Microsoft-Extractor-Suite 시작하기

Microsoft-Extractor-Suite를 시작하려면 Microsoft-Extractor-Suite 문서를 확인하세요.

Microsoft-Extractor-Suite 소개

Microsoft-Extractor-Suite는 Microsoft 내의 다양한 소스에서 필요한 모든 데이터와 정보를 수집하는 과정을 간소화하도록 설계된 완전한 기능을 갖춘 적극적으로 유지 관리되는 Powershell 도구입니다.

다음 Microsoft 데이터 소스가 지원됩니다:

• 통합 감사 로그(Unified Audit Log)
• 관리자 감사 로그(Admin Audit Log)
• 사서함 감사 로그(Mailbox Audit Log)
• 사서함 규칙(Mailbox Rules)
• 전송 규칙(Transport Rules)
• 메시지 추적 로그(Message Trace Logs)
• Entra ID 로그인 로그(Entra ID Sign-In Logs)
• Entra ID 감사 로그(Entra ID Audit Logs)
• Azure 활동 로그(Azure Activity Logs)
• Azure 디렉터리 활동 로그(Azure Directory Activity Logs)

위의 로그 소스 외에도 도구는 기타 관련 정보를 검색할 수 있습니다:

• Entra ID에 등록된 OAuth 애플리케이션
• 모든 사용자의 MFA 상태
• 모든 사용자의 마지막 비밀번호 변경 생성 시간 및 날짜
• 위험한 사용자
• 위험한 탐지
• 조건부 액세스 정책
• 관리자 디렉터리 역할 및 해당 사용자
• 특정 이메일 또는 첨부 파일(목록)
• Microsoft 365의 모든 사서함에 대한 위임된 권한
• Entra ID에 등록된 모든 디바이스에 대한 정보
• Microsoft 365의 모든 사서함에 대한 감사 상태 및 설정
• 그룹 정보 수집을 위해 설계된 함수
• 라이선스 정보 수집을 위해 설계된 함수
• 역할 활동 정보 검색
• 모든 Privileged Identity Management (PIM) 역할 할당 개요 생성
• 보안 경고
• Microsoft Secure Score 권장 사항 및 제어 상태

Microsoft-Extractor-Suite는 Joey Rentenaar와 Korstiaan Stam이 제작했으며 Invictus IR 팀이 유지 관리합니다.

사용법

Microsoft-Extractor-Suite 도구를 시작하려면 요구 사항이 충족되었는지 확인하세요. Connect-ExchangeOnline, AZ 모듈 또는 connect-mggraph가 설치되어 있지 않은 경우 설치 가이드를 확인하세요.

Microsoft-Extractor-Suite 툴킷 설치:

Install-Module -Name Microsoft-Extractor-Suite

Microsoft-Extractor-Suite 가져오기:

Import-Module .\Microsoft-Extractor-Suite.psd1

함수를 실행하기 전에 사용 사례에 따라 Microsoft 365 또는 Azure에 로그인해야 합니다. 로그인하려면 다음 cmdlet 중 하나를 사용하세요:

Connect-M365 또는 connect-exchangeonline

connect-mggraph

Connect-AzureAZ 또는 Connect-AzAccount

사용 가능한 함수

통합 감사 로그

• Get-UAL - 모든 통합 감사 로그 수집
• Get-MailboxAuditLog - 사서함 감사 로그 수집
• Get-AdminAuditLog - 관리자 감사 로그 수집

사서함 및 전송 규칙

• Show-MailboxRules - 사서함 규칙 표시
• Get-MailboxRules - 사서함 규칙 내보내기
• Get-MailboxRulesGraph - Graph API를 통해 사서함 규칙 내보내기
• Get-TransportRules - 전송 규칙 내보내기
• Show-TransportRules - 전송 규칙 표시

메일 및 메시지 추적

• Get-MessageTraceLog - 메시지 추적 로그 수집
• Get-Email - 특정 이메일 또는 대량 이메일 다운로드
• Show-Email - 이메일 내용 표시
• Get-Attachment - 이메일 첨부 파일 다운로드
• Get-Sessions - MailItemsaccessed 이벤트 관련 세션 정보 수집
• Get-MessageIDs - MailItemsaccessed 이벤트에서 메시지 ID 추출

로그인 및 감사 로깅

• Get-GraphEntraSignInLogs - 로그인 로그 수집
• Get-GraphEntraAuditLogs - 감사 로그 수집

활동 로깅

• Get-ActivityLogs - 활동 로그 수집
• Get-DirectoryActivityLogs - 디렉터리 활동 로그 수집

OAuth 앱

• Get-OAuthPermissionsGraph - Graph API를 통해 OAuth 애플리케이션 권한 수집

사용자 관련

• Get-Users - 사용자 정보 수집
• Get-AdminUsers - 관리 권한이 있는 사용자 수집
• Get-MFA - 사용자 MFA 상태 수집
• Get-RiskyUsers - 위험한 사용자 수집
• Get-RiskyDetections - 위험한 탐지 이벤트 수집

조건부 액세스 정책

• Get-ConditionalAccessPolicies - 조건부 액세스 정책 수집

디바이스 관리

• Get-Devices - 디바이스 등록 정보 수집

권한 및 감사 설정

• Get-MailboxAuditStatus - 사서함 감사 구성 수집
• Get-MailboxPermissions - 위임된 사서함 권한 수집

라이선스 관리

• Get-Licenses - 보존 시간 및 프리미엄 라이선스 표시기를 포함한 테넌트의 모든 라이선스 수집
• Get-LicenseCompatibility - E5, P2, P1, E3 라이선스 존재 여부 확인 및 기능 제한 사항 안내
• Get-EntraSecurityDefaults - Entra ID 보안 기본값 상태 확인
• Get-LicensesByUser - 테넌트의 모든 사용자에 대한 라이선스 할당 수집

그룹 관리

• Get-Groups - 그룹 ID 및 표시 이름을 포함한 조직의 모든 그룹 수집
• Get-GroupMembers - 각 그룹의 모든 구성원 및 관련 세부 정보 수집
• Get-DynamicGroups - 모든 동적 그룹 및 해당 멤버십 규칙 수집

역할 관리

• Get-PIMAssignments - Entra ID의 모든 Privileged Identity Management (PIM) 역할 할당 보고서 생성
• Get-AllRoleActivity - 사용자의 마지막 로그인 정보를 포함한 모든 디렉터리 역할 멤버십 검색

보안 관리

• Get-SecurityAlerts - 보안 경고 검색
• Get-SecureScore - Microsoft Secure Score 권장 사항 및 현재 상태 검색

원하는 모든 것을 자동으로 수집

• Get-AllEvidence - 사용 가능한 (거의) 모든 증거 유형 자동 수집
• Start-MESTriage - 사용자 지정 템플릿을 사용하여 특정 사용자에 대한 빠른 트라이징 수행

인증 및 세션 관리

• Connect-M365 - Microsoft 365 서비스에 연결
• Connect-AzureAZ - Az 모듈을 사용하여 연결
• Disconnect-M365 - Microsoft 365 서비스 연결 해제
• Disconnect-AzureAZ - Az 모듈 세션 연결 해제

관련 프로젝트

분석을 강화하려면 LETHAL FORENSICS에서 개발한 Microsoft-Analyzer-Suite를 고려해 보세요. 이 제품군은 Microsoft-Extractor-Suite를 사용하여 추출할 수 있는 Microsoft 365 및 Microsoft Entra ID 데이터를 분석하기 위해 특별히 설계된 PowerShell 스크립트 모음을 제공합니다.