Модуль PowerShell для реагирования на инциденты Azure AD

Модуль PowerShell для реагирования на инциденты Azure Active Directory предоставляет ряд инструментов, разработанных группой продуктов Azure Active Directory совместно с командой Microsoft Detection and Response Team (DART), для помощи в реагировании на компрометацию.

Зачем использовать модуль?

Модуль соответствует следующим целям разработки:

• Предоставление инструментария, который быстро и легко установить и использовать:
  • Сложные шаги настройки нежелательны в ситуации компрометации
  • Подробная справка и примеры включены в качестве основных элементов
• Предоставление командлетов, которые надежно получают необходимые вам данные:
  • Объединение данных, связанных с реагированием на инциденты, из нескольких источников
  • Встроенные возможности для отображения или сохранения результатов
  • Пагинация и логика повторов по умолчанию
• Превращение модуля в общественный проект для постоянного улучшения
• Помощь в преодолении разрыва между локальными и облачными средами и знаниями
  • Командлеты для установления соединений и корреляций
  • Помощь в освоении для тех, кто не знаком с облачной автоматизацией
• Удобство для центров операций безопасности (SOC)

Как установить модуль?

Модуль можно найти здесь:

https://www.powershellgallery.com/packages/AzureADIncidentResponse

Пожалуйста, используйте последнюю версию. Модуль имеет ряд предварительных требований, которые будут установлены автоматически:

• Модуль PowerShell MSAL.ps
• Модуль PowerShell AzureAD
• Модуль PowerShell MSOnline

В PowerShell необходимо выполнить:

  Install-Module -Name AzureADIncidentResponse -AcceptLicense

Совет: возможно, вам потребуется довериться репозиторию PowerShell Gallery, чтобы это действие завершилось успешно.

Если вы столкнулись с проблемой установки одного из зависимых модулей, MSAL.ps, см. здесь шаги по устранению неполадок:

https://github.com/AzureAD/MSAL.PS/blob/master/README.md#install-from-the-powershell-gallery

NB — один из командлетов модуля, Get-AzureADIRPrivilegedUserOnPremCorrelation, использует модуль Windows Server Active Directory. Если вы хотите использовать этот командлет, модуль AzureADIncidentResponse должен быть установлен на Windows Server, входящем в домен, с доступом в Интернет. Обычно это домен, в котором установлен сервер Azure AD Connect. Модуль PowerShell ActiveDirectory также должен быть установлен на целевом сервере.

Участие в разработке

Этот проект приветствует вклад и предложения. Большинство вкладов требует от вас согласия с лицензионным соглашением участника (CLA), подтверждающим, что вы имеете право предоставить нам права на использование вашего вклада и действительно предоставляете их. Подробнее см. на https://cla.opensource.microsoft.com.

Когда вы отправляете pull request, бот CLA автоматически определит, нужно ли вам предоставить CLA, и соответствующим образом оформит PR (например, проверка статуса, комментарий). Просто следуйте инструкциям, предоставленным ботом. Вам нужно будет сделать это только один раз во всех репозиториях, использующих наше CLA.

Этот проект принял Кодекс поведения Microsoft Open Source. Для получения дополнительной информации см. FAQ по Кодексу поведения или свяжитесь с [email protected] по любым дополнительным вопросам или комментариям.

Товарные знаки

Этот проект может содержать товарные знаки или логотипы проектов, продуктов или услуг. Авторизованное использование товарных знаков или логотипов Microsoft регулируется и должно соответствовать Руководству Microsoft по товарным знакам и брендам. Использование товарных знаков или логотипов Microsoft в измененных версиях этого проекта не должно вызывать путаницу или подразумевать спонсорство со стороны Microsoft. Любое использование товарных знаков или логотипов третьих лиц регулируется политиками этих третьих лиц.