CVE-2020-1472 قارئ الأحداث v1.1 8/27/2020

سيقوم هذا السكربت بما يلي:

1. فحص سجلات evtx الخاصة بالنظام في مجلد ملفات الإدخال بحثًا عن الأحداث 5827 و5828 و5829 و5830 و5831، مع الحقول الدقيقة للبيانات، ثم تصديرها إلى 582#-*.CSV.

2. يستدعي Excel لاستيراد ملفات 582#-.CSV الناتجة، وإنشاء جداول محورية لسيناريوهات تحليل RPC الآمن الشائعة. ثم حذف ملفات 582#-.CSV بعد ذلك.

لا تتردد في التعديل ليتوافق مع احتياجاتك.

يحاول السكربت بذل أفضل جهد للمطابقة لمساعدة المسؤول، لا تتردد في التعديل.

يتطلب السكربت Excel 2013 أو أحدث.

إصدار 64 بت من Excel سيسمح بإنشاء استيراد بيانات أكبر إلى XLS.

لاستخدام السكربت:

1. احفظ سجل النظام كملف system.evtx.

2. اتبع التعليمات على الشاشة لإدخال المسار الذي يحتوي على *.evtx وملف xlsx النهائي.

مزيد من المعلومات على الرابط https://support.microsoft.com/en-us/kb/4557222

سجل التغييرات > 1.1

تحويل Get-WinEvent إلى FilterXPath لبحث أسرع

إضافة مقبض سكربت لـ LookbackDays لمراجعة مجدولة للتقدم في السكربت

إضافة %GrandTotal في الجدول المحوري لإكسل للمساعدة في تحديد الأولويات.

إضافة مقابض سكربت لتمكين/تعطيل ColorScale وDataBar

إضافة $mcLookbackDays و$mcScriptPrompts و$mcServerEvents و$mcEvtPath للنشر عن بُعد لإرسال البيانات مرة أخرى إلى المشاركة المركزية.

كتلة متغيرات السكربت، عدّلها حسب حاجتك

$mcStartTime = '2020/05/10 06:06' # الطابع الزمني لبدء البحث عن 5827-5831، بالصيغة 'yyyy/MM/dd HH:mm'، حيث 1 مساءً هو 13، مثال: '2020/05/26 13:06' سيعرض الأحداث التي تبدأ من 2020/05/26 1:06 مساءً، استخدمه لقياس التقدم. $mcLookbackDays = 0 # عند تعيينه إلى 0، سيستخدم السكربت $mcStartTime. وعند تعيينه إلى رقم موجب، سيبدأ السكربت بالبحث عن الأحداث في آخر x يومًا. مثال: 1 سيبحث عن الأحداث في آخر 24 ساعة. $mcScriptPrompts = $true # الوضع الافتراضي للسكربت، $false للوضع غير التفاعلي، مخصص للمهام المجدولة أو النقر بزر الماوس الأيمن، وتشغيله بـ Powershell. $mcCSVImport = $true # عيّنه إلى $false لتوليد ملفات Evtx فقط، وهو مخصص لحفظ Evtx من خدمة الأحداث في الخادم. $mcServerEvents = $false # توليد الأحداث ذات الصلة من الخادم المحلي (LocalHost)، وهو مخصص لتوليد ملفات EVTX وCSV أصغر حجمًا لمعالجتها لاحقًا (على جهاز آخر) بدلاً من EVTX كاملة (عند استخدامه مع $mcCSVImport) $mcEvtPath = "" # مسار التقرير الافتراضي عندما يكون $mcScriptPrompts=false، عيّنه إلى "" لمسار السكربت. #مقابض متعلقة بالأداء $mcMaxThreads = 4 # أقصى عدد من سلاسل التصدير المتزامنة من Evtx إلى CSV (مهام)، قد يؤدي الرقم المرتفع إلى اختناق في File/IO لأن جميع الملفات في مجلد واحد. $mcMaxExport = 1000 # 1000 أقصى عدد أحداث يتم تصديرها من كل EVTX، عدّل هذا إذا كنا نواجه خطأ في ذاكرة Excel (أو إذا كنا نحتاج فقط إلى أول عدد قليل من أحداث evt كعينات) $mcMaxImport = 1000 # 1000 أقصى عدد أحداث لاستيرادها إلى Excel، ##ملاحظة##: بمجرد بلوغ الحد الأقصى، سينهي Excel ملف الاستيراد الحالي وسيتوقف عن الاستيرادات اللاحقة، وبما أن الاستيراد أحادي السلسلة، فقد يستغرق الاستيراد وقتًا طويلًا إذا عُيّن على رقم مرتفع. $mcColorScale = $true # عيّنه إلى false لتعطيل ColorScale للأعمدة = تسريع استيراد Excel وتقليل متطلبات الذاكرة $mcDataBar = $true # عيّنه إلى false لتعطيل DataBar للأعمدة = تسريع استيراد Excel وتقليل متطلبات الذاكرة (ملاحظة: DataBar به بعض الأخطاء مقارنة بـ ColorScale عند الاستيراد، ومن الأفضل القيام بذلك يدويًا لاحقًا إذا لزم الأمر.)

#--الإعداد الافتراضي لتجميع Evtx عن بُعد-------------------------------------------------------

$mcLookbackDays = 0

$mcEvtPath = ""

$mcScriptPrompts = $mcCSVImport = $false

$mcServerEvents = $true

#--الإعداد الافتراضي لتوليد التقارير المحلية غير التفاعلية.--------------------------------------

$mcLookbackDays = 0

$mcEvtPath = ""

$mcScriptPrompts = $mcServerEvents = $false

$mcCSVImport = $true