---

Содержание:

1. Описание модуля

2. Установка и предварительные требования

   1. Использование Docker
   2. Ручная установка

3. Управление приложением DFIR-O365RC

   1. Создание приложения
   2. Обновление приложения
   3. Удаление приложения

4. Требования к разрешениям и лицензиям

5. Функции, включённые в модуль

6. Создаваемые файлы

DFIR-O365RC был представлен на SSTIC 2021 (Symposium sur la sécurité des technologies de l'information et des communications). Слайды и запись выступления (на французском языке) доступны здесь.

⚠️ 31 марта 2024 года Microsoft прекратила поддержку метода аутентификации, который мы использовали для DFIR-O365RC. Это привело к выпуску версии 2.0.0 в августе 2024 года с критическими изменениями, касающимися аутентификации и глобального рефакторинга кода. ⚠️

Описание модуля

Модуль PowerShell DFIR-O365RC представляет собой набор функций, позволяющий специалисту по криминалистике собирать журналы, актуальные для расследования инцидентов в Microsoft 365, и проводить расследования в Entra ID.

Журналы генерируются в формате JSON и извлекаются из двух основных источников данных:

• Единый журнал аудита Microsoft 365;
• Журналы входа и журналы аудита Microsoft Entra.

Эти два источника данных можно запрашивать из различных конечных точек:

Источник данных / Конечная точка	Хранение	Производительность	Охват
Единый журнал аудита / Exchange Online PowerShell	90 дней	Низкая	Все журналы Microsoft 365 (включая Entra)
Единый журнал аудита / Purview	180 дней	Хорошая	Все журналы Microsoft 365 (включая Entra)
Единый журнал аудита / Office 365 Management API *	7 дней	Хорошая	Все журналы Microsoft 365 (включая Entra)
Журналы Microsoft Entra / Microsoft Graph PowerShell	30 дней	Хорошая	Только журналы входа и аудита Entra
Журналы Microsoft Entra / Microsoft Graph REST API	30 дней	Хорошая	Только журналы входа и аудита Entra

* Office 365 Management API предназначен для анализа данных в реальном времени с помощью SIEM. DFIR-O365RC — это криминалистический инструмент, его цель не в мониторинге среды Microsoft 365 в реальном времени.

DFIR-O365RC будет получать данные:

• из журналов Microsoft Entra с помощью Microsoft Graph PowerShell, поскольку производительность хорошая и он является обёрткой над Microsoft Graph REST API;
• по умолчанию из Единого журнала аудита с помощью Exchange Online PowerShell: несмотря на низкую производительность, это пока единственный пригодный для использования вариант;
• опционально из Единого журнала аудита с помощью Purview. Хранение составляет 180 дней, производительность хорошая, но функция всё ещё находится в бета-версии, и ошибки в бэкенде делают её пока непригодной для использования.

Если вы расследуете вредоносную активность в Microsoft 365, Search-O365 (из Exchange Online PowerShell) также извлечёт журнал аудита почтовых ящиков, хотя командлет Search-MailboxAuditLog объявлен устаревшим.

Если вы расследуете другие ресурсы Azure, с помощью DFIR-O365RC:

• вы можете получить журнал действий Azure Monitor с помощью модуля PowerShell Az.Monitor, хранение — 90 дней. Этот журнал фокусируется на действиях в Azure Resource Manager (связанных с подпиской Azure);
• вы можете получить журнал аудита Azure DevOps с помощью REST API Azure DevOps Services, хранение — 90 дней. Этот журнал фокусируется на действиях в Azure DevOps (связанных с организацией Azure DevOps).

Установка и предварительные требования

Использование Docker

Это рекомендуемый способ использования DFIR-O365RC

Просто введите:```bash sudo docker pull anssi/dfir-o365rc:latest sudo docker run --rm -v .:/mnt/host -it anssi/dfir-o365rc:latest

DFIR-O365RC готов к использованию:```bash
PowerShell 7.4.2
DFIR-O365RC: PowerShell module for Microsoft 365 and Entra ID log collection
https://github.com/ANSSI-FR/DFIR-O365RC
PS /mnt/host/output>

Если вы хотите вручную собрать образ Docker, клонируйте репозиторий и используйте docker compose (или устаревший docker-compose) для сборки образа, запуска контейнера и монтирования тома (в папку output/):```bash sudo docker compose build dfir-o365rc sudo docker compose run dfir-o365rc

using legacy Compose V1

sudo docker-compose run dfir-o365rc

### Использование PowerShell

Вы можете установить модуль в *PowerShell Desktop* и *PowerShell Core*.

Обратите внимание, что командлет `Connect-ExchangeOnline` [требует Microsoft .NET Framework 4.7.2 или более позднюю версию](https://learn.microsoft.com/en-us/powershell/exchange/exchange-online-powershell-v2?view=exchange-ps#windows).

Для установки модуля из коллекции PowerShell:```powershell
Install-Module -Name DFIR-O365RC

Вы также можете установить модуль вручную, клонировав репозиторий DFIR-O365RC, установив необходимые зависимости (проверьте DFIR-O365RC.psd1) и добавив каталог DFIR-O365RC в один из путей модулей PowerShell.

Управление приложением DFIR-O365RC

Создание приложения

После импорта модуля вам потребуется создать приложение Entra, которое будет обрабатывать процесс сбора журналов.

Для этого:

1. Создайте самозаверяющий сертификат и получите его открытую часть в формате base64: