gundog

gundog - caça guiada baseada em PowerShell no Microsoft 365 Defender

Gundog fornece a você caça guiada no Microsoft 365 Defender. Especialmente (se não apenas) para Alertas de Email e Endpoint no momento.

Funcionalidade

Você fornece um AlertID (que pode ter recebido por notificação de Email) e o gundog então caçará o máximo de dados associados possível. Ele não lhe dá a flexibilidade da caça avançada como no portal, mas fornecerá uma visão geral rápida e inicial do alerta, de todas as entidades associadas e algum enriquecimento.

Toda a caça que ele faz é baseada no timestamp do alerta – então nos importamos apenas com eventos pouco antes ou depois do alerta.

Ele também fornece objetos PowerShell para cada entidade que caçou – como $Network para tudo que encontrou relacionado a este alerta na tabela DeviceNetworkEvents do Microsoft 365 Defender.

O gundog também oferece outros recursos que facilitam sua vida:

• por padrão, apenas os dados mais relevantes são exibidos (essa é a abordagem)
• fornece contexto sempre que possível: últimos Sign-Ins do AAD e endereço AAD do usuário
• conexões de rede podem ser automaticamente filtradas para exibir apenas conexões mais relevantes (eliminar conexões com o Office 365, por exemplo)
• conexões de rede são enriquecidas com geolocalização (país e cidade)
• na seção de variáveis você pode ajustar facilmente a maioria dos parâmetros, como o período de caça avançada de cada consulta
• Além disso, ele busca IOCs em outros serviços como abuse.ch, urlscan.io ou ip-api.com. Peço que você solicite seus serviços pagos se os utilizar comercialmente.

Após as primeiras avaliações com o gundog, você pode continuar no portal para se aprofundar na toca do coelho.

Sinta-se à vontade para estender o gundog e enviar pull requests! Para a melhor experiência psicodélica, use o tema Dracula do Windows Terminal com o gundog.

Uso rápido

mandatory parameters:

- TenantID
- ClientID
- ClientSecret

Optional parameters:

- forgetIncidents

(Background: a primeira coisa que o gundog faz é consultar todos os incidentes e alertas da API de incidentes dos últimos 30 dias. Estes são salvos em uma variável global. Se você reiniciar o gundog, ele não consultará todos os incidentes novamente, a menos que defina forgetIncidents como true.)

Requisitos

Registre um novo aplicativo no AAD e conceda a ele as seguintes permissões: (Como registrar um aplicativo)

Microsoft Graph

- Directory.Read.All
- IdentityRiskEvent.Read.All
- IdentityRiskyUser.Read.All
- SecurityEvents.Read.All
- User.Read

Microsoft Threat Protection

- AdvancedHunting.ReadAll
- Incident.Read.All

Windows Defender ATP

- AdvancedQuery.Read.All
- Alert.Read.All
- File.Read.All
- Ip.Read.All
- Url.Read.All
- User.Read.All
- Vulnerability.Read.All

Para mais informações visite: https://emptydc.com/2021/02/25/gundog/