Visualización de registros de eventos de Windows Active Directory con LogonTracer

Investigue el inicio de sesión malicioso visualizando y analizando los registros de eventos del directorio activo de Windows. LogonTracer asocia un nombre de host (o una dirección IP) y un nombre de cuenta encontrados en eventos relacionados con el inicio de sesión y los muestra como un gráfico. De esta forma, es posible ver en qué cuenta se produce el intento de inicio de sesión y qué host se utiliza.

Esta herramienta puede visualizar el siguiente id. De evento relacionado con el inicio de sesión de Windows basado en esta investigación .
4624 : inicio de sesión exitoso
4625 : error de inicio de sesión
4768 : Autenticación de Kerberos (solicitud de TGT)
4769 : Ticket de servicio de Kerberos (Solicitud de ST)
4776 : Autenticación NTLM
4672 : asignar privilegios especiales

LogonTracer utiliza PageRank y ChangeFinder para detectar hosts y cuentas maliciosos del registro de eventos.






Arquitectura

LogonTracer está escrito en Python y usa Neo4j para la base de datos. Se usan las siguientes herramientas.

• Python 3
• Neo4j para una base de datos de gráficos.
• El controlador JavaScript de Neo4j se conecta a Neo4j utilizando el protocolo binario.
• Cytoscape para visualizar una red de gráficos.
• Flask es un microframework para Python.

Aunque el análisis de los registros de eventos es crucial en la investigación de incidentes, puede ser un proceso lento si no sabes qué analizar y por dónde comenzar. Esta herramienta ofrece un análisis de registro de eventos fácil al visualizar las relaciones entre las cuentas y los hosts.

Instalación para Linux: https://github.com/JPCERTCC/LogonTracer/wiki/for-linux

Instalación para OSX: https://github.com/JPCERTCC/LogonTracer/wiki/for-os-x

Fuente y Descarga: https://github.com/JPCERTCC/LogonTracer