LogonTracer

المفهوم

LogonTracer v2 هي أداة للتحقيق في عمليات تسجيل الدخول الضارة عن طريق تصور وتحليل سجلات أحداث Windows Active Directory. تربط هذه الأداة اسم المضيف (أو عنوان IP) واسم الحساب الموجودين في الأحداث المتعلقة بتسجيل الدخول وتعرضهما كرسم بياني. بهذه الطريقة، يمكن رؤية أي حساب يحدث فيه محاولة تسجيل الدخول وأي مضيف يُستخدم.

يمكن لهذه الأداة تصور معرفات الأحداث التالية المتعلقة بتسجيل الدخول في Windows.

المزيد من التفاصيل موصوفة في المستندات التالية:

• تصور سجلات الأحداث لتحديد الحسابات المخترقة - LogonTracer -
• イベントログを可視化して不正使用されたアカウントを調査 (ياباني)

ما الجديد في الإصدار 2.0

تحليل أمني مدعوم بالذكاء الاصطناعي

يدمج LogonTracer v2.0 محرك تحليل ذكاء اصطناعي باستخدام نماذج OpenAI GPT لتوفير كشف تهديدات ذكي يتجاوز الأساليب القائمة على القواعد التقليدية.

• تحليل أنماط الأمان — يفسر تلقائيًا نتائج استعلامات الرسم البياني وينتج تقييمات للمخاطر مع تعيين تكتيكات MITRE ATT&CK
• وكيل LLM مستقل — وكيل ذكاء اصطناعي تكرارى يولد وينفذ استعلامات Cypher تجاه رسم Neo4j البياني لاكتشاف التهديدات دون تدخل يدوي
• قواعد Sigma مولّدة بالذكاء الاصطناعي — يحول نتائج تحليل الذكاء الاصطناعي إلى قواعد كشف Sigma قابلة للنشر
• دعم متعدد اللغات — يمكن توليد ردود الذكاء الاصطناعي بالإنجليزية أو اليابانية أو الفرنسية

تكامل قواعد Sigma

• قواعد Sigma مرفقة — تتضمن مجموعة قواعد SigmaHQ الكاملة لفحص ملفات EVTX
• فحص Sigma عند الرفع — تشغيل فحص قواعد Sigma اختياريًا تلقائيًا أثناء رفع ملف EVTX
• واجهة API لإعادة فحص Sigma — إعادة فحص ملفات EVTX المرفوعة سابقًا مع مجلد قواعد Sigma معين عبر REST API
• عرض نتائج Sigma — صفحة واجهة مستخدم مخصصة تعرض نتائج كشف Sigma في جدول تفاعلي

تحليل إضافي

يستخدم LogonTracer PageRank و نموذج ماركوف المخفي و ChangeFinder لكشف المضيفين والحسابات الضارة من سجلات الأحداث.

باستخدام LogonTracer، يمكن أيضًا عرض سجلات الأحداث بترتيب زمني.

المتطلبات

• Python 3.9 أو أحدث (يُوصى بـ 3.12)

• Neo4j 5.x (Community أو Enterprise)

• مفتاح واجهة برمجة تطبيقات OpenAI (اختياري — مطلوب فقط لميزات تحليل الذكاء الاصطناعي)

• وحدات Python

numpy
evtx
lxml
scipy
changefinder
flask
hmmlearn>=0.2.8
scikit-learn
elasticsearch-dsl>=7.0.0,<8.0.0
pyyaml
flask-sqlalchemy
flask-login
flask_wtf
flask-limiter
wtforms
GitPython
pysigma>=0.11.0
pysigma-backend-sqlite
openai>=1.0.0
aiohttp
neo4j

التثبيت

1. استنساخ المستودع

git clone https://github.com/JPCERTCC/LogonTracer.git
cd LogonTracer

2. تثبيت التبعيات

pip3 install -r requirements.txt

3. بدء Neo4j

قم بتنزيل وبدء Neo4j. عيِّن كلمة المرور الأولية ولاحظ منفذ Bolt (الافتراضي: 7687).

4. تحرير ملف التكوين

vi config/config.yml

الإعدادات الرئيسية:

settings:
  logontracer:
    WEB_PORT: "8080"
    default_user: "neo4j"       # اسم مستخدم Neo4j لحساب LogonTracer الافتراضي
    default_password: "password" # غيِّر هذا قبل التشغيل الأول

  neo4j:
    NEO4J_USER: "neo4j"
    NEO4J_PASSWORD: "password"   # كلمة مرور Neo4j الخاصة بك
    NEO4J_SERVER: "localhost"
    WS_PORT: "7687"

5. بدء تطبيق الويب

python3 logontracer.py --run

افتح متصفحك على http://localhost:8080.

الاستخدام

استيراد سجلات الأحداث

استيراد ملف(ملفات) EVTX

python3 logontracer.py -e <path/to/Security.evtx> -z <UTC offset> -s <Neo4j server> -u <user> -p <password>

استيراد ملف(ملفات) XML

python3 logontracer.py -x <path/to/event.xml> -z <UTC offset> -s <Neo4j server> -u <user> -p <password>

الاستيراد من Elasticsearch

python3 logontracer.py --es -s <Neo4j server> -u <user> -p <password> --es-server <ES host:port>

الاستيراد مع فحص Sigma

أضف العلامة --sigma لتشغيل كشف قواعد Sigma أثناء الاستيراد:

python3 logontracer.py -e <path/to/Security.evtx> -z 9 -s localhost -u neo4j -p password --sigma

إضافة سجلات إضافية (بدون حذف البيانات الموجودة)

python3 logontracer.py -e <path/to/Security.evtx> -z 9 -s localhost -u neo4j -p password --add

رفع الواجهة الرسومية (Web GUI)

بعد بدء تطبيق الويب، انقر على Upload Event Log في الشريط الجانبي الأيسر. يمكنك:

• تحديد ملف EVTX أو XML واحد أو أكثر
• اختيار إزاحة UTC للمنطقة الزمنية للسجل
• تفعيل Add additional files لإلحاق البيانات دون مسح قاعدة البيانات
• تفعيل Run scan using Sigma rules لتشغيل كشف Sigma تلقائيًا بعد الاستيراد

نتائج فحص Sigma

بعد الرفع مع تفعيل فحص Sigma، أو بعد تشغيل إعادة فحص عبر واجهة API، انقر على Sigma Scan Results في الشريط الجانبي لعرض النتائج.

تحليل الذكاء الاصطناعي (v2.0)

الإعداد

1. اذهب إلى Settings → AI Settings في شريط التنقل
2. فعِّل تحليل الذكاء الاصطناعي وأدخل مفتاح واجهة برمجة تطبيقات OpenAI الخاص بك
3. اختر نموذج GPT ولغة الرد المفضلة

استخدام تحليل الذكاء الاصطناعي

• انقر على AI Analysis في شريط التنقل العلوي لتشغيل وكيل LLM المستقل
• يقوم الوكيل بشكل تكرارى بتوليد استعلامات Cypher وتنفيذها تجاه قاعدة بيانات Neo4j والإبلاغ عن التهديدات المكتشفة
• انقر على AI History لعرض نتيجة التحليل الأخيرة
• من لوحة نتائج تحليل الذكاء الاصطناعي، انقر على Generate Sigma Rules لتحويل النتائج إلى قواعد كشف Sigma

لقطات شاشة تطبيق الويب

تسجيل الدخول

عرض الرسم البياني الرئيسي

الوضع الداكن

الجدول الزمني

شريط التنقل

الشريط الجانبي

لوحة التصفية

رسم الفرق

إدارة القضايا (Neo4j Enterprise)

مع إصدار Neo4j Enterprise، يدعم LogonTracer قضايا تحقيق مستقلة متعددة — كل منها مخزنة في قاعدة بيانات Neo4j منفصلة.

• إضافة قضية جديدة — إنشاء قاعدة بيانات جديدة لتحقيق جديد
• حذف قضية — إزالة قاعدة بيانات قضية
• إضافة/حذف وصول إلى قضية — منح أو إلغاء وصول المستخدم إلى قضايا محددة
• تغيير القضية — تبديل القضية النشطة في الجلسة الحالية

Docker

باستخدام Docker (حاوية واحدة)

docker run \
  --detach \
  --publish=7474:7474 --publish=7687:7687 --publish=8080:8080 \
  -e LTHOSTNAME=<IP Address> \
  jpcertcc/docker-logontracer

باستخدام Docker Compose

cd docker-compose
docker compose build
docker compose up -d

باستخدام Docker Compose مع HTTPS (nginx)

cd docker-compose-with-nginx
docker compose build
docker compose up -d

باستخدام Docker Compose مع Elastic Stack

cd docker-compose-with-elasticstack
docker compose build
docker compose up -d

خيارات سطر الأوامر

العرض التوضيحي

يُظهر فيديو YouTube التالي كيفية استخدام LogonTracer.

التوثيق

لمزيد من التفاصيل، يُرجى مراجعة ويكي LogonTracer.

الترخيص

LICENSE.txt