lucky-luk3/grafikiأداة مطاردة التهديدات حول Sysmon والرسوم البيانية
Grafiki هو مشروع Django يتعلق بـ Sysmon والرسوم البيانية، في الوقت الحالي.
في رأيي، EventViewer و Elastic وحتى Kibana ليست رسومية بما يكفي. التهديدات الحالية معقدة، وإذا كان المهاجمون يفكرون في الرسوم البيانية، فيجب على المدافعين أيضًا فعل ذلك.
هذا دليل على المفهوم، لم يتم تصحيح الكود بعد ولكن ربما يكون مفيدًا لشخص ما، وسأقوم بتحسينه.
بدأ هذا المشروع كمحلل لملفات EVTX إلى قاعدة بيانات SQL وربما يكون هذا هو جوهر المشروع.
المشروع ليس ناضجًا بما يكفي، على الرغم من أنه يعمل، إلا أن خطة الاختبار لم تحدد بعد.
أي رأي، خطأ تم العثور عليه، طلب تحسين ... سيكون موضع ترحيب.
git clone https://github.com/lucky-luk3/Grafiki.git
cd Grafiki
sudo -- sh -c -e "echo '127.0.0.1 grafiki.local' >> /etc/hosts"
docker compose up --build &
docker exec -it -d grafiki-app-1 /init_django.sh
في متصفحك اذهب إلى http://127.0.0.1:8000/ أو http://grafiki.local:8000/
اصطد، تعلم واستمتع!
يمكن لهذا التطبيق معالجة نوعين من الملفات.
في هذه الصفحة، يمكنك رفع ملفات evtx أو ملفات أحداث Elastic ومعالجتها.
هذه الصفحة مفيدة لإنشاء مكتبة من عينات الملفات عبر الإنترنت.
عند إنشاء مثال، تضع عنوان URL للملف وعند معالجته، يقوم التطبيق بتنزيل ملف الحدث ومعالجته.
في هذه الصفحة، يمكنك إنشاء عمليات بحث لنسخة Elastic الخاصة بك وإنشاء رسم بياني للنتيجة. يمكنك إنشاء عوامل تصفية حول:
صفحة الرسم البياني هي جوهر هذا التطبيق وواجهة البحث فيه.
في الصفحات الأخرى، تقوم بتحديد بياناتك وهذه الصفحات ترسلك إلى صفحة الرسم البياني، إذا ذهبت مباشرة إلى صفحة الرسم البياني، فلن يكون هناك شيء أو ستكون آخر البيانات التي بحثت عنها.
في هذه الصفحة علامتا تبويب، واحدة لـ Sysmon وأخرى لأحداث Powershell.
هناك نوعان من العناصر، العقد والحواف. تمثل العقد كيانات مثل عملية أو ملف أو مفتاح تسجيل وتمثل الحواف إجراءات مثل إنشاء أو حذف أو اتصال.
نحن في الجوهر.
يستخدم هذا الجزء المعلومات الموجودة في قاعدة البيانات لإنشاء رسوم بيانية حول الأحداث التي تم تحليلها.
يمكنك التنقل في الرسم البياني، ومشاهدة إنشاء العملية، والأنابيب المسماة المتصلة ... ولكن عادةً ما يكون هناك الكثير من المعلومات للعمل بشكل مريح.
داخل علامة التبويب يوجد قسم مخفي حول مرشحات الرسم البياني.
في هذه المنطقة يمكنك العمل مع الرسم البياني بتصفية البيانات.
يمكنك تصفية العقد بواسطة هذه الكيانات:
يمكنك أيضًا تصفية عقد العمليات بواسطة:
أيضًا، يمكنك تصفية الحواف بواسطة هذه الإجراءات:
ميزة رائعة هي إنشاء رسوم متحركة حول البيانات في الرسم البياني، وهذا مفيد جدًا على سبيل المثال في Parent PID Spoofing أو
عندما يقوم مستخدم ما في كمبيوتر بتنفيذ أوامر عن بعد.
عندما يحتوي الرسم البياني على الكثير من المعلومات، من الممكن حذف عقدة واحدة، أو حافة واحدة، أو مجموعة من العقد أو مجموعة من العقد بشكل متكرر.
تعمل حذف مجموعة من العقد عن طريق تحديد عقدة واحدة وسيقوم التطبيق بحذف جميع العقد التي يكون أصلها هو العقدة المحددة.
تعمل حذف مجموعة بشكل متكرر أيضًا عن طريق تحديد عقدة ولكن التطبيق سيمر عبر العقد التي يتم حذفها حتى تنتهي شجرة الفرع هذه. إذا كان الفرع يحتوي على الكثير من المعلومات، فسيستغرق ذلك وقتًا طويلاً.
في الجزء السفلي من الشاشة، من الممكن تغيير فيزياء الرسم البياني.
عندما يحتوي الرسم البياني على الكثير من المعلومات، قد يكون من المفيد تعطيل الفيزياء من أجل تثبيت الرسم البياني.
يمكنك اللعب مع الفيزياء، إنها ممتعة.
في علامة تبويب Powershell، من الممكن تحليل أوامر powershell.
يتم عرض الأوامر في أكورديون وداخل كل صف، إذا كان الأمر يحتوي على أمر base64، فسيتم فك تشفيره وتحليله.
يمكنك البحث في جميع الأحداث عن الجزء المشفر أو المفكوك من الأمر.
