Hawk 文档与资源

访问 hawkforensics.io 获取全面文档，包括：

• 详细的安装与权限指南
• 分步教程和“操作指南”视频
• 故障排除帮助
• 最佳实践与使用示例

Hawk 是什么？

Hawk 是一款免费、开源的 PowerShell 模块，用于简化从 Microsoft 云环境中收集取证数据的过程。它主要面向安全专业人员、事件响应人员和管理员，能够自动收集跨 Microsoft 服务的关键日志数据，重点关注 Microsoft 365 (M365) 和 Microsoft Entra ID。

核心功能

• 数据收集：通过自动化收集流程高效获取取证数据
• 安全分析：检查安全配置、审核日志和用户活动
• 导出与报告：生成 CSV 报告和 JSON 数据，用于 SIEM 集成

Hawk 能做什么与不能做什么

虽然 Hawk 包含基本的分析能力，可以标记潜在的可疑项（例如可疑的邮件转发规则、权限过高的应用程序或风险用户活动），但它本质上是数据收集工具，而非自动化威胁检测系统。

与通过 Web 界面手动运行单个查询相比，Hawk 简化了数据收集流程，释放了其他管理任务所需资源。该工具的目标是快速获取所需数据以帮助你得出结论，而不是替你做出结论。

快速开始

系统要求

• Windows 操作系统，具有管理员权限
• PowerShell 5.0 或更高版本（未来将支持 PowerShell Core）
• 网络连接至：
  • PowerShell Gallery
  • Graph API
  • Microsoft 365 服务

安装

Install-Module -Name Hawk

调查类型

Hawk 提供两种主要调查方式：

租户调查

• 检查更广泛的 Microsoft 云租户设置、审核日志和安全配置
• 为识别可疑模式提供了绝佳的起点
• 使用 Start-HawkTenantInvestigation 开始全租户调查

用户调查

• 对单个用户账户进行深入分析
• 检查邮箱配置、收件箱规则和登录历史
• 使用 Start-HawkUserInvestigation -UserPrincipleName <[email protected]> 调查特定用户

理解输出

Hawk 将调查结果组织为结构化的目录层次结构：

📂 [调查根目录]
├── 📂 Tenant/
│   ├── AdminAuditLogConfig.csv
│   ├── OrgConfig.csv
│   ├── _Investigate_*.csv
│   └── [其他租户文件]
├── 📂 [[email protected]]/
│   ├── Mailbox_Info.csv
│   ├── InboxRules.csv
│   ├── _Investigate_*.csv
│   └── [其他用户文件]
└── 📂 [[email protected]]/
    └── [类似结构]

前缀为 _Investigate_ 的文件包含可能需要进一步审查的可疑发现。

贡献

欢迎所有人为 Hawk 做出贡献。目标是维护一个由社区主导的工具，为安全专业人员提供所需资源。

贡献方式

1. 加入开发团队：发送邮件至 [email protected]
2. 提交功能请求：使用我们的 功能请求模板
3. 报告问题：使用我们的 错误报告模板

对于关键问题或咨询，请发送邮件至 [email protected]。

支持

• PowerShell Gallery 包
• GitHub Issues
• GitHub Discussions
• 邮箱：[email protected]

Hawk 遥测声明

概述

Hawk，作为开源 PowerShell 模块，会收集有限的使用数据，以帮助改进模块——通过识别最常用的功能。这些数据有助于确定更新、增强和新功能的优先级。

收集哪些数据？

✅ 已收集数据：

• 在 Hawk 中运行的函数名称
• 使用区域

❌ 未收集数据：

• 无用户可识别数据
• 无脚本输入、输出或参数
• 无个人、机密或敏感数据
• 无数据共享或出售

为何收集这些数据？

遥测帮助我们了解哪些功能最常使用，以便：

• 确定更新和改进的优先级
• 优化常用功能的性能
• 基于数据做出未来开发决策

数据如何使用？

收集的数据严格用于内部开发目的，以增强 Hawk 模块。数据绝不会被共享、出售或用于任何超出功能使用范围的跟踪。