دفتر تحليل Citrix

دفتر ملاحظات Jupyter للمساعدة في أتمتة بعض التحليلات الجنائية المتعلقة بمضيفي Citrix Netscaler المخترقين عبر CVE-2019-19781.

للمساعدة في استرجاع القطع الأثرية لفحصها، راجع نص برمجي لفرز Citrix هذا.

جميع الملاحظات/الاقتراحات مرحب بها. لا تتردد في تقديم طلبات السحب أو المشكلات.

إخلاء مسؤولية: ليس المقصود منه أن يكون حلًا شاملًا نهائيًا، بل موجود فقط لمساعدتك على البدء.

الميزات

• يتعامل حاليًا مع السجلات وملفات XML الخاصة بالحمولات التالية إذا كانت متاحة:
  • HTTPAccess
  • HTTPError
  • Cron
  • Bash
  • Notice
  • Sh
• فك ضغط السجلات
• تحليل السجلات إلى إطارات بيانات pandas لمزيد من التحليل إذا رغبت بذلك
• البحث في السجلات عن مؤشرات الاختراق الشائعة المرتبطة بالاختراق (IOCs)
• تحليل وفك ترميز ملفات XML الخاصة بالحمولات إذا كانت متاحة
• إخراج التحليل إلى ورقة نتائج Excel للمراجعة

موارد مفيدة

• التصحيحات النهائية من Citrix
• نص FireEye للـ IOC
• ملاحظات x1sec الممتازة حول CVE-2019-19781
• نظرة عامة على الحمولات المرصودة
• تقرير FireEye عن NOTROBIN
• دليل TrustedSec للطب الشرعي
• تقرير TrustedSec عن Honeypot
• تقرير US-Cert

سجل التغييرات

v 1.0

• إضافة تحليل سجل httperror
• أصبح تحليل Notice يبحث الآن عن نفس المصطلحات المستخدمة في تحليل sh (حيث إن سجلات sh مضمنة في notice، ولذلك يجب البحث بنفس المصطلحات في كليهما للحصول على نفس النتائج)
• لن يتم بعد الآن تصدير إطارات البيانات إلى ورقة النتائج إذا كانت فارغة. وبدلاً من ذلك، ستظهر رسالة سجل توضح أي إطارات البيانات فارغة في خلية كتابة Excel في دفتر الملاحظات.

v 0.9

• إضافة استرجاع تاريخ البداية والنهاية الذي يغطيه كل سجل مذكور أعلاه
• إعادة هيكلة كود تحليل XML بشكل طفيف لإدراج مفتاح 'username' مما يتيح تحليل ملفات XML المسترجعة من /xml/bookmarks

v 0.8

• إضافة ترميز 'latin1' إلى جميع عمليات تحليل السجلات لمعالجة الحالات التي لم تكن فيها السجلات بترميز utf-8 وتسببت في أخطاء تحليل
• تقسيم searchFor إلى searchFor و shSearchFor لأن سجلات sh لها معايير بحث مختلفة لا تظهر في السجلات الأخرى

v 0.7

• إضافة فك ترميز الحمولات (chr() و base64) + تجميع جميع الحمولات في عمود 'decodedpayloads'

v 0.6

• إضافة تحليل سجل sh
• إضافة متغير 'searchFor' المشترك إلى الإعدادات لاحتواء مصطلحات البحث عن النشاط المشبوه التي سيتم البحث عنها في كل سجل

v 0.5

• إضافة تحليل لمعظم سجلات notice (راجع الأخطاء للاستثناءات)
  • الاستثناءات حاليًا هي: سجلات sslvpn_aaad_login_handler و Session setup data send على الرغم من أنها تُطبع عبر الأخطاء بحيث يمكنك فحصها

v 0.4

• إضافة تحليل سجل bash