Começando com o Microsoft-Extractor-Suite

Para começar com o Microsoft-Extractor-Suite, consulte a documentação do Microsoft-Extractor-Suite.

Sobre o Microsoft-Extractor-Suite

O Microsoft-Extractor-Suite é uma ferramenta PowerShell completa e ativamente mantida, projetada para agilizar o processo de coleta de todos os dados e informações necessários de várias fontes dentro da Microsoft.

As seguintes fontes de dados da Microsoft são suportadas:

• Log de Auditoria Unificada
• Log de Auditoria de Administrador
• Log de Auditoria de Caixa de Correio
• Regras de Caixa de Correio
• Regras de Transporte
• Logs de Rastreamento de Mensagens
• Logs de Login do Entra ID
• Logs de Auditoria do Entra ID
• Logs de Atividade do Azure
• Logs de Atividade do Diretório do Azure

Além das fontes de log acima, a ferramenta também é capaz de recuperar outras informações relevantes:

• Aplicações OAuth registradas no Entra ID
• O status do MFA para todos os usuários
• A data e hora de criação da última alteração de senha para todos os usuários
• Os usuários arriscados
• As detecções de risco
• As políticas de acesso condicional
• Funções de diretório de administrador e seus usuários
• Um e-mail específico ou lista de e-mails ou anexos
• Permissões delegadas para todas as caixas de correio no Microsoft 365
• Informações sobre todos os dispositivos registrados no Entra ID
• Status e configurações de auditoria para todas as caixas de correio no Microsoft 365
• Funções projetadas para coletar informações sobre grupos
• Funções projetadas para coletar informações sobre licenças
• Recuperar informações de atividade de função
• Gera uma visão geral de todas as atribuições de função do Privileged Identity Management (PIM)
• Alertas de segurança
• Recomendações e status de controle do Microsoft Secure Score

O Microsoft-Extractor-Suite foi criado por Joey Rentenaar e Korstiaan Stam e é mantido pela equipe da Invictus IR.

Utilização

Para começar com a ferramenta Microsoft-Extractor-Suite, certifique-se de que os requisitos são atendidos. Se você não tiver o Connect-ExchangeOnline, o módulo AZ ou o connect-mggraph instalados, verifique o guia de instalação.

Instale o kit de ferramentas Microsoft-Extractor-Suite:

Install-Module -Name Microsoft-Extractor-Suite

Para importar o Microsoft-Extractor-Suite:

Import-Module .\Microsoft-Extractor-Suite.psd1

Você deve fazer login no Microsoft 365 ou no Azure dependendo do seu caso de uso antes de executar as funções. Para fazer login, use um dos cmdlets:

Connect-M365 or connect-exchangeonline

connect-mggraph

Connect-AzureAZ or Connect-AzAccount

Funções Disponíveis

Unified Audit Log

• Get-UAL - Coletar todos os Logs de Auditoria Unificada
• Get-MailboxAuditLog - Coletar Logs de Auditoria de Caixa de Correio
• Get-AdminAuditLog - Coletar Logs de Auditoria de Administrador

Mailbox & Transport Rules

• Show-MailboxRules - Mostra regras de caixa de correio
• Get-MailboxRules - Exportar regras de caixa de correio
• Get-MailboxRulesGraph - Exportar regras de caixa de correio via API do Graph
• Get-TransportRules - Exportar regras de transporte
• Show-TransportRules - Mostra regras de transporte

Mail and Message Tracking

• Get-MessageTraceLog - Coletar logs de rastreamento de mensagens
• Get-Email - Baixar e-mails específicos ou em massa
• Show-Email - Mostrar conteúdo do e-mail
• Get-Attachment - Baixar anexos de e-mail
• Get-Sessions - Coletar informações de sessão relacionadas a eventos MailItemsaccessed
• Get-MessageIDs - Extrair IDs de mensagens de eventos MailItemsaccessed

Sign-In & Audit Logging

• Get-GraphEntraSignInLogs - Coletar logs de login
• Get-GraphEntraAuditLogs - Coletar logs de auditoria

Activity Logging

• Get-ActivityLogs - Coletar logs de atividade
• Get-DirectoryActivityLogs - Coletar logs de atividade de diretório

OAuth apps

• Get-OAuthPermissionsGraph - Coletar permissões de aplicação OAuth via API do Graph

User Related

• Get-Users - Coletar informações do usuário
• Get-AdminUsers - Coletar usuários com privilégios administrativos
• Get-MFA - Coletar status do MFA para usuários
• Get-RiskyUsers - Coletar usuários arriscados
• Get-RiskyDetections - Coletar eventos de detecção de risco

Conditional Access Policies

• Get-ConditionalAccessPolicies - Coletar políticas de acesso condicional

Device Management

• Get-Devices - Coletar informações de registro de dispositivos

Permissions and Audit Settings

• Get-MailboxAuditStatus - Coletar as configurações de auditoria da caixa de correio
• Get-MailboxPermissions - Coletar permissões de caixa de correio delegadas

License Management

• Get-Licenses - Coletar todas as licenças no locatário com tempos de retenção e indicadores de licença premium
• Get-LicenseCompatibility - Verifica a presença de licenças E5, P2, P1 e E3 e informa sobre limitações de funcionalidade
• Get-EntraSecurityDefaults - Verifica o status dos padrões de segurança do Entra ID
• Get-LicensesByUser - Coletar atribuições de licença para todos os usuários no locatário

Group Management

• Get-Groups - Coletar todos os grupos na organização incluindo detalhes como ID do grupo e nome de exibição
• Get-GroupMembers - Coletar todos os membros de cada grupo e seus detalhes relevantes
• Get-DynamicGroups - Coletar todos os grupos dinâmicos e suas regras de associação

Role Management

• Get-PIMAssignments - Gera um relatório de todas as atribuições de função do Privileged Identity Management (PIM) no Entra ID.
• Get-AllRoleActivity - Recupera todas as associações de função de diretório com informações do último login dos usuários.

Security Management

• Get-SecurityAlerts - Recupera alertas de segurança
• Get-SecureScore - Recupera recomendações e status atual do Microsoft Secure Score

Automatically collect everything you want

• Get-AllEvidence - Coletar todos (quase) os tipos de evidência disponíveis automaticamente
• Start-MESTriage - Realiza triagem rápida para usuários específicos usando modelos personalizáveis

Authentication & Session Management

• Connect-M365 - Conectar aos serviços do Microsoft 365
• Connect-AzureAZ - Conectar usando o módulo Az
• Disconnect-M365 - Desconectar dos serviços do Microsoft 365
• Disconnect-AzureAZ - Desconectar da sessão do módulo Az

Projetos Relacionados

Para aprimorar sua análise, considere explorar o Microsoft-Analyzer-Suite desenvolvido pela LETHAL FORENSICS. Este conjunto oferece uma coleção de scripts PowerShell especificamente projetados para analisar dados do Microsoft 365 e do Microsoft Entra ID, que podem ser extraídos usando o Microsoft-Extractor-Suite.