搜索

[20511] 2021-02-10_神兵利器-APT-Hunter威胁猎人日志分析工具

文档创建者：s7ckTeam
浏览次数：31
最后更新：2025-01-18
2021-02-10_神兵利器-APT-Hunter威胁猎人日志分析工具 神 兵 利 器   -   A P T - H u n t e r   威 胁 猎 人 日 志 分 析 工 具 A h m e d   K h l i e f   K h a n 安 全 攻 防 实 验 室   2 0 2 1 - 0 2 - 1 0                 A P T - H u n t e r 是 W i n d o w s 事 件 日 志 的 威 胁 猎 杀 工 具 ， 它 由 紫 色 的 团 队 思 想 提 供 检 测 隐 藏 在 海 量 的 W i n d o w s 事 件 日 志 中 的 A P T 运 动 ， 以 减 少 发 现 可 疑 活 动 的 时 间 ， 而 不 需 要 有 复 杂 的 解 决 方 案 来 解 析 和 检 测 W i n d o w s 事 件 日 志 中 的 攻 击 ， 如 S I E M 解 决 方 案 和 日 志 收 集 器 。                 许 多 分 析 师 忽 略 了 w i n d o w s 事 件 日 志 或 不 知 道 在 哪 里 搜 索 可 疑 的 活 动 ， 他 们 大 多 不 知 道 什 么 事 件 日 志 收 集 的 情 况 下 ， 攻 击 . 我 作 为 安 全 专 家 在 S O C 环 境 中 的 工 作 ， 我 们 提 供 威 胁 狩 猎 ， 事 件 响 应 和 取 证 调 查 给 我 们 的 客 户 。 通 常 情 况 下 ， 客 户 没 有 S I E M 或 日 志 收 集 器 的 解 决 方 案 ， 这 使 得 它 真 的 很 难 收 集 的 W i n d o w s 事 件 日 志 ， 将 它 们 上 传 到 （ S I E M 解 决 方 案   ,   解 析 数 据   , 开 始 搜 索 ， 以 发 现 任 何 妥 协 的 迹 象 ， 使 用 搜 索 ， 你 必 须 记 住 他 们 ， 为 了 不 错 过 任 何 东 西 ） ， 如 果 你 有 许 可 证 ， 但 如 果 你 不 这 样 做 ， 那 么 你 是 在 你 自 己 的 享 受 提 取 C S V 从 e v t x 文 件 ， 并 开 始 寻 找 事 件 的 表 与 数 百 万 的 事 件   .   此 外 ， 如 果 你 在 网 上 搜 索 没 有 多 少 开 源 工 具 来 分 析 w i n d o w s 事 件 日 志 和 许 多 分 析 师 变 得 懒 惰 ， 只 依 靠 其 他 取 证 来 源 ， 以 发 现 系 统 妥 协 。                 A P T - H u n t e r 有 两 个 部 分 共 同 工 作 ， 帮 助 用 户 快 速 获 得 他 想 要 的 数 据 。 这 个 工 具 将 用 于 加 速 w i n d o w s 日 志 分 析 ， 但 永 远 不 会 取 代 深 度 日 志 分 析 。 收 集 日 志 ： 用 户 可 以 手 动 收 集 C S V 和 E V T X 格 式 的 日 志 ， 或 者 使 用 本 文 后 面 讨 论 的 p o w e r s h e l l 脚 本 来 自 动 提 取 所 需 的 日 志 。 分 析 C S V 日 志 ： A P T - h u n t e r 使 用 内 置 库 （ c s v ） 来 解 析 C S V 日 志 文 件 ， 然 后 使 用 R e g e x 为 A P T - h u n t e r 中 使 用 的 每 个 事 件 提 取 字 段 。 分 析 E V T X 日 志 ： A P T - h u n t e r 使 用 外 部 库 （ e v t x ） 来 解 析 E V T X 日 志 文 件 ， 然 后 使 用 R e g e x 为 A P T - H u n t e r 中 使 用 的 每 一 个 事 件 提 取 字 段 ， 用 户 可 以 使 用 提 取 的 字 段 来 创 建 他 们 的 用 例 。 分 析 的 日 志 ： ( S y s m o n ,   S e c u r i t y ,   S y s t e m ,   P o w e r s h e l l ,   P o w e r s h e l l _ O p e r a t i o n a l ,   S c h e d u l e d T a s k ,   W i n R M ,   T e r m i n a l S e r v i c e s ,   W i n d o w s _ D e f e n d e r ) 如 何 使 用 如 何 使 用                 要 做 的 第 一 件 事 是 收 集 日 志 （ 如 果 没 有 收 集 日 志 ） ， 并 且 使 用 p o w e r s h e l l 日 志 收 集 器 可 以 轻 松 地 自 动 收 集 所 需 的 日 志 ， 而 您 只 需 以 管 理 员 身 份 运 行 p o w e r s h e l l 脚 本 即 可 。                
A P T - H u n t e r 使 用 p y t h o n 3 构 建 ， 因 此 要 使 用 该 工 具 ， 您 需 要 安 装 所 需 的 库 。 A P T - H u n t e r 易 于 使 用 ， 您 只 需 使 用 参 数 - h 即 可 打 印 帮 助 以 查 看 所 需 的 选 项 - p ： 提 供 包 含 使 用 p o w e r s h e l l 日 志 收 集 器 提 取 的 目 录 的 路 径 （ W i n d o w s - l o g - c o l l e c t o r - f u l l - v 3 - C S V . p s 1 ， W i n d o w s - l o g - c o l l e c t o r - f u l l - v 3 - E V T X . p s 1 ） - o ： 将 在 生 成 的 输 出 表 中 使 用 的 项 目 的 名 称 - t ： 日 志 类 型 （ 如 果 是 C S V 或 E V T X ） 剩 余 的 参 数 ， 如 果 您 想 分 析 单 一 类 型 的 日 志 。 范 例 ： 结 果 将 分 两 页 显 示 ： 要 以 E V T X 格 式 收 集 日 志 ， 请 使 用 ： w i n d o w s - l o g - c o l l e c t o r - f u l l - v 3 - E V T X . p s 1 要 收 集 C S V 格 式 的 日 志 ， 请 使 用 ： w i n d o w s - l o g - c o l l e c t o r - f u l l - v 3 - C S V . p s 1 p y t h o n 3   - m   p i p   i n s t a l l   - r   R e q u i r e m e n t s . t x t   # p y t h o n 3   A P T - H u n t e r . p y     - t   e v t x     - p   / o p t / w i n e v e n t l o g s /     - o   P r o j e c t 1 # p y t h o n 3   A P T - H u n t e r . p y     - t   c s v     - p   / o p t / w i n e v e n t l o g s /     - o   P r o j e c t 1 # p y t h o n 3   A P T - H u n t e r . p y     - t   e v t x     - - s e c u r i t y   e v t x / s e c u r i t y . e v t x   - o   P r o j e c t 2 P r o j e c t 1 _ R e p o r t . x l s x ： 此 e x c e l 工 作 表 将 包 括 从 提 供 给 A P T - H u n t e r 的 每 个 W i n d o w s 日 志 中 检 测 到 的 所 有 事 件 P r o j e c t 1 _ T i m e S k e t c h . c s v ： 您 可 以 将 此 C S V 文 件 上 传 到 t i m e k e t c h ， 以 便 进 行 时 间 轴 分 析 ， 以 帮 助 您 了 解 攻 击 的 全 貌

终 端 服 务 的 统 计 信 息 ， 以 使 用 户 可 以 交 互 访 问 或 使 用 R D P 访 问 服 务 器 G U I 终 端 成 功 / 失 败 身 份 验 证 的 统 计 信 息 ， 以 便 获 得 身 份 验 证 摘 要 ， 以 帮 助 您 检 测 异 常 或 不 应 该 登 录 设 备 的 用 户 A P T - H u n t e r 检 测 到 的 事 件 检 测 到 的 事 件 [ T 1 0 8 6 ] 使 用 s y s m o n 日 志 检 测 带 有 可 疑 参 数 的 P o w e r s h e l l [ T 1 5 4 3 ] 检 测 操 作 W i n d o w s 服 务 的 S c . e x e [ T 1 0 5 9 ] 检 测 w s c r i p t 或 c s c r i p t 运 行 脚 本 [ T 1 2 1 8 . 0 0 5 ] 检 测 到 系 统 中 正 在 运 行 的 M s h t a [ T 1 0 5 3 ] 检 测 计 划 任 务 操 作 [ T 1 0 4 7 ] 使 用 W M I 远 程 运 行 命 令 [ T 1 0 8 2 ] 系 统 信 息 发 现
[ T 1 1 1 7 ] 使 用 R e g s v r 3 2 绕 过 应 用 程 序 白 名 单 禁 止 进 程 连 接 到 互 联 网 检 测 系 统 中 正 在 运 行 的 P s e x e c 检 测 到 禁 止 连 接 到 互 联 网 的 进 程 检 测 E x c h a n g e   W e b 服 务 利 用 ， 例 如 （ C V E - 2 0 2 0 - 0 6 8 8 ） 使 用 安 全 日 志 检 测 密 码 喷 雾 攻 击 使 用 安 全 日 志 检 测 通 过 哈 希 攻 击 使 用 安 全 日 志 检 测 可 疑 的 枚 举 用 户 或 组 的 尝 试 使 用 P o w e r s h e l l 操 作 日 志 检 测 P o w e r s h e l l 操 作 （ 包 括 T E M P 文 件 夹 ） 使 用 P o w e r s h e l l 操 作 日 志 使 用 多 个 事 件 I D 检 测 可 疑 的 P o w e r s h e l l 命 令 使 用 P o w e r s h e l l 日 志 使 用 多 个 事 件 I D 检 测 可 疑 的 P o w e r s h e l l 命 令 使 用 终 端 服 务 日 志 从 袜 子 代 理 检 测 连 接 的 R D P 使 用 终 端 服 务 日 志 从 公 共 I P 检 测 连 接 的 R D P 从 计 算 机 P o w e r s h e l l 远 程 处 理 中 使 用 W i n R M 启 动 检 测 连 接 使 用 W i n R M 启 动 连 接 以 对 P o w e r s h e l l 远 程 计 算 机 进 行 检 测 使 用 安 全 日 志 使 用 N e t 命 令 检 测 用 户 创 建 使 用 安 全 日 志 检 测 在 可 疑 位 置 运 行 的 进 程 使 用 安 全 日 志 使 用 令 牌 提 升 检 测 特 权 提 升 使 用 安 全 日 志 检 测 可 运 行 的 可 执 行 文 件 使 用 安 全 日 志 检 测 可 疑 的 P o w e r s h e l l 命 令 使 用 安 全 日 志 检 测 通 过 管 理 界 面 创 建 的 用 户 使 用 安 全 日 志 检 测 W i n d o w s 关 闭 事 件 使 用 安 全 日 志 检 测 添 加 到 本 地 组 的 用 户 使 用 安 全 日 志 检 测 用 户 添 加 到 全 局 组 的 用 户 使 用 安 全 日 志 检 测 用 户 添 加 的 用 户 到 通 用 组 使 用 安 全 日 志 检 测 从 全 局 组 中 删 除 的 用 户 使 用 安 全 日 志 检 测 从 通 用 组 中 删 除 的 用 户 使 用 安 全 日 志 检 测 从 本 地 组 中 删 除 的 用 户 使 用 安 全 日 志 检 测 从 全 局 组 中 删 除 的 用 户 检 测 使 用 安 全 日 志 删 除 的 用 户 帐 户 检 测 到 的 审 计 日 志 已 清 除 。 使 用 安 全 日 志 检 测 系 统 审 核 策 略 更 改 使 用 安 全 日 志 检 测 计 划 的 任 务 创 建 使 用 安 全 日 志 检 测 计 划 的 任 务 删 除 使 用 安 全 日 志 检 测 计 划 的 任 务 更 新 使 用 安 全 日 志 检 测 启 用 的 计 划 任 务
使 用 安 全 日 志 检 测 禁 用 的 计 划 任 务 检 测 W i n d o w s   D e f e n d e r 使 用 W i n d o w s   D e f e n d e r 日 志 对 恶 意 软 件 采 取 了 措 施 检 测 W i n d o w s   D e f e n d e r 无 法 使 用 W i n d o w s   D e f e n d e r 日 志 对 恶 意 软 件 采 取 措 施 使 用 W i n d o w s   D e f e n d e r 日 志 检 测 W i n d o w s   D e f e n d e r 发 现 的 恶 意 软 件 使 用 W i n d o w s   D e f e n d e r 日 志 检 测 W i n d o w s   D e f e n d e r 删 除 的 恶 意 软 件 历 史 记 录 检 测 W i n d o w s   D e f e n d e r 检 测 到 可 疑 行 为 使 用 W i n d o w s   D e f e n d e r 日 志 的 恶 意 软 件 使 用 W i n d o w s   D e f e n d e r 日 志 检 测 禁 用 的 W i n d o w s   D e f e n d e r 实 时 保 护 使 用 W i n d o w s   D e f e n d e r 日 志 检 测 W i n d o w s   D e f e n d e r 实 时 保 护 配 置 已 更 改 使 用 W i n d o w s   D e f e n d e r 日 志 禁 用 检 测 W i n d o w s   D e f e n d e r 扫 描 的 恶 意 软 件 检 测 使 用 计 划 任 务 日 志 注 册 的 计 划 任 务 检 测 使 用 计 划 任 务 日 志 更 新 的 计 划 任 务 检 测 使 用 计 划 任 务 日 志 删 除 的 计 划 任 务 检 测 使 用 系 统 日 志 清 除 的 系 统 日 志 使 用 系 统 日 志 检 测 T E M P 文 件 夹 中 安 装 有 可 执 行 文 件 的 服 务 使 用 系 统 日 志 检 测 系 统 中 安 装 的 服 务 使 用 系 统 日 志 检 测 服 务 启 动 类 型 已 更 改 使 用 系 统 日 志 检 测 服 务 状 态 已 更 改
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理