gundog

gundog - 基于 PowerShell 的 Microsoft 365 Defender 引导式狩猎

Gundog 为您提供 Microsoft 365 Defender 中的引导式狩猎。目前尤其（即便不是唯一）适用于电子邮件和终结点警报。

功能

您提供一个 AlertID（您可能通过电子邮件通知收到），gundog 将尽可能多地搜索相关数据。它不会像门户中的高级搜寻那样提供灵活性，但会为您提供警报、所有相关实体以及一些丰富信息的快速初步概览。

它执行的所有搜索都基于警报时间戳——因此我们只关心警报前后不久的事件。

它还会为您搜索到的每个实体提供 PowerShell 对象——比如 $Network，包含在 Microsoft 365 Defender DeviceNetworkEvents 表中找到的与此警报相关的所有内容。

gundog 还提供了一些让您的生活更轻松的其他功能：

• 默认情况下，仅显示最相关的数据（就是这样）
• 尽可能提供上下文：最近的 AAD 登录和用户的 AAD 地址
• 网络连接可以自动过滤，仅显示更相关的连接（例如，去除对 Office 365 的连接）
• 网络连接通过地理位置（国家/地区与城市）进行丰富
• 在变量部分，您可以轻松调整大多数参数，例如每次查询的高级搜寻时间范围
• 此外，它还在 abuse.ch、urlscan.io 或 ip-api.com 等其他服务中搜索 IOC。如果您将其用于商业用途，我要求您申请它们的付费服务。

使用 gundog 进行初步评估后，您可以在门户中继续深入挖掘。

欢迎扩展 gundog 并向我发送拉取请求！为了获得最佳的迷幻体验，请将 gundog 与 Windows Terminal Dracula 主题一起使用。

快速使用

mandatory parameters:

- TenantID
- ClientID
- ClientSecret

Optional parameters:

- forgetIncidents

(Background: the first thing gundog is doing is to query all incidents and alerts from the incident API from the last 30 days. These are 
saved to a global variable. If you restart gundog, it will not query all incidents again, unless you set forgetIncidents to true.)

要求

在 AAD 中注册一个新的应用并为其授予以下权限： （如何注册应用）

Microsoft Graph

- Directory.Read.All
- IdentityRiskEvent.Read.All
- IdentityRiskyUser.Read.All
- SecurityEvents.Read.All
- User.Read

Microsoft Threat Protection

- AdvancedHunting.ReadAll
- Incident.Read.All

Windows Defender ATP

- AdvancedQuery.Read.All
- Alert.Read.All
- File.Read.All
- Ip.Read.All
- Url.Read.All
- User.Read.All
- Vulnerability.Read.All

更多信息请访问：https://emptydc.com/2021/02/25/gundog/