LogonTracer es una herramienta para investigar inicios de sesión maliciosos al visualizar y analizar los registros de eventos del directorio activo de Windows.
Esta herramienta utiliza PageRank y ChangeFinder para detectar hosts y cuentas maliciosas en los logs de eventos de Windows, y visualiza los siguientes identificadores de eventos relacionados con el inicio de sesión de Windows basados en nuestra investigación previa.
- 4624: inicio de sesión exitoso
- 4625: error de inicio de sesión
- 4768: Autenticación de Kerberos (solicitud de TGT)
- 4769: Ticket de servicio de Kerberos (Solicitud de ST)
- 4776: Autenticación NTLM
- 4672: asignar privilegios especiales
Tenéis más detalle en los siguientes enlaces:
En mi caso voy a instalarlo y usarlo en Linux, pero lo tenéis también funcional en OSX e incluso en un contenedor Docker.
Instalación
Tendremos que tener java 8 instalado, y luego instalar y/o configurar Neo4j, el soft de base de datos orientada a grafos.
$ cd [NEO4J_HOME]
$ vi conf/neo4j.conf
Ve a la sección 'Bolt connector' en el fichero de configuración y actívala para escuchar en todos los interfaces:
# Bolt connector
dbms.connector.bolt.enabled=true
#dbms.connector.bolt.tls_level=OPTIONAL
#dbms.connector.bolt.listen_address=:7687 <-- aquí
Y modifica la siguiente línea:
dbms.connector.bolt.listen_address=0.0.0.0:7687 <-- quita la # e inserta 0.0.0.0 antes de los dos puntos
Ve a la sección 'HTTP Connector' y actívalo para escuchar en todos los interfaces
# HTTP Connector. There must be exactly one HTTP connector.
dbms.connector.http.enabled=true
#dbms.connector.http.listen_address=:7474 <-- esta línea
Modifica la última línea como a continuación:
dbms.connector.http.listen_address=0.0.0.0:7474 <-- igual que antes, quita la # e inserta 0.0.0.0 antes de los dos puntos
Reinicia Neo4j
$ ./bin/neo4j console &
Clona el repo de LogonTracer
$ git clone https://github.com/JPCERTCC/LogonTracer.git
Instala los requisitos de Python3
$ pip3 install -r LogonTracer/requirements.txt
Uso
Usa -h para ver la ayuda:
$ python3 logontracer.py -r -o [PORT] -u [USERNAME] -p [PASSWORD] -s [IP Address]
-r: Launch web server
-o: Port number where the web server operates (ex: 8080)
-u: Neo4j username (“neo4j” by default)
-p: Neo4j password
-s: Address where the web server operates (ex: localhost)
Iniciamos LogonTracer con el parámetro -r.
# python3 logontracer.py -r -o 8081 -u neo4j -p BloodHound -s localhost
[*] Script start. 2018/07/06 11:27:01
* Serving Flask app "logontracer" (lazy loading)
* Environment: production
WARNING: Do not use the development server in a production environment.
Use a production WSGI server instead.
* Debug mode: off
* Running on http://0.0.0.0:8081/ (Press CTRL+C to quit)
127.0.0.1 - - [06/Jul/2018 06:27:14] "GET / HTTP/1.1" 200 -
http://localhost:8081
Una vez arrancado procederemos a cargar el evtx y para ello tendremos dos opciones:
- mediante el script logontracer.py
$ python3 logontracer.py -e [EVTX File] -z [TIME Zone] -u [USERNAME] -p [PASSWORD] -s [IP Address]
-e: EVTX filename to import
-z: Time zone (ex: +9, -5)
Si se importa con éxito obtendrás un mensaje similar al siguiente:
$ python3 logontracer.py -e Security.evtx -z -3 -u neo4j -p password -s localhost
/usr/local/lib/python3.5/dist-packages/statsmodels/compat/pandas.py:56: FutureWarning: The pandas.core.datetools module is deprecated and will be removed in a future version. Please use the pandas.tseries module instead.
from pandas.core import datetools
[*] Script start. 2017/12/17 22:02:27
[*] Delete all nodes and relationships from this Neo4j database.
[*] Parse the EVTX file Security.evtx.
[*] Next recode number is 62032.
[*] Time zone is -3.
[*] Start parsing the EVTX file.
[*] Now loading 62000 records.
[*] Load finished.
[*] Total Event log is 62031.
[*] Calculate PageRank.
[*] Calculate ChangeFinder.
[*] Creating a graph data.
[*] Creation of a graph data finished.
[*] Script end. 2017/12/17 22:15:04
- o simplemente mediante el GUI:
Buscar y visualizar el event log
Usa la barra de navegación para buscar el nombre de la cuenta, el nombre del host, la dirección IP, la identificación del evento y el recuento de eventos. También se puede descargar los datos de gráficos en CSV, JPG, PNG y JSON mediante el botón Exportar.
Use el menú desplegable para buscar nombres de cuentas que coincidan con criterios específicos.
- All users: visualización de todos los usuarios y hosts.
- SYSTEM privileges: visualización de usuarios con privilegios del sistema.
- RDP logon: visualización de usuarios y hosts de inicio de sesión de RDP (tipo de inicio de sesión: 10).
- Network logon: visualización de usuarios y hosts de inicio de sesión desde una red remota (tipo de inicio de sesión: 3).
- Bath logon: visualización del inicio de sesión del servidor por lotes (tipo de inicio de sesión: 4).
- Service logon: Visualizar el inicio de sesión del Administrador de control de servicios (Tipo de inicio de sesión: 5).
- Error ms14-068 exploit: visualización del registro de errores que falló el exploit ms14-068.
- Error de inicio de sesión: visualización del inicio de sesión fallido.
Detalles del nodo
Ranking de importancia de cuentas y hosts
LogonTracer puede proporcionar cuentas/hosts ordenados por clasificación. LogonTracer realiza un análisis de red mediante el gráfico de registro de eventos y crea una clasificación basada en la "centralidad" de cada nodo. Centrality es un índice que indica la proximidad de cada nodo al centro en una red. Para el cálculo de la centralidad, se aplica PageRank. PageRank es un algoritmo para verificar la importancia de las páginas web. LogonTracer utiliza PageRank para examinar la importancia de las cuentas y los hosts en una red de dominio. Una cuenta con un PageRank alto se conecta a muchos hosts y puede ser utilizada por los atancantes para movimientos laterales.
Timeline
El botón de la línea de tiempo o timeline muestra recuentos de registro de eventos por hora en series de tiempo. Se resaltan los hosts con cambios drásticos. Para detectar el aumento del recuento, se puede usar 'Change Finder' como un método de detección de anomalías. Para descargar el resumen de la línea de tiempo y los datos CSV detallados, haz clic en "Descargar".
Repositorio: https://github.com/JPCERTCC/LogonTracer/
Esta herramienta utiliza PageRank y ChangeFinder para detectar hosts y cuentas maliciosas en los logs de eventos de Windows, y visualiza los siguientes identificadores de eventos relacionados con el inicio de sesión de Windows basados en nuestra investigación previa.
- 4624: inicio de sesión exitoso
- 4625: error de inicio de sesión
- 4768: Autenticación de Kerberos (solicitud de TGT)
- 4769: Ticket de servicio de Kerberos (Solicitud de ST)
- 4776: Autenticación NTLM
- 4672: asignar privilegios especiales
Tenéis más detalle en los siguientes enlaces:
- Visualise Event Logs to Identify Compromised Accounts - LogonTracer -
- イベントログを可視化して不正使用されたアカウントを調査 (Japanese)
En mi caso voy a instalarlo y usarlo en Linux, pero lo tenéis también funcional en OSX e incluso en un contenedor Docker.
Instalación
Tendremos que tener java 8 instalado, y luego instalar y/o configurar Neo4j, el soft de base de datos orientada a grafos.
- URL de descarga (Neo4j Community Linux/Mac tarball)
- Ver instrucciones de instalación en la web de Neo4j.
$ cd [NEO4J_HOME]
$ vi conf/neo4j.conf
Ve a la sección 'Bolt connector' en el fichero de configuración y actívala para escuchar en todos los interfaces:
# Bolt connector
dbms.connector.bolt.enabled=true
#dbms.connector.bolt.tls_level=OPTIONAL
#dbms.connector.bolt.listen_address=:7687 <-- aquí
Y modifica la siguiente línea:
dbms.connector.bolt.listen_address=0.0.0.0:7687 <-- quita la # e inserta 0.0.0.0 antes de los dos puntos
Ve a la sección 'HTTP Connector' y actívalo para escuchar en todos los interfaces
# HTTP Connector. There must be exactly one HTTP connector.
dbms.connector.http.enabled=true
#dbms.connector.http.listen_address=:7474 <-- esta línea
Modifica la última línea como a continuación:
dbms.connector.http.listen_address=0.0.0.0:7474 <-- igual que antes, quita la # e inserta 0.0.0.0 antes de los dos puntos
Reinicia Neo4j
$ ./bin/neo4j console &
Clona el repo de LogonTracer
$ git clone https://github.com/JPCERTCC/LogonTracer.git
Instala los requisitos de Python3
$ pip3 install -r LogonTracer/requirements.txt
Uso
Usa -h para ver la ayuda:
$ python3 logontracer.py -r -o [PORT] -u [USERNAME] -p [PASSWORD] -s [IP Address]
-r: Launch web server
-o: Port number where the web server operates (ex: 8080)
-u: Neo4j username (“neo4j” by default)
-p: Neo4j password
-s: Address where the web server operates (ex: localhost)
Iniciamos LogonTracer con el parámetro -r.
# python3 logontracer.py -r -o 8081 -u neo4j -p BloodHound -s localhost
[*] Script start. 2018/07/06 11:27:01
* Serving Flask app "logontracer" (lazy loading)
* Environment: production
WARNING: Do not use the development server in a production environment.
Use a production WSGI server instead.
* Debug mode: off
* Running on http://0.0.0.0:8081/ (Press CTRL+C to quit)
127.0.0.1 - - [06/Jul/2018 06:27:14] "GET / HTTP/1.1" 200 -
http://localhost:8081
- mediante el script logontracer.py
$ python3 logontracer.py -e [EVTX File] -z [TIME Zone] -u [USERNAME] -p [PASSWORD] -s [IP Address]
-e: EVTX filename to import
-z: Time zone (ex: +9, -5)
Si se importa con éxito obtendrás un mensaje similar al siguiente:
$ python3 logontracer.py -e Security.evtx -z -3 -u neo4j -p password -s localhost
/usr/local/lib/python3.5/dist-packages/statsmodels/compat/pandas.py:56: FutureWarning: The pandas.core.datetools module is deprecated and will be removed in a future version. Please use the pandas.tseries module instead.
from pandas.core import datetools
[*] Script start. 2017/12/17 22:02:27
[*] Delete all nodes and relationships from this Neo4j database.
[*] Parse the EVTX file Security.evtx.
[*] Next recode number is 62032.
[*] Time zone is -3.
[*] Start parsing the EVTX file.
[*] Now loading 62000 records.
[*] Load finished.
[*] Total Event log is 62031.
[*] Calculate PageRank.
[*] Calculate ChangeFinder.
[*] Creating a graph data.
[*] Creation of a graph data finished.
[*] Script end. 2017/12/17 22:15:04
- o simplemente mediante el GUI:
Usa la barra de navegación para buscar el nombre de la cuenta, el nombre del host, la dirección IP, la identificación del evento y el recuento de eventos. También se puede descargar los datos de gráficos en CSV, JPG, PNG y JSON mediante el botón Exportar.
Use el menú desplegable para buscar nombres de cuentas que coincidan con criterios específicos.
- SYSTEM privileges: visualización de usuarios con privilegios del sistema.
- RDP logon: visualización de usuarios y hosts de inicio de sesión de RDP (tipo de inicio de sesión: 10).
- Network logon: visualización de usuarios y hosts de inicio de sesión desde una red remota (tipo de inicio de sesión: 3).
- Bath logon: visualización del inicio de sesión del servidor por lotes (tipo de inicio de sesión: 4).
- Service logon: Visualizar el inicio de sesión del Administrador de control de servicios (Tipo de inicio de sesión: 5).
- Error ms14-068 exploit: visualización del registro de errores que falló el exploit ms14-068.
- Error de inicio de sesión: visualización del inicio de sesión fallido.
Detalles del nodo
-
cuenta con privilegios de SYSTEM -
cuenta de usuario estándar -
dirección IP y host
Ranking de importancia de cuentas y hosts
LogonTracer puede proporcionar cuentas/hosts ordenados por clasificación. LogonTracer realiza un análisis de red mediante el gráfico de registro de eventos y crea una clasificación basada en la "centralidad" de cada nodo. Centrality es un índice que indica la proximidad de cada nodo al centro en una red. Para el cálculo de la centralidad, se aplica PageRank. PageRank es un algoritmo para verificar la importancia de las páginas web. LogonTracer utiliza PageRank para examinar la importancia de las cuentas y los hosts en una red de dominio. Una cuenta con un PageRank alto se conecta a muchos hosts y puede ser utilizada por los atancantes para movimientos laterales.
Timeline
El botón de la línea de tiempo o timeline muestra recuentos de registro de eventos por hora en series de tiempo. Se resaltan los hosts con cambios drásticos. Para detectar el aumento del recuento, se puede usar 'Change Finder' como un método de detección de anomalías. Para descargar el resumen de la línea de tiempo y los datos CSV detallados, haz clic en "Descargar".
Repositorio: https://github.com/JPCERTCC/LogonTracer/
Comentarios
Publicar un comentario