搜索

[21726] 2021-03-01_通过Windows事件日志介绍APT-Hunter

文档创建者：s7ckTeam
浏览次数：31
最后更新：2025-01-18
2021-03-01_通过Windows事件日志介绍APT-Hunter 通 过 W i n d o w s 事 件 日 志 介 绍 A P T - H u n t e r L e m o n S e c   2 0 2 1 - 0 3 - 0 1 A P T - H u n t e r 是 用 于 W i n d o w s 事 件 日 志 的 威 胁 搜 寻 工 具 ， 该 工 具 能 够 检 测 隐 藏 在 W i n d o w s 事 件 日 志 中 的 A P T 运 动 ， 如 果 您 是 弄 威 胁 情 报 的 人 ， 那 么 我 保 证 您 会 喜 欢 使 用 此 工 具 的 ， 为 什 么 ？ 我 将 在 本 文 中 讨 论 原 因 ， 请 注 意 ， 此 工 具 仍 为 测 试 版 ， 并 且 可 能 包 含 错 误 。 为 什 么 要 开 发 此 工 具 ？ 为 什 么 要 开 发 此 工 具 ？ 许 多 分 析 员 会 忽 略 W i n d o w s 事 件 日 志 ， 或 者 不 知 道 在 何 处 搜 索 可 疑 活 动 ， 而 且 大 多 数 分 析 人 员 都 知 道 在 发 生 攻 击 时 要 收 集 哪 些 事 件 日 志 。 我 在 S O C 中 担 任 安 全 专 家 ， 我 们 向 客 户 提 供 威 胁 搜 寻 ， 事 件 响 应 和 法 证 服 务 。 通 常 ， 客 户 没 有 S I E M 或 日 志 收 集 器 ， 这 使 得 收 集 W i n d o w s 事 件 日 志 非 常 困 难 。 现 在 ， 如 果 您 使 用 的 是 A P T - H u n t e r ， 则 将 有 ： 在 发 生 重 大 事 件 之 前 找 出 你 可 能 不 知 道 的 可 疑 活 动 。 根 据 先 前 发 现 的 A P T 攻 击 的 事 件 来 检 测 系 统 中 的 横 向 移 动 。 充 分 利 用 您 收 集 的 W i n d o w s 事 件 日 志 。 更 快 的 攻 击 检 测 ， 这 将 减 少 响 应 时 间 ， 以 便 快 速 遏 制 和 消 除 攻 击 。 输 出 配 置 与 t i m e k e t c h 兼 容 ， 因 此 您 可 以 进 行 时 间 线 分 析 。 在 一 个 地 方 配 置 了 6 0 个 重 要 的 用 例 之 后 ， 您 将 需 要 花 费 时 间 在 其 他 数 据 源 上 。 在 短 时 间 内 调 查 多 个 服 务 器 。 如 果 您 没 有 太 多 时 间 进 行 深 入 调 查 ， 它 会 为 您 提 供 帮 助 。 免 费 的 开 源 工 具 ， 将 为 您 提 供 无 限 制 的 服 务 。 您 可 以 将 其 用 作 过 滤 器 把 严 重 程 度 从 百 万 个 事 件 转 换 成 数 百 个 事 件 。 A P T - H u n t e r 如 何 工 作 ？ 如 何 工 作 ？ A P T - H u n t e r 具 有 两 个 部 分 ， 它 们 可 以 一 起 工 作 以 帮 助 用 户 快 速 获 取 所 需 的 数 据 。 该 工 具 将 用 于 加 快 W i n d o w s 日 志 分 析 的 速 度 ， 但 永 远 不 会 取 代 深 度 日 志 分 析 。 收 集 日 志 ： 用 户 可 以 手 动 收 集 C S V 和 E V T X 格 式 的 日 志 ， 也 可 以 使 用 本 文 后 面 讨 论 的 p o w e r s h e l l 脚 本 自 动 提 取 所 需 的 日 志 。 分 析 C S V 日 志 ： A P T - h u n t e r 使 用 内 置 库 （ c s v ） 来 解 析 C S V 日 志 文 件 ， 然 后 使 用 R e g e x 为 A P T - H u n t e r 中 使 用 的 每 个 事 件 提 取 字 段 。 用 户 可 以 使 用 提 取 的 字 段 来 创 建 他 们 的 用 例 。 分 析 E V T X 日 志 ： A P T - h u n t e r 使 用 外 部 库 （ e v t x ） 来 解 析 E V T X 日 志 文 件 ， 然 后 使 用 R e g e x 为 A P T - H u n t e r 中 使 用 的 每 个 事 件 提 取 字 段 。 用 户 可 以 使 用 提 取 的 字 段 来 创 建 他 们 的 用 例 。 分 析 日 志 ： （ ， ， ， ， ， ， ， ， ） A P T - H u n t e r 功 能 功 能 S y s m o n S e c u r i t y S y s t e m P o w e r s h e l l P o w e r s h e l l _ O p e r a t i o n a l S c h e d u l e d T a s k W i n R M T e r m i n a l S e r v i c e s W i n d o w s _ D e f e n d e r
提 供 带 有 格 式 的 输 出 以 直 接 上 载 并 开 始 分 析 时 间 线 。 基 于 严 重 性 对 事 件 进 行 分 类 ， 使 过 滤 变 得 容 易 ， 并 专 注 于 重 要 的 事 件 。 有 一 个 日 志 收 集 自 动 化 脚 本 来 收 集 所 有 必 需 的 日 志 ， 以 节 省 导 出 重 要 日 志 所 需 的 时 间 。 收 集 并 分 析 （ ， ， ， ， ， ， ， ， ） 。 该 规 则 在 进 行 了 许 多 实 际 测 试 ， 并 提 供 了 重 要 信 息 ， 从 而 减 少 了 检 测 的 时 间 。 基 于 p y t h o n 3 ， 可 以 在 任 何 系 统 上 运 行 。 您 可 以 在 受 影 响 的 系 统 上 进 行 实 时 分 析 ， 也 可 以 使 日 志 脱 机 并 在 任 何 系 统 上 进 行 分 析 。 使 用 进 行 日 志 解 析 和 提 取 。 该 工 具 是 基 于 I n t e r n e t 上 发 表 的 研 究 成 果 以 及 我 本 人 进 行 的 测 试 而 构 建 的 ， 目 的 是 在 一 个 工 具 中 收 集 大 多 数 有 用 的 用 例 。 包 括 6 0 多 个 用 例 以 及 安 全 和 终 端 服 务 日 志 统 计 信 息 ， 不 久 将 增 加 更 多 的 用 例 。 告 别 记 忆 用 例 和 搜 索 。 现 在 ， 您 无 需 设 置 S I E M ， 日 志 收 集 器 解 决 方 案 的 实 例 来 帮 助 您 解 析 和 提 取 所 需 的 数 据 ， 也 不 必 继 续 查 看 具 有 数 百 万 个 事 件 的 表 。 记 录 统 计 信 息 ， 这 将 有 助 于 您 发 现 异 常 情 况 。 易 于 添 加 新 的 检 测 规 则 ， 因 为 字 段 清 除 且 语 法 易 于 使 用 。 支 持 将 W i n d o w s 事 件 日 志 导 出 为 E V T X 和 C S V 。 分 析 师 可 以 将 新 的 恶 意 可 执 行 文 件 名 称 直 接 添 加 到 l i s t 中 。 提 供 输 出 为 e x c e l 表 ， 每 个 L o g 作 为 工 作 表 。 此 版 本 只 是 开 始 ， 更 多 用 例 即 将 出 现 。 如 何 使 用 如 何 使 用 A P T - H u n t e r 要 做 的 第 一 件 事 是 收 集 日 志 ， 使 用 日 志 收 集 器 可 以 轻 松 地 自 动 收 集 所 需 的 日 志 ， 而 您 只 需 以 管 理 员 身 份 运 行 p o w e r s h e l l 脚 本 即 可 。 A P T - H u n t e r 使 用 p y t h o n 3 构 建 ， 因 此 要 使 用 该 工 具 ， 您 需 要 安 装 所 需 的 库 。 A P T - H u n t e r 易 于 使 用 ， 您 只 需 使 用 参 数 - h 即 可 打 印 帮 助 以 查 看 所 需 的 选 项 。 t i m e k e t c h S y s m o n S e c u r i t y S y s t e m P o w e r s h e l l P o w e r s h e l l _ O p e r a t i o n a l S c h e d u l e d T a s k W i n R M T e r m i n a l S e r v i c e s W i n d o w s _ D e f e n d e r R e g e x S I E M p o w e r s h e l l T o   c o l l e c t   t h e   l o g s   i n   E V T X   f o r m a t   u s e   :   w i n d o w s - l o g - c o l l e c t o r - f u l l - v 3 - E V T X . p s 1   T o   c o l l e c t   t h e   l o g s   i n   C S V   f o r m a t   u s e   :   w i n d o w s - l o g - c o l l e c t o r - f u l l - v 3 - C S V . p s 1 p y t h o n 3   - m   p i p   i n s t a l l   - r   R e q u i r e m e n t s . t x t #   p y t h o n 3   A P T - H u n t e r . p y   - h
： 提 供 包 含 使 用 p o w e r s h e l l 日 志 收 集 器 提 取 的 目 录 的 路 径 （ ， ） 。 ： 输 出 生 成 项 目 的 名 称 ： 日 志 类 型 （ 如 果 是 C S V 或 E V T X ） 剩 余 的 参 数 ， 如 果 您 想 分 析 单 一 类 型 的 日 志 。 范 例 ： u s a g e :   A P T - H u n t e r . p y   [ - h ]   [ - p   P A T H ]   [ - o   O U T ]   [ - t   { c s v , e v t x } ]                                           [ - - s e c u r i t y   S E C U R I T Y ]   [ - - s y s t e m   S Y S T E M ]                                           [ - - s c h e d u l e d t a s k   S C H E D U L E D T A S K ]   [ - - d e f e n d e r   D E F E N D E R ]                                           [ - - p o w e r s h e l l   P O W E R S H E L L ]   [ - - p o w e r s h e l l o p   P O W E R S H E L L O P ]                                           [ - - t e r m i n a l   T E R M I N A L ]   [ - - w i n r m   W I N R M ]   [ - - s y s m o n   S Y S M O N ] o p t i o n a l   a r g u m e n t s :     - h ,   - - h e l p                         s h o w   t h i s   h e l p   m e s s a g e   a n d   e x i t     - p   P A T H ,   - - p a t h   P A T H     p a t h   t o   f o l d e r   c o n t a i n i n g   w i n d o w s   e v e n t   l o g s   g e n e r a t e d   b y   t h e   A P T - H u n t e r - L o g - C o l l e c t o r . p s 1     - o   O U T ,   - - o u t   O U T           o u t p u t   f i l e   n a m e     - t   { c s v , e v t x } ,   - - t y p e   { c s v , e v t x }                                                 c s v   (   l o g s   f r o m   g e t - e v e n t l o g   o r   w i n d o w s   e v e n t   l o g   G U I                                                 o r   l o g s   f r o m   G e t - W i n E v e n t   )   ,   e v t x   (   E V T X   e x t e n s i o n                                                 w i n d o w s   e v e n t   l o g   )     - - s e c u r i t y   S E C U R I T Y       P a t h   t o   S e c u r i t y   L o g s     - - s y s t e m   S Y S T E M               P a t h   t o   S y s t e m   L o g s     - - s c h e d u l e d t a s k   S C H E D U L E D T A S K                                                 P a t h   t o   S c h e d u l e d   T a s k s   L o g s     - - d e f e n d e r   D E F E N D E R       P a t h   t o   D e f e n d e r   L o g s     - - p o w e r s h e l l   P O W E R S H E L L                                                 P a t h   t o   P o w e r s h e l l   L o g s     - - p o w e r s h e l l o p   P O W E R S H E L L O P                                                 P a t h   t o   P o w e r s h e l l   O p e r a t i o n a l   L o g s     - - t e r m i n a l   T E R M I N A L       P a t h   t o   T e r m i n a l S e r v i c e s   L o c a l S e s s i o n M a n a g e r   L o g s     - - w i n r m   W I N R M                   P a t h   t o   W i n r m   L o g s     - - s y s m o n   S Y S M O N               P a t h   t o   S y s m o n   L o g s - p w i n d o w s - l o g - c o l l e c t o r - f u l l - v 3 - C S V . p s 1 w i n d o w s - l o g - c o l l e c t o r - f u l l - v 3 - E V T X . p s 1 - o - t # p y t h o n 3   A P T - H u n t e r . p y     - t   e v t x     - p   / o p t / w i n e v e n t l o g s /     - o   P r o j e c t 1 # p y t h o n 3   A P T - H u n t e r . p y     - t   c s v     - p   / o p t / w i n e v e n t l o g s /     - o   P r o j e c t 1
结 果 分 为 两 页 ： ： 此 E x c e l 工 作 将 包 括 A P T - H u n t e r 的 每 个 W i n d o w s 日 志 中 检 测 到 的 所 有 事 件 ： 您 可 以 将 此 C S V 文 件 上 传 到 t i m e k e t c h ， 以 便 进 行 时 间 轴 分 析 ， 以 帮 助 您 了 解 攻 击 的 全 貌 。 下 面 是 将 文 件 上 传 到 实 例 的 截 图 ： 下 图 显 示 了 e x c e l 中 的 输 出 ： 1 . 每 个 日 志 源 中 的 发 现 。 # p y t h o n 3   A P T - H u n t e r . p y     - t   e v t x     - - s e c u r i t y   e v t x / s e c u r i t y . e v t x   - o   P r o j e c t 2 # p y t h o n 3   A P T - H u n t e r . p y   - t   e v t x   - p   / o p t / w i n e v e n t l o g s /   - o   P r o j e c t 1 `   ` # p y t h o n 3   A P T - H u n t e r . p y   - t   c s v   - p   / o p t / w i n e v e n t l o g s /   - o   P r o j e c t 1 `   ` # p y t h o n 3   A P T - H u n t e r . p y   - t   e v t x   - - s e c u r i t y   e v t x / s e c u r i t y . e v t x   - o   P r o j e c t 2 P r o j e c t 1 _ R e p o r t . x l s x P r o j e c t 1 _ T i m e S k e t c h . c s v T i m e S k e t c h   C S V t i m e k e t c h
2 . 终 端 服 务 的 统 计 信 息 ， 以 使 用 户 可 以 交 互 访 问 或 使 用 R D P 访 问 服 务 器 G U I 终 端 。 3 . 成 功 / 失 败 身 份 验 证 的 统 计 信 息 ， 以 便 获 得 身 份 验 证 摘 要 ， 以 帮 助 您 检 测 异 常 或 不 应 该 登 录 设 备 的 用 户 。 A P T - H u n t e r 检 测 到 的 事 件 检 测 到 的 事 件 [ T 1 0 8 6 ] 使 用 s y s m o n 日 志 检 测 带 有 可 疑 参 数 的 P o w e r s h e l l [ T 1 5 4 3 ] 检 测 操 作 W i n d o w s 服 务 的 S c . e x e [ T 1 0 5 9 ] 检 测 w s c r i p t 或 c s c r i p t 运 行 脚 本 [ T 1 2 1 8 . 0 0 5 ] 检 测 到 系 统 中 正 在 运 行 的 M s h t a
[ T 1 0 5 3 ] 检 测 计 划 任 务 操 作 [ T 1 0 4 7 ] 使 用 W M I 远 程 运 行 命 令 [ T 1 0 8 2 ] 系 统 信 息 发 现 [ T 1 1 1 7 ] 使 用 R e g s v r 3 2 绕 过 应 用 程 序 白 名 单 禁 止 进 程 连 接 到 互 联 网 检 测 系 统 中 正 在 运 行 的 P s e x e c 检 测 到 禁 止 连 接 到 互 联 网 的 进 程 检 测 E x c h a n g e   W e b 服 务 利 用 ， 例 如 （ C V E - 2 0 2 0 - 0 6 8 8 ） 使 用 安 全 日 志 检 测 密 码 喷 雾 攻 击 使 用 安 全 日 志 检 测 通 过 哈 希 攻 击 使 用 安 全 日 志 检 测 可 疑 的 枚 举 用 户 或 组 的 尝 试 使 用 P o w e r s h e l l 操 作 日 志 检 测 P o w e r s h e l l 操 作 （ 包 括 T E M P 文 件 夹 ） 使 用 P o w e r s h e l l 操 作 日 志 使 用 多 个 事 件 I D 检 测 可 疑 的 P o w e r s h e l l 命 令 使 用 P o w e r s h e l l 日 志 使 用 多 个 事 件 I D 检 测 可 疑 的 P o w e r s h e l l 命 令 使 用 终 端 服 务 日 志 从 袜 子 代 理 检 测 连 接 的 R D P 使 用 终 端 服 务 日 志 从 公 共 I P 检 测 连 接 的 R D P 从 计 算 机 P o w e r s h e l l 远 程 处 理 中 使 用 W i n R M 启 动 检 测 连 接 使 用 W i n R M 启 动 连 接 以 对 P o w e r s h e l l 远 程 计 算 机 进 行 检 测 使 用 安 全 日 志 使 用 N e t 命 令 检 测 用 户 创 建 使 用 安 全 日 志 检 测 在 可 疑 位 置 运 行 的 进 程 使 用 安 全 日 志 使 用 令 牌 提 升 检 测 特 权 提 升 使 用 安 全 日 志 检 测 可 运 行 的 可 执 行 文 件 使 用 安 全 日 志 检 测 可 疑 的 P o w e r s h e l l 命 令 使 用 安 全 日 志 检 测 通 过 管 理 界 面 创 建 的 用 户 使 用 安 全 日 志 检 测 W i n d o w s 关 闭 事 件 使 用 安 全 日 志 检 测 添 加 到 本 地 组 的 用 户 使 用 安 全 日 志 检 测 用 户 添 加 到 全 局 组 的 用 户 使 用 安 全 日 志 检 测 用 户 添 加 到 通 用 组 的 用 户 使 用 安 全 日 志 检 测 从 全 局 组 中 删 除 的 用 户 使 用 安 全 日 志 检 测 从 通 用 组 中 删 除 的 用 户 使 用 安 全 日 志 检 测 从 本 地 组 中 删 除 的 用 户
使 用 安 全 日 志 检 测 从 全 局 组 中 删 除 的 用 户 检 测 使 用 安 全 日 志 删 除 的 用 户 帐 户 检 测 到 的 审 计 日 志 已 清 除 。 使 用 安 全 日 志 检 测 系 统 审 核 策 略 更 改 使 用 安 全 日 志 检 测 计 划 的 任 务 创 建 使 用 安 全 日 志 检 测 计 划 的 任 务 删 除 使 用 安 全 日 志 检 测 计 划 的 任 务 更 新 使 用 安 全 日 志 检 测 启 用 的 计 划 任 务 使 用 安 全 日 志 检 测 禁 用 的 计 划 任 务 检 测 W i n d o w s   D e f e n d e r 使 用 W i n d o w s   D e f e n d e r 日 志 对 恶 意 软 件 采 取 了 措 施 检 测 W i n d o w s   D e f e n d e r 无 法 使 用 W i n d o w s   D e f e n d e r 日 志 对 恶 意 软 件 采 取 措 施 使 用 W i n d o w s   D e f e n d e r 日 志 检 测 W i n d o w s   D e f e n d e r 发 现 的 恶 意 软 件 使 用 W i n d o w s   D e f e n d e r 日 志 检 测 W i n d o w s   D e f e n d e r 删 除 的 恶 意 软 件 历 史 记 录 检 测 W i n d o w s   D e f e n d e r 检 测 到 可 疑 行 为 使 用 W i n d o w s   D e f e n d e r 日 志 的 恶 意 软 件 使 用 W i n d o w s   D e f e n d e r 日 志 检 测 禁 用 的 W i n d o w s   D e f e n d e r 实 时 保 护 使 用 W i n d o w s   D e f e n d e r 日 志 检 测 W i n d o w s   D e f e n d e r 实 时 保 护 配 置 已 更 改 使 用 W i n d o w s   D e f e n d e r 日 志 禁 用 检 测 W i n d o w s   D e f e n d e r 扫 描 的 恶 意 软 件 检 测 使 用 计 划 任 务 日 志 注 册 的 计 划 任 务 检 测 使 用 计 划 任 务 日 志 更 新 的 计 划 任 务 检 测 使 用 计 划 任 务 日 志 删 除 的 计 划 任 务 检 测 使 用 系 统 日 志 清 除 的 系 统 日 志 使 用 系 统 日 志 检 测 T E M P 文 件 夹 中 安 装 有 可 执 行 文 件 的 服 务 使 用 系 统 日 志 检 测 系 统 中 安 装 的 服 务 使 用 系 统 日 志 检 测 服 务 启 动 类 型 已 更 改 使 用 系 统 日 志 检 测 服 务 状 态 已 更 改 将 来 的 功 能 将 来 的 功 能 添 加 更 多 W i n d o w s 事 件 日 志 支 持 添 加 对 交 换 日 志 的 支 持 以 检 测 更 多 的 交 换 攻 击 添 加 对 I I S 日 志 的 支 持 以 检 测 更 多 W e b 应 用 程 序 攻 击 添 加 更 多 统 计 信 息 以 帮 助 发 现 异 常 威 胁 情 报 集 成
s y s m o n 的 更 多 用 例 。 项 目 地 址 项 目 地 址 A P T - H u n t e r 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理