構造化されたディレクトリ階層に整理します:

📂 [Investigation Root]
├── 📂 Tenant/
│   ├── AdminAuditLogConfig.csv
│   ├── OrgConfig.csv
│   ├── _Investigate_*.csv
│   └── [other tenant files]
├── 📂 [[email protected]]/
│   ├── Mailbox_Info.csv
│   ├── InboxRules.csv
│   ├── _Investigate_*.csv
│   └── [other user files]
└── 📂 [[email protected]]/
    └── [similar structure]

_Investigate_ で始まるファイルには、さらに調査が必要な可能性のある不審な発見が含まれています。

コントリビューション

Hawk へのコントリビューションは誰でも歓迎します。目標は、セキュリティ専門家に必要なリソースを提供するコミュニティ主導のツールを維持することです。

コントリビューションの方法

1. 開発チームに参加: [email protected] までご連絡ください
2. 機能リクエストを提出: 機能リクエストテンプレート を使用
3. 問題を報告: バグ報告テンプレート を使用

重大な問題やお問い合わせは、[email protected] までメールでご連絡ください。

サポート

• PowerShell Gallery パッケージ
• GitHub Issues
• GitHub Discussions
• メール: [email protected]

Hawk テレメトリ開示

概要

オープンソースのPowerShellモジュールであるHawkは、モジュール改善のために、最も頻繁に使用される機能を特定する目的で限定された使用データを収集します。このデータは、アップデート、機能強化、新機能の優先順位付けに役立ちます。

収集されるデータ

✅ 収集されるデータ:

• Hawk内で実行される関数名
• 使用地域

❌ 収集されないデータ:

• ユーザーを特定できるデータはありません。
• スクリプトの入力、出力、引数はありません。
• 個人データ、機密データ、センシティブデータはありません。
• データが共有または販売されることはありません。

なぜこのデータが収集されるのか？

テレメトリは、どの機能が最も頻繁に使用されているかを把握するのに役立ち、それにより以下のことが可能になります:

• アップデートと改善の優先順位付け。
• 広く使用されている機能のパフォーマンス最適化。
• 将来の開発についてデータに基づいた意思決定。

データの使用方法

収集されたデータは、Hawkモジュールを強化するための内部開発目的にのみ使用されます。機能使用状況を超えた追跡のために共有、販売、または使用されることは一切ありません。