EntraTrace

EntraTrace는 Microsoft Entra ID를 대상으로 하는 공격 도구의 관찰 가능한 동작을 문서화하고 식별하기 위한 방어적 보안 연구 도구입니다.

이 프로젝트는 AzureHound, AADInternals, O365Enum, PingCastle 등과 같은 도구를 중심으로 자동화된 지식 기반을 구축하며, 이들이 생성하는 UserAgent 및 API 아티팩트에 중점을 둡니다.

프로젝트 상태

🚧 초기 개발 단계

이 프로젝트는 활발히 개발 중입니다. 데이터, 도구 지원 범위, 기능은 시간이 지남에 따라 발전할 것입니다.

기여, 연구, 수정, 추가 도구 분석을 환영합니다.

무엇을 추적하나요?

EntraTrace는 방어자에게 유용할 수 있는 정보에 중점을 두며, 다음을 포함합니다:

• 🔎 API 엔드포인트 — 도구가 접근하는 Microsoft Graph, Azure AD Graph 및 기타 API 엔드포인트
• 🕵️ User agent — 공격 도구와 연관된 HTTP user agent
• 🛡️ 탐지 기회 — 탐지 엔지니어링, 헌팅, 사고 대응을 지원할 수 있는 데이터

목표는 방어 팀이 공격 도구의 동작을 더 쉽게 이해하고 실행 가능한 정보로 전환할 수 있도록 하는 것입니다.

도구 프로필

왜 필요한가요?

공격 보안 도구는 아이덴티티 환경을 평가하고 공격하는 데 자주 사용됩니다. 이러한 도구가 Entra ID와 상호 작용하는 방식을 이해하면 방어자가 도구 사용을 식별하고, 의심스러운 활동을 조사하며, 탐지 범위를 개선하는 데 도움이 됩니다.

EntraTrace는 공격 도구 연구와 방어 보안 운영 사이의 간극을 메우는 것을 목표로 합니다.

사용 사례

EntraTrace는 다음과 같은 용도로 사용할 수 있습니다:

• 알려진 공격 보안 도구에 대한 탐지 구축
• Microsoft Sentinel / SIEM 헌팅 쿼리 개발
• 의심스러운 Entra ID 및 Microsoft Graph 활동 조사
• 사고 대응 중 도구 식별
• 공격 아이덴티티 도구의 동작 연구
• 아이덴티티 공격 기법에 대한 방어 가시성 개선

AI 지원 개발

🤖 EntraTrace는 AI의 도움을 받아 개발됩니다. AI는 개발 및 연구 과정 전반에 사용되며, 결과물에 대한 인간의 검토와 검증이 이루어집니다.

로컬 배포

저장소는 매일 업데이트되지만, 로컬 배포도 지원됩니다. Python을 사용하여 저장소 루트에서 로컬로 실행하려면, 실행 전에 내장된 도움말 출력을 사용하여 사용 가능한 옵션을 확인하세요.

⚠️ - 스크립트를 로컬에서 실행하면 프로필을 생성하는 데 필요한 정보를 추출하기 위해 공격 도구가 포함된 저장소가 로컬로 다운로드되므로 보안 경고가 발생할 수 있습니다.

# Extract API behavior from a repo or refresh all profile entries
python .\Scripts\ExtractToolBehavior.py --all-profiles --output-dir .\Profiles

# Export tool user agents from YAML profiles into a CSV
python .\Scripts\SummarizeUserAgents.py --profiles-dir .\Profiles --output .\Indicator Lists\UserAgents.csv

• SummarizeUserAgents.py는 프로필 YAML 파일에서 user-agent 데이터를 헌팅 CSV로 내보냅니다.
• ExtractToolBehavior.py는 Profiles\Tools.txt가 있으면 해당 파일에서 저장소 URL을 읽고, 그렇지 않으면 출력 디렉터리의 YAML 프로필 파일에서 발견된 모든 repository_url로 대체합니다.
• 전체 매개변수 집합과 동작을 보려면 두 스크립트 중 하나를 -h 또는 --help와 함께 실행하세요.

관련 콘텐츠

• Investigating Microsoft Graph Activity Logs
• GraphApiAuditEvents: The new Graph API Logs
• Detect threats using Microsoft Graph activity logs - Part 1 by Fabian Bader
• Detect threats using Microsoft Graph activity logs - Part 2 by Fabian Bader
• Detect threats using GraphAPIAuditEvents - Part 3 by Fabian Bader
• Everything you need to know about the MicrosoftGraphActivityLogs by Invictus IR
• The Missing Link: AADGraphActivityLogs Finally Arrives by Invictus IR

라이선스

라이선스 정보는 LICENSE를 참조하세요.