Azure AD 事件响应 PowerShell 模块

Azure Active Directory 事件响应 PowerShell 模块提供了多种工具，由 Azure Active Directory 产品组与 Microsoft 检测和响应团队 (DART) 联合开发，用于协助失陷响应。

为什么使用该模块？

该模块实现了以下开发目标：

• 提供快速且易于安装和使用的工具：
  • 在失陷情况下，复杂的配置步骤是不可取的
  • 包含详细的帮助和示例作为基本要素
• 提供能够稳健地获取所需数据的 cmdlet：
  • 合并来自多个来源的 IR 特定数据
  • 提供用于显示或捕获结果的内置选项
  • 默认启用分页和重试逻辑
• 使该模块成为持续改进的社区项目
• 帮助弥合本地环境与云环境及知识之间的差距
  • 提供用于建立连接和关联的 cmdlet
  • 让不熟悉云自动化的人员也能熟悉起来
• 对安全运营中心 (SOC) 友好

如何安装该模块？

该模块可在此处获取：

https://www.powershellgallery.com/packages/AzureADIncidentResponse

请使用最新版本。该模块具有多个将自动安装的先决条件：

• MSAL.ps PowerShell 模块
• AzureAD PowerShell 模块
• MSOnline PowerShell 模块

在 PowerShell 中，您需要运行：

  Install-Module -Name AzureADIncidentResponse -AcceptLicense

提示：您可能需要信任 PowerShell 库存储库，此操作才能成功完成。

如果您在安装某个依赖模块（MSAL.ps）时遇到问题，请参见此处获取补救步骤：

https://github.com/AzureAD/MSAL.PS/blob/master/README.md#install-from-the-powershell-gallery

注意 - 该模块中的 cmdlet 之一 Get-AzureADIRPrivilegedUserOnPremCorrelation 使用了 Windows Server Active Directory 模块。如果您希望使用该 cmdlet，则需要在已加入域且可访问互联网的 Windows Server 上安装 AzureADIncidentResponse 模块。该域通常是安装 Azure AD Connect 服务器的域。目标服务器上还需要安装 ActiveDirectory PowerShell 模块。

参与贡献

本项目欢迎贡献和建议。 大多数贡献需要您同意一份 贡献者许可协议（CLA），声明您有权且确实授予我们 使用您的贡献的权利。详情请访问 https://cla.opensource.microsoft.com。

当您提交拉取请求时，CLA 机器人会自动判断您是否需要提供 CLA，并适当地装饰 PR（例如，状态检查、评论）。只需按照说明 由机器人提供。您在所有使用我们 CLA 的仓库中只需执行一次此操作。

本项目已采用 Microsoft 开放源代码行为准则。 有关详细信息，请参阅 行为准则常见问题解答 或通过 [email protected] 联系我们，提出任何其他问题或评论。

商标

本项目可能包含项目、产品或服务的商标或徽标。对 Microsoft 商标或徽标的授权使用须遵守并遵循 Microsoft 商标与品牌准则。 在本项目的修改版本中使用 Microsoft 商标或徽标不得造成混淆或暗示 Microsoft 赞助。 对第三方商标或徽标的任何使用均须遵守该第三方的政策。