วิธีค้นหาและส่งออกบันทึกการตรวจสอบ Office 365 เพื่อหากิจกรรมที่น่าสงสัย

Microsoft Azure มีเครื่องมือหลายอย่างในการตรวจสอบและตรวจสอบเหตุการณ์ด้านความปลอดภัยภายใน Office 365 แต่เครื่องมือเหล่านี้มักต้องการค่าใช้จ่ายและสิทธิ์การใช้งานเพิ่มเติม เมื่อใช้เครื่องมือ PowerShell ฟรี คุณสามารถส่งออกบันทึกการตรวจสอบ Office 365 ค้นหาบันทึกการตรวจสอบ Office 365 และแยกวิเคราะห์สิ่งที่คุณต้องการจากบันทึกการตรวจสอบของผู้ดูแลระบบ Office 365

ขอแนะนำโมดูล Hawk PowerShell

โมดูล Hawk PowerShell จะสแกนบันทึกการตรวจสอบของ Office 365 รวบรวมข้อมูลทั้งหมด และสามารถส่งออกบันทึกการตรวจสอบของ Office 365 ได้ เป้าหมายหลักของ Hawk คือการดึงข้อมูลที่จำเป็นในการตรวจสอบและวิเคราะห์บันทึกต่างๆ อย่างรวดเร็ว

ในบทความนี้ คุณจะได้เรียนรู้วิธีการติดตั้ง Hawk เชื่อมต่อกับผู้เช่า Office 365 สแกนหาผู้เช่าและผู้ใช้ และเริ่มตรวจสอบการละเมิดความปลอดภัย

ข้อกำหนดเบื้องต้น/ข้อกำหนด

บทความนี้จะเป็นบทช่วยสอนเกี่ยวกับวิธีใช้โมดูล Hawk PowerShell หากคุณต้องการปฏิบัติตาม โปรดตรวจสอบให้แน่ใจว่าคุณมีข้อกำหนดเบื้องต้นต่อไปนี้ก่อนที่จะเริ่มต้น

• Windows PowerShell v5 หรือสูงกว่า - โมดูล Hawk เข้ากันไม่ได้กับ PowerShell 6+
• การเชื่อมต่ออินเทอร์เน็ต.
• Windows 7 พร้อม Service Pack 1 หรือสูงกว่า
• การสมัครใช้งานผู้เช่า Office 365

Microsoft เสนอห้องปฏิบัติการสำหรับนักพัฒนา Office 365 สำหรับผู้ใช้งาน 25 รายฟรี ซึ่งรวมถึงใบอนุญาตผู้ใช้ 25 รายให้ใช้งาน อย่าลืมติดตั้งชุดตัวอย่างผู้ใช้และเมล ชุดตัวอย่างจะเพิ่มผู้ใช้สมมติ 16 รายพร้อมใบอนุญาตและกล่องจดหมาย รวมถึงชื่อ ข้อมูลเมตา และรูปถ่ายสำหรับผู้ใช้แต่ละราย และเพิ่มการสนทนาทางอีเมล Outlook และกิจกรรมในปฏิทินสำหรับผู้ใช้ตัวอย่าง 16 รายแต่ละราย

การติดตั้งโมดูลเหยี่ยว

ก่อนที่คุณจะเริ่มตรวจสอบบันทึกการตรวจสอบ Office 365 ด้วยโมดูล Hawk คุณจะต้องติดตั้งก่อน โดยเปิด Windows PowerShell ในฐานะผู้ดูแลระบบ และป้อนข้อมูลต่อไปนี้:

Install-Module -Name Hawk 

การดำเนินการนี้จะใช้เวลาสักครู่เนื่องจาก Hawk มีการขึ้นต่อกันหลายอย่างที่ติดตั้งโดยอัตโนมัติเมื่อคุณติดตั้ง โมดูลเพิ่มเติมมีดังต่อไปนี้:

• PSAppInsights
• คลาวด์คอนเน็ค
• AzureAD
• เอ็มเอสออนไลน์
• CloudCommand ที่แข็งแกร่ง

เคล็ดลับ: หากคุณต้องการดูว่าโมดูลใดถูกติดตั้ง ให้เพิ่มแฟล็กรายละเอียดลงในคำสั่ง ตัวอย่าง: Install-Module -Name Hawk-Verbose

ทำความเข้าใจกับโมดูล Hawk PowerShell

cmdlets ของโมดูล Hawk แบ่งออกเป็นสองประเภทหลัก ได้แก่ cmdlets ตามผู้เช่า และ cmdlets ตามผู้ใช้ cmdlet ของผู้เช่าจะรวบรวมข้อมูลการตรวจสอบและการรายงาน เช่น กฎการส่งต่อผู้ใช้ สิทธิ์ของกล่องจดหมายส่วนกลาง และสิทธิ์ของกล่องจดหมายแบบธรรมดาสำหรับผู้ใช้ทั้งหมดของคุณ cmdlets ที่อิงตามผู้ใช้มุ่งเน้นไปที่ข้อมูลบัญชีผู้ใช้แต่ละราย เช่น กฎการส่งต่อส่วนบุคคล การเปลี่ยนแปลงกล่องจดหมาย และการติดตามข้อความ

ทั้ง cmdlets ตามผู้เช่าและตามผู้ใช้จะดำเนินการโดยการรันคำสั่งหลัก Start-HawkTenantInvestigation หรือ Start-HawkUserInvestigation ขึ้นอยู่กับพื้นที่ที่คุณต้องการตรวจสอบ การดำเนินการคำสั่งจะเรียก cmdlets ที่เหมาะสมและเริ่มรวบรวมข้อมูล ลิงค์ด้านล่างคือ cmdlets ที่ใช้ในโมดูล Hawk

• cmdlet ของผู้เช่า
• cmdlet ที่อิงตามผู้ใช้

มาดูการตรวจสอบ Office 365 กันและจะมีลักษณะอย่างไร

การค้นหาบันทึกการตรวจสอบ Office 365

ก่อนที่คุณจะสามารถส่งออกบันทึกการตรวจสอบ Office 365 คุณต้องค้นหาบันทึกการตรวจสอบของผู้ดูแลระบบ Office 365 ก่อน งานนั้นเริ่มต้นด้วยการรันคำสั่ง Hawk Tenant Investigation ดังที่แสดงด้านล่าง:

PS51> Start-HawkTenantInvestigation

หลังจากตรวจสอบการอัปเดตและเตรียมใช้งานโมดูลแล้ว Hawk จะเข้าสู่ MSOnline ดังที่แสดงด้านล่าง เข้าสู่ระบบด้วยบัญชีผู้ดูแลระบบส่วนกลางของผู้เช่าของคุณเพื่อดำเนินการต่อ

ป้อน Y เพื่อยอมรับข้อจำกัดความรับผิดชอบดังที่แสดงด้านล่าง

จากนั้น ระบุไดเร็กทอรีที่จะจัดเก็บบันทึกและข้อมูลทั้งหมด Hawk สร้างบันทึกการตรวจสอบหลายรายการที่คุณสามารถบันทึกข้อมูลเพื่อส่งออกบันทึกการตรวจสอบ Office 365 เป็นความคิดที่ดีที่จะสร้างไดเร็กทอรีแยกต่างหากเพื่อจัดเก็บ ในตัวอย่างนี้ ข้อมูลทั้งหมดจะไปที่ไดเร็กทอรี C:\Hawk

Hawk จะถามถึงหน้าต่างค้นหาที่คุณต้องการตรวจสอบ การกดปุ่ม Enter ที่นี่จะตั้งค่าวันที่เริ่มต้นเริ่มต้นของหน้าต่างค้นหาเป็นวันปัจจุบันลบ 90 วัน สำหรับวันสุดท้ายของหน้าต่างค้นหา การกด Enter จะตั้งค่าเริ่มต้นของวันที่ปัจจุบัน

หากต้องการลดปริมาณข้อมูลที่คุณต้องตรวจสอบ ให้ลองจำกัดหน้าต่างการค้นหาให้เหลือเพียงไม่กี่วันเท่าที่จะเป็นไปได้

เมื่อคุณระบุหน้าต่างการค้นหาเพื่อตรวจสอบแล้ว Hawk จะเริ่มสแกนผู้เช่า Exchange แบบออนไลน์เพื่อรวบรวมบันทึกตามผู้เช่า เข้าสู่ระบบ Exchange ออนไลน์ด้วยบัญชีผู้ดูแลระบบส่วนกลางของผู้เช่าของคุณเหมือนที่คุณเคยทำกับ MSOnline ก่อนหน้านี้

เมื่อคุณได้รับการรับรองความถูกต้องกับ Microsoft Online (MSOnline) และ Exchange Online (EXO) แล้ว Hawk จะเริ่มรวบรวมข้อมูลการตรวจสอบจากบันทึกการตรวจสอบของผู้ดูแลระบบ Office 365 และเขียนบันทึกและไฟล์ข้อมูลหลายไฟล์ไปยังไดรฟ์ในเครื่องของคุณเพื่อส่งออกบันทึกการตรวจสอบ Office 365 Hawk สร้างโฟลเดอร์ที่มีป้ายกำกับด้วยวันที่และเวลาของการสแกนภายใต้โฟลเดอร์ C:\Hawk ในตัวอย่างนี้

ส่งออกบันทึกการตรวจสอบ Office 365

แต่ละครั้งที่คุณเรียกใช้ Hawk มันจะสร้างโฟลเดอร์พร้อมเวลาและวันที่ปัจจุบัน และจัดเก็บบันทึกและข้อมูลทั้งหมดไว้ในโฟลเดอร์ดังที่แสดงด้านล่าง

หากทำการสแกนหลายครั้งหรือทำการสแกนเป็นเวลาหลายวันโดยที่ Hawk กำลังค้นหาบันทึกการตรวจสอบของ Office 365 Hawk จะใช้การประทับเวลา/วันที่เป็นชื่อโฟลเดอร์เพื่อให้ง่ายต่อการค้นหาข้อมูลอย่างรวดเร็ว ดังที่คุณเห็นด้านล่าง ตัวเลขสี่ตัวแรกคือปี ตามด้วยเดือนสองหลัก วันสองหลัก และเวลาที่แสดงในรูปแบบทหาร

การลดขอบเขตให้แคบลง

เมื่อการสแกนผู้เช่าเสร็จสิ้น ตอนนี้ให้เริ่มตรวจสอบข้อมูลการตรวจสอบที่โมดูล Hawk สร้างขึ้น ไฟล์แรกที่ดีคือการตรวจสอบไฟล์บันทึก _investigate.txt ไฟล์ _invesitgate.txt เป็นรายงานบันทึกของกฎการส่งต่ออีเมลทั้งหมดสำหรับผู้เช่า ด้านล่างนี้เป็นตัวอย่างไฟล์ _investigate.txt

การส่งต่ออีเมลถือเป็นความเสี่ยงด้านความปลอดภัย เนื่องจากผู้ใช้อาจส่งต่อข้อมูลที่ละเอียดอ่อนไปยังบัญชีที่มีช่องโหว่ ผู้ส่งอีเมลขยะอาจนำไปใช้เป็นช่องทางส่งต่ออีเมลและสร้างความเสียหายต่อชื่อเสียงของบริษัทของคุณได้

บันทึกถัดไปที่ต้องตรวจสอบคือไฟล์ Hawk.log บันทึกนี้จะให้รายละเอียดการเปลี่ยนแปลงในพื้นที่ต่างๆ ของผู้เช่าในครั้งล่าสุดที่มีการรัน มองหาการเปลี่ยนแปลงใดๆ ที่ดูน่าสงสัย รายการทั่วไปบางรายการ ได้แก่:

• การกำหนดการเปลี่ยนแปลงการอนุญาตให้กับบัญชีผู้ใช้
• การเปลี่ยนแปลงกฎกล่องจดหมาย
• การเปลี่ยนแปลงบทบาทของผู้ใช้ (เช่น บทบาทของผู้ใช้มาตรฐานเปลี่ยนเป็นบทบาทผู้ดูแลระบบ)

ในบันทึกการตรวจสอบตัวอย่างด้านล่าง ส่วนที่ไฮไลต์แสดงว่า Hawk พบการเปลี่ยนแปลงสิบแปดครั้งในการอนุญาตกล่องจดหมาย สิ่งนี้สมควรได้รับการตรวจสอบอย่างใกล้ชิด

บรรทัดถัดไปในบันทึกจะแสดงตำแหน่งของไฟล์ CSV ที่ต้องตรวจสอบเพื่อดูรายละเอียดเพิ่มเติม ในกรณีนี้ ไฟล์บันทึกจะอยู่ที่ c:\hawk\20191212_1443\Tenant\Simple_Mailbox_Permissions.csv

อย่างที่คุณเห็น คุณสามารถส่งออกบันทึกการตรวจสอบ Office 365 เป็นไฟล์ CSV ได้

การตรวจสอบผู้ใช้ Office 365

เช่นเดียวกับผู้เช่า Hawk ยังสามารถตรวจสอบกิจกรรมของผู้ใช้และผู้ดูแลระบบ Office 365 เพื่อหาการละเมิดความปลอดภัยที่อาจเกิดขึ้น ด้วยข้อมูลนี้ คุณสามารถจำกัดความสนใจของคุณให้เหลือเพียงบัญชีที่น่าสงสัยบางบัญชีได้

บัญชีส่วนบุคคลได้รับการตรวจสอบโดยใช้คำสั่งต่อไปนี้

Start-HawkUserInvestigation -UserPrincipalName username@domain_name.com

คำสั่ง Start-HawkUserInvestigation จะเรียก cmdlet ของ Get-HawkUser ทั้งหมด และดำเนินการหลายอย่างกับผู้ใช้ รวมถึงการตรวจสอบของ:

• การกำหนดค่าผู้ใช้
• กฎของกล่องจดหมาย
• กฎการส่งต่อ
• สถิติโฟลเดอร์
• สถิติกล่องจดหมาย

ดังที่คุณเห็นด้านล่าง Start-HawkUserInvestigation จะสร้างโฟลเดอร์ที่มีป้ายกำกับชื่อผู้ใช้และจัดเก็บไฟล์บันทึกที่เน้นผู้ใช้ทั้งหมดในโฟลเดอร์นั้น

ไฟล์จำนวนมากที่สร้างโดย Hawk PowerShell Module อยู่ในรูปแบบ CSV

สรุป

การตรวจสอบการละเมิดความปลอดภัยจำเป็นต้องรวบรวมข้อมูลให้ได้มากที่สุด และอาจเป็นเรื่องยากที่มีบันทึกจำนวนมากในการตรวจสอบและรวบรวมข้อมูล Hawk ช่วยให้ง่ายขึ้นโดยการรวบรวมบันทึกที่จำเป็นไว้ในที่เดียว บทความนี้แสดงวิธีที่คุณสามารถใช้ Hawk เพื่อค้นหาและส่งออกบันทึกการตรวจสอบ Office 365 เพื่อรวบรวมบันทึกของไซต์โดยอัตโนมัติและช่วยเหลือในการตรวจสอบการค้นหา

อ่านเพิ่มเติม

• โมดูล Hawk PowerShell บน GitHub
• การจัดการไฟล์ CSV ใน PowerShell