LogonTracer

المفهوم

LogonTracer v2 هي أداة للتحقيق في عمليات تسجيل الدخول الضارة عن طريق تصور وتحليل سجلات أحداث Windows Active Directory. تربط هذه الأداة اسم المضيف (أو عنوان IP) واسم الحساب الموجودين في الأحداث المتعلقة بتسجيل الدخول وتعرضهما كرسم بياني. بهذه الطريقة، يمكن رؤية أي حساب يحدث فيه محاولة تسجيل الدخول وأي مضيف يُستخدم.

يمكن لهذه الأداة تصور معرفات الأحداث التالية المتعلقة بتسجيل الدخول في Windows.

معرف الحدث	الوصف
4624	تسجيل دخول ناجح
4625	فشل تسجيل الدخول
4662	تم تنفيذ عملية على كائن
4672	تعيين صلاحيات خاصة
4719	تم تغيير سياسة التدقيق للنظام
4720	تم إنشاء حساب مستخدم
4726	تم حذف حساب مستخدم
4728 / 4732 / 4756	تمت إضافة عضو إلى مجموعة ممكّنة أمنيًا
4729 / 4733 / 4757	تمت إزالة عضو من مجموعة ممكّنة أمنيًا
4768	مصادقة Kerberos (طلب TGT)
4769	تذكرة خدمة Kerberos (طلب ST)
4776	مصادقة NTLM
5137	تم إنشاء كائن خدمة دليل
5141	تم حذف كائن خدمة دليل

المزيد من التفاصيل موصوفة في المستندات التالية:

• تصور سجلات الأحداث لتحديد الحسابات المخترقة - LogonTracer -
• イベントログを可視化して不正使用されたアカウントを調査 (ياباني)

---

ما الجديد في الإصدار 2.0

تحليل أمني مدعوم بالذكاء الاصطناعي

يدمج LogonTracer v2.0 محرك تحليل ذكاء اصطناعي باستخدام نماذج OpenAI GPT لتوفير كشف تهديدات ذكي يتجاوز الأساليب القائمة على القواعد التقليدية.

• تحليل أنماط الأمان — يفسر تلقائيًا نتائج استعلامات الرسم البياني وينتج تقييمات للمخاطر مع تعيين تكتيكات MITRE ATT&CK
• وكيل LLM مستقل — وكيل ذكاء اصطناعي تكرارى يولد وينفذ استعلامات Cypher تجاه رسم Neo4j البياني لاكتشاف التهديدات دون تدخل يدوي
• قواعد Sigma مولّدة بالذكاء الاصطناعي — يحول نتائج تحليل الذكاء الاصطناعي إلى قواعد كشف Sigma قابلة للنشر
• دعم متعدد اللغات — يمكن توليد ردود الذكاء الاصطناعي بالإنجليزية أو اليابانية أو الفرنسية

تكامل قواعد Sigma

• قواعد Sigma مرفقة — تتضمن مجموعة قواعد SigmaHQ الكاملة لفحص ملفات EVTX
• فحص Sigma عند الرفع — تشغيل فحص قواعد Sigma اختياريًا تلقائيًا أثناء رفع ملف EVTX
• واجهة API لإعادة فحص Sigma — إعادة فحص ملفات EVTX المرفوعة سابقًا مع مجلد قواعد Sigma معين عبر REST API
• عرض نتائج Sigma — صفحة واجهة مستخدم مخصصة تعرض نتائج كشف Sigma في جدول تفاعلي

---

تحليل إضافي

يستخدم LogonTracer PageRank و نموذج ماركوف المخفي و ChangeFinder لكشف المضيفين والحسابات الضارة من سجلات الأحداث.

باستخدام LogonTracer، يمكن أيضًا عرض سجلات الأحداث بترتيب زمني.

---

المتطلبات

• Python 3.9 أو أحدث (يُوصى بـ 3.12)

• Neo4j 5.x (Community أو Enterprise)

• مفتاح واجهة برمجة تطبيقات OpenAI (اختياري — مطلوب فقط لميزات تحليل الذكاء الاصطناعي)

• وحدات Python

numpy
evtx
lxml
scipy
changefinder
flask
hmmlearn>=0.2.8
scikit-learn
elasticsearch-dsl>=7.0.0,<8.0.0
pyyaml
flask-sqlalchemy
flask-login
flask_wtf
flask-limiter
wtforms
GitPython
pysigma>=0.11.0
pysigma-backend-sqlite
openai>=1.0.0
aiohttp
neo4j

---

التثبيت

1. استنساخ المستودع

git clone https://github.com/JPCERTCC/LogonTracer.git
cd LogonTracer

2. تثبيت التبعيات

pip3 install -r requirements.txt

3. بدء Neo4j

قم بتنزيل وبدء Neo4j. عيِّن كلمة المرور الأولية ولاحظ منفذ Bolt (الافتراضي: 7687).

4. تحرير ملف التكوين

vi config/config.yml

الإعدادات الرئيسية:

settings:
  logontracer:
    WEB_PORT: "8080"
    default_user: "neo4j"       # اسم مستخدم Neo4j لحساب LogonTracer الافتراضي
    default_password: "password" # غيِّر هذا قبل التشغيل الأول

  neo4j:
    NEO4J_USER: "neo4j"
    NEO4J_PASSWORD: "password"   # كلمة مرور Neo4j الخاصة بك
    NEO4J_SERVER: "localhost"
    WS_PORT: "7687"

5. بدء تطبيق الويب

python3 logontracer.py --run

افتح متصفحك على http://localhost:8080.

---

الاستخدام

استيراد سجلات الأحداث

استيراد ملف(ملفات) EVTX

python3 logontracer.py -e <path/to/Security.evtx> -z <UTC offset> -s <Neo4j server> -u <user> -p <password>

استيراد ملف(ملفات) XML

python3 logontracer.py -x <path/to/event.xml> -z <UTC offset> -s <Neo4j server> -u <user> -p <password>

الاستيراد من Elasticsearch

python3 logontracer.py --es -s <Neo4j server> -u <user> -p <password> --es-server <ES host:port>

الاستيراد مع فحص Sigma

أضف العلامة --sigma لتشغيل كشف قواعد Sigma أثناء الاستيراد:

python3 logontracer.py -e <path/to/Security.evtx> -z 9 -s localhost -u neo4j -p password --sigma

إضافة سجلات إضافية (بدون حذف البيانات الموجودة)

python3 logontracer.py -e <path/to/Security.evtx> -z 9 -s localhost -u neo4j -p password --add

رفع الواجهة الرسومية (Web GUI)

بعد بدء تطبيق الويب، انقر على Upload Event Log في الشريط الجانبي الأيسر. يمكنك:

• تحديد ملف EVTX أو XML واحد أو أكثر
• اختيار إزاحة UTC للمنطقة الزمنية للسجل
• تفعيل Add additional files لإلحاق البيانات دون مسح قاعدة البيانات
• تفعيل Run scan using Sigma rules لتشغيل كشف Sigma تلقائيًا بعد الاستيراد

نتائج فحص Sigma

بعد الرفع مع تفعيل فحص Sigma، أو بعد تشغيل إعادة فحص عبر واجهة API، انقر على Sigma Scan Results في الشريط الجانبي لعرض النتائج.

تحليل الذكاء الاصطناعي (v2.0)

الإعداد

1. اذهب إلى Settings → AI Settings في شريط التنقل
2. فعِّل تحليل الذكاء الاصطناعي وأدخل مفتاح واجهة برمجة تطبيقات OpenAI الخاص بك
3. اختر نموذج GPT ولغة الرد المفضلة

استخدام تحليل الذكاء الاصطناعي

• انقر على AI Analysis في شريط التنقل العلوي لتشغيل وكيل LLM المستقل
• يقوم الوكيل بشكل تكرارى بتوليد استعلامات Cypher وتنفيذها تجاه قاعدة بيانات Neo4j والإبلاغ عن التهديدات المكتشفة
• انقر على AI History لعرض نتيجة التحليل الأخيرة
• من لوحة نتائج تحليل الذكاء الاصطناعي، انقر على Generate Sigma Rules لتحويل النتائج إلى قواعد كشف Sigma

---

لقطات شاشة تطبيق الويب

تسجيل الدخول

عرض الرسم البياني الرئيسي

الوضع الداكن

الجدول الزمني