Untitled Goose Tool é uma ferramenta robusta e flexível de caça e resposta a incidentes que adiciona métodos inovadores de autenticação e coleta de dados para executar uma investigação completa nos ambientes Azure Active Directory (AzureAD), Azure e M365 do cliente.
O Goose está solto.
O Untitled Goose Tool é uma ferramenta robusta e flexível de caça e resposta a incidentes que adiciona novos métodos de autenticação e coleta de dados para realizar uma investigação completa nos ambientes Microsoft Entra ID, Azure e M365 de um cliente. O Untitled Goose Tool coleta telemetria adicional do Microsoft Defender for Endpoint (MDE) e do Defender for Internet of Things (IoT) (D4IoT).
Esta ferramenta foi projetada para auxiliar equipes de resposta a incidentes, exportando artefatos de nuvem após um incidente para ambientes que não estão ingerindo logs em um Security Information and Events Management (SIEM) ou outra solução de longo prazo para logs.
Para mais orientações sobre como usar o Untitled Goose Tool, consulte: Untitled Goose Tool Fact Sheet
Python >= 3.9 é necessário para executar o Untitled Goose Tool com Python. Python 3.12 é altamente recomendado, pois resulta em melhor registro de logs.
Em uma máquina Windows, você precisará garantir que o pacote redistribuível do Microsoft Visual C++ (14.x) esteja instalado antes de executar a ferramenta.
Também é recomendado executar o Untitled Goose Tool dentro de um ambiente virtual.
pip3 install virtualenv
virtualenv -p python3 .venv
source .venv/bin/activate
# You may need to run sudo apt-get install python3-venv first
python3 -m venv .venv
source .venv/bin/activate
# You can also use py -3 -m venv .venv
python -m venv .venv
.venv\Scripts\activate
As seguintes permissões do EntraID/M365 são necessárias para executar a Untitled Goose Tool e fornecer a ela acesso somente leitura ao tenant.
Observação: a conta de usuário deve ser uma conta somente na nuvem (não sincronizada com o ambiente local), isso garantirá que o processo de login permaneça o mesmo entre os ambientes para a ferramenta.
Uma conta de usuário somente na nuvem e a entidade de serviço EXO associada com as seguintes permissões:
Centro de Administração do Exchange Online
- View-Only Audit Logs
- View-Only Configuration
- View-Only Recipients
- User Options
Uma entidade de serviço com as seguintes permissões:
Permissões de API
Log Analytics API
- Data.Read (Application)
Microsoft Threat Protection:
- AdvancedHunting.Read.All (Application)
WindowsDefenderATP:
- AdvancedQuery.Read.All (Application)
- Alert.Read.All (Application)
- Library.Manage (Application)
- Machine.Read.All (Application)
- SecurityRecommendation.Read.All (Application)
- Software.Read.All (Application)
- Ti.ReadWrite (Application)
- Vulnerability.Read.All (Application)
Microsoft Graph:
- APIConnectors.Read.All (Application)
- AuditLog.Read.All (Application)
- ConsentRequest.Read.All (Application)
- Directory.Read.All (Application)
- Domain.Read.All (Application)
- IdentityProvider.Read.All (Application)
- IdentityRiskEvent.Read.All (Application)
- IdentityRiskyServicePrincipal.Read.All (Application)
- IdentityRiskyUser.Read.All (Application)
- MailboxSettings.Read (Application)
- Policy.Read.All (Application)
- Policy.Read.PermissionGrant (Application)
- Reports.Read.All (Application)
- RoleManagement.Read.All (Application)
- SecurityActions.Read.All (Application)
- SecurityAlert.Read.All (Application)
- SecurityEvents.Read.All (Application)
- UserAuthenticationMethod.Read.All (Application)
Office 365 Exchange Online
- Exchange.ManageAsApp (Application)
Funções IAM da Assinatura do Azure
- Reader
- Storage Blob Data Reader
- Storage Queue Data Reader
Certifique-se de habilitar "Allow public client flows" para o service principal.
Temos um script powershell de configuração para configurar um service principal com as permissões necessárias. Além disso, a associação do Azure Service Principal com o m365 atualmente só pode ser feita via powershell e é necessária para parte da coleta de logs do m365.
Abaixo está um exemplo de execução do script, que exibirá o comando goosey conf que você precisa executar para construir os arquivos de configuração com as informações adequadas
PS > Write-Host "Creating a new Goose Application and Users"
PS > ./Create_SP.ps1 -AppName GooseApp -Create
Além disso, o script pode excluir a Application quando você terminar de usá-la
PS > Write-Host "Creating a new Goose Application and Users"
PS > ./Create_SP.ps1 -AppName GooseApp -Delete
Para instalar, clone o repositório e então execute um pip install:
git clone https://github.com/cisagov/untitledgoosetool.git
cd untitledgoosetool
python3 -m pip install .
docker build . -t goosey
docker run -it -v $PWD:/workdir goosey goosey honk --debug
O Untitled Goose Tool requer parâmetros de autenticação e configuração. Para criar automaticamente o arquivo de configuração, execute o seguinte após a instalação.
$ goosey conf
Uma versão deste comando será gerada quando o script de instalação do powershell for executado para criar/configurar o service principal. Abaixo está um exemplo com valores de parâmetros fictícios
$ goosey conf --config_tenant=5fd146ad-8b31-4afa-a72f-6f71df5c7173 --config_subscriptionid=all --auth_appid=24fd6377-79e0-445d-838b-3eaa60d3ca21
Depois disso, os arquivos .auth, .conf, .auth_d4iot e .d4iot_conf devem ser colocados no seu diretório atual. Esses arquivos são usados pelo Untitled Goose Tool. A menos que isso tenha sido gerado com os parâmetros acima, você deve preencher a seção superior [auth] para que o Untitled Goose Tool possa autenticar corretamente nos recursos apropriados. No entanto, se você não se sentir confortável em inserir suas credenciais em um arquivo, pode optar por excluir o .auth e/ou .auth_d4iot e ser solicitado pelo ferramenta a fornecer as credenciais via console.
O auth básico se parece com:
[auth]
# The username of your account. ex: [email protected]
username=
# The password of your account. ex: AAD_password
password=
# The application ID of your service principal
appid=
# The client secret value of your service principal (not the secret ID)
clientsecret=
A configuração mínima tem esta aparência:
[config]
# The tenant ID of your AAD tenant
tenant=
# If you have a GCC High tenant
us_government=False
# If you have a GCC tenant with MDE
mde_gcc=False
# If you have a GCC High tenant with MDE
mde_gcc_high=False
# If your M365 tenant is a government tenant
exo_us_government=False
# If you want to check all of your Azure subscriptions, set this to All, otherwise enter your Azure subscription ID. For multiple IDs, separate it with commas, no spaces
subscriptionid=All
[filters]
# Format should be YYYY-MM-DD. If not set will default to the earliest date for log retention
date_start=
# Format should be YYYY-MM-DD. Will default to the present day
date_end=