Automatyzacja kontroli bezpieczeństwa Microsoft 365 za pomocą Maester

Konfiguracja Microsoft 365 zwykle zaczyna się od dobrych intencji: dostęp warunkowy jest skonfigurowany, uwierzytelnianie wieloskładnikowe jest włączone dla administratorów, dostęp gości do wrażliwych grup jest ograniczony. Mija sześć miesięcy, członkowie zespołu się zmieniają, ktoś wyłącza regułę, aby szybko coś naprawić i zapomina ją ponownie włączyć. Zwykle odkrywa się to podczas audytu lub po incydencie.

Ręczne monitorowanie stanu dzierżawy przez portal Entra ID lub zmuszanie inżynierów do klikania przez dziesiątki menu raz w miesiącu jest żmudne i zawodne. Zautomatyzowane testy od dawna służą do weryfikacji konfiguracji infrastruktury serwerowej. Projekt Maester adaptuje to podejście dla środowiska Microsoft 365.

Czym jest Maester

Maester to framework testowy zbudowany na PowerShell i popularnym silniku Pester. Jego głównym celem jest uruchamianie zestawu kontroli względem dzierżawy M365, weryfikacja ustawień pod kątem najlepszych praktyk bezpieczeństwa oraz generowanie szczegółowego raportu.

Narzędzie integruje Microsoft Graph API, moduły zarządzania M365 oraz znajome testy Pester. Jeśli kiedykolwiek pisałeś testy jednostkowe w PowerShell, składnia Maestera będzie dla ciebie naturalna.

Szybki start i uruchomienie

Potrzebujesz PowerShell i kilku poleceń, aby rozpocząć. Instalacja odbywa się bezpośrednio z PowerShell Gallery:

Install-Module -Name Maester -Scope CurrentUser

Po instalacji utwórz folder roboczy i pobierz gotowy zestaw testów:

md ~/maester-tests
cd ~/maester-tests
Install-MaesterTests

Uruchomienie testów obejmuje dwa kroki: uwierzytelnianie i wywołanie samego runnera.

cd ~/maester-tests
Connect-Maester
Invoke-Maester

Polecenie Connect-Maester wymaga uwierzytelnienia w Microsoft Entra. Przy okazji, istnieje parametr do pracy z chmurami suwerennymi, takimi jak USGov czy China:

Connect-Maester -Environment USGov

Przegląd funkcji

Gotowe testy weryfikują podstawowe ustawienia: zasady dostępu warunkowego, status MFA, konfiguracje haseł, parametry udostępniania zewnętrznego oraz role administratorów. Praktyczna wartość frameworka ujawnia się w kilku obszarach.

Własne testy Pester

Nie jesteś ograniczony do standardowego zestawu z repozytorium. Każdy plik .tests.ps1 w folderze tests staje się częścią całego uruchomienia. Jeśli twoja organizacja zabrania tworzenia publicznych linków do plików SharePoint, piszesz krótki test Pester, który weryfikuje to ustawienie przez Microsoft Graph API.

Wiele formatów raportów

Wyniki Invoke-Maester można eksportować do HTML, JSON, CSV, Excel lub Markdown. Interaktywny raport HTML jest wygodny do pokazania audytorom lub przesłania na wewnętrzny zasób sieciowy.

Powiadomienia na czaty

Wyniki nie muszą być czytane w konsoli. Skrypt wysyła podsumowanie do Microsoft Teams, Slack lub e-mailem. Jeśli ktoś zmienił krytyczną politykę bezpieczeństwa w nocy, zespół zobaczy wiadomość w kanale roboczym rano.

Integracja z CI/CD

Framework wpisuje się w koncepcję DevSecOps. Uruchamianie go zgodnie z harmonogramem można łatwo skonfigurować w GitHub Actions, Azure DevOps lub GitLab CI. Autorzy udostępnili gotową akcję w GitHub Marketplace (maester365/maester-action), która wyprowadza wyniki kontroli do podsumowania potoku.

Zastrzeżenia

W opisie repozytorium deweloperzy ostrzegają przed niestabilnym działaniem modułu ExchangeOnlineManagement w wersji 3.9.2. Próby połączenia z tą wersją często skutkują błędami. Awaria dotyczy samego modułu Microsoft, a nie Maestera, dlatego lepiej tymczasowo używać wcześniejszych wersji ExchangeOnlineManagement.

Inną kwestią jest aktualność testów. Standardy bezpieczeństwa Microsoft i API regularnie się zmieniają. Aby utrzymać kontrole na bieżąco, będziesz musiał czasami pobierać świeże testy poleceniem Update-MaesterTests.

Podsumowanie

Maester będzie przydatny dla administratorów systemów, inżynierów bezpieczeństwa i specjalistów DevOps zarządzających dzierżawami Microsoft 365. Narzędzie przenosi audyt bezpieczeństwa z kategorii żmudnej pracy ręcznej do zautomatyzowanej weryfikacji kodu. Jeśli chcesz monitorować zmiany w dzierżawie i otrzymywać powiadomienia o dryfie konfiguracji, projekt warto przetestować w swojej infrastrukturze.