AzureHunter

Модуль PowerShell для запуска сценариев (playbooks) охоты за угрозами на данных из Azure и O365 в целях облачной криминалистики.

Начало работы

1. Убедитесь, что у вас есть соответствующие разрешения O365

В Exchange Online требуются следующие роли для получения доступа только для чтения к UnifiedAuditLog: View-Only Audit Logs или Audit Logs.

Эти роли назначаются по умолчанию группе ролей Compliance Management в Центре администрирования Exchange.

ПРИМЕЧАНИЕ: если вы аналитик безопасности, специалист по реагированию на инциденты или охотник за угрозами, и ваша организация НЕ предоставляет вам доступ только для чтения к этим журналам аудита, вам следует серьёзно задуматься о стратегии обнаружения и реагирования!

Дополнительная информация:

• Как выполнить поиск в журнале аудита с помощью графического интерфейса
• Управление группами ролей в Exchange Online
• Как включить UnifiedAuditLog

ПРИМЕЧАНИЕ: ваш администратор может проверить эти требования, выполнив Get-ManagementRoleEntry "*\Search-UnifiedAuditLog" в облачной оболочке вашего арендатора Azure или в локальном экземпляре PowerShell, подключённом к Azure.

2. Убедитесь, что установлен модуль PowerShell ExchangeOnlineManagement v2

Пожалуйста, убедитесь, что у вас установлен ExchangeOnlineManagement (EXOv2). Инструкции можно найти в интернете или обратиться к моей небольшой базе знаний по ссылке the soc analyst scrolls

3. Клонируйте репозиторий или установите AzureHunter из PSGallery

3.1 Клонирование репозитория

1. Клонируйте этот репозиторий
2. Импортируйте модуль Import-Module .\source\AzureHunter.psd1

3.2 Установка AzureHunter из PSGallery

Всё, что вам нужно сделать:

Install-Module AzureHunter -Scope CurrentUser
Import-Module AzureHunter

Что такое UnifiedAuditLog?

Единый журнал аудита содержит действия пользователей, групп, приложений, доменов и каталогов, выполняемые в Центре администрирования Microsoft 365 или на портале управления Azure. Полный список событий Azure AD см. в списке RecordTypes.

UnifiedAuditLog — отличный источник облачной криминалистической информации, поскольку он содержит огромное количество данных о различных типах облачных операций, таких как ExchangeItems, SharePoint, Azure AD, OneDrive, управление данными, предотвращение потери данных, оповещения Защитника Windows и события карантина, события аналитики угроз в Microsoft Defender для Office 365, и этот список можно продолжать!

Проверки согласованности данных AzureHunter

AzureHunter реализует полезную логику для обеспечения максимальной плотности журналов при извлечении и экспорте из журналов аудита Azure и O365. Для этого в каждом цикле (пакете) выполняются две различные операции:

1. Автоматическое уменьшение временного окна: эта проверка гарантирует, что временной интервал уменьшается до оптимального на основе параметра ResultSizeUpperThreshold, который по умолчанию равен 20 тыс. Это означает, что если количество возвращаемых журналов в заданном TimeInterval превышает ResultSizeUpperThreshold, будет выполнена автоматическая корректировка.
2. Последовательная проверка данных: являются ли возвращаемые индексы записей последовательно допустимыми?

Использование

Убедитесь, что вы подключились к ExchangeOnline

Рекомендуется выполнить Connect-ExchangeOnline перед запуском любых команд AzureHunter. Программа проверяет наличие активного удалённого сеанса и пытается подключиться, но некоторые версии PowerShell этого не позволяют, и вам в любом случае нужно сделать это самостоятельно.

Запуск AzureHunter

AzureHunter имеет две основные команды: Search-AzureCloudUnifiedLog и Invoke-AzHunterPlaybook.

Цель Search-AzureCloudUnifiedLog — реализовать сложную логику для обеспечения максимального процента извлечения записей UnifiedAuditLog из Azure. По умолчанию он экспортирует извлечённые и дедуплицированные записи в CSV-файл.

Цель Invoke-AzHunterPlaybook — предоставить гибкий интерфейс для сценариев (playbooks) охоты, хранящихся в папке playbooks. Эти сценарии разработаны так, чтобы каждый мог внести свой вклад со своими аналитическими методами и идеями. На данный момент разработаны только два очень простых сценария: AzHunter.Playbook.Exporter и AzHunter.Playbook.LogonAnalyser. Exporter отвечает за экспорт записей после применения операций дедупликации и сортировки данных. LogonAnalyser находится в бета-режиме и извлекает события, в которых свойство Operations равно UserLoggedIn. Это пример того, что можно сделать с помощью сценариев и как легко их создать.

При запуске Search-AzureCloudUnifiedLog вы можете передать список сценариев для выполнения для каждого пакета журналов. Search-AzureCloudUnifiedLog передаёт пакет сценариям через Invoke-AzHunterPlaybook.

Наконец, Invoke-AzHunterPlaybook можно использовать отдельно. Если у вас есть экспорт записей UnifiedAuditLog, вы можете загрузить их в массив PowerShell и передать этой команде, указав соответствующие сценарии.

Пример 1 | Поиск в Azure UnifiedAuditLog и извлечение записей в CSV-файл (поведение по умолчанию)

Search-AzureCloudUnifiedLog -StartDate "2020-03-06T10:00:00" -EndDate "2020-06-09T12:40:00" -TimeInterval 12 -AggregatedResultsFlushSize 5000 -Verbose

Эта команда:

• Выполнит поиск данных между датами в StartDate и EndDate
• Реализует окно в 12 часов между этими датами, которое будет использоваться для сканирования всей длины временного интервала (StartDate --> EndDate). Это окно будет автоматически уменьшаться и корректироваться для обеспечения максимального количества записей в окне, что повышает качество вывода. Временное окно последовательно сдвигается до достижения EndDate.
• Параметр AggregatedResultsFlushSize определяет пакеты записей, которые будут обрабатываться нижестоящими сценариями. Мы указываем AzureHunter обрабатывать пакет записей, когда общее количество достигает 5000. Таким образом, вы можете получать результаты на лету, не дожидаясь часами, пока огромный диапазон записей будет экспортирован в CSV-файлы.

Пример 2 | Запуск сценариев охоты на CSV-файле