DeepBlueCLI

DeepBlueCLI - وحدة باورشيل لصيد التهديدات عبر سجلات أحداث ويندوز

إريك كونراد، شركة باكشور للاتصالات، LLC

deepblue at backshore dot net

تويتر: @eric_conrad

http://ericconrad.com

ملفات EVTX النموذجية موجودة في المجلد .\evtx

ملاحظة إذا أثار مضاد الفيروسات لديك قلقًا بعد تنزيل DeepBlueCLI: من المحتمل أنه يتفاعل مع ملفات EVTX المضمنة في مجلد .\evtx (والتي تحتوي على سجلات سطر أوامر لهجمات ضارة، من بين قطع أثرية أخرى). ملفات EVTX ليست ضارة. قد تحتاج إلى تكوين مضاد الفيروسات الخاص بك لتجاهل دليل DeepBlueCLI.

جدول المحتويات

• الاستخدام
• سجلات أحداث ويندوز المعالجة
• الأحداث المكتشفة
• أمثلة
• المخرجات
• إعداد التسجيل
• انظر قراءة DeepBlue.py للحصول على معلومات حول DeepBlue.py
• انظر قراءة DeepBlueHash للحصول على معلومات حول DeepBlueHash (الإدراج الآمن الكاشف باستخدام سجلات أحداث Sysmon)

الاستخدام:

.\DeepBlue.ps1 <event log name> <evtx filename>

انظر قراءة Set-ExecutionPolicy إذا تلقيت خطأ 'تشغيل البرامج النصية معطل على هذا النظام'.

معالجة سجل أحداث أمان ويندوز المحلي (يجب تشغيل باورشيل كمسؤول):

.\DeepBlue.ps1

أو:

.\DeepBlue.ps1 -log security

معالجة سجل أحداث نظام ويندوز المحلي:

.\DeepBlue.ps1 -log system

معالجة ملف evtx:

.\DeepBlue.ps1 .\evtx\new-user-security.evtx

سجلات أحداث ويندوز المعالجة

• أمان ويندوز
• نظام ويندوز
• تطبيقات ويندوز
• باورشيل ويندوز
• Sysmon

سجلات سطر الأوامر المعالجة

انظر قسم إعداد التسجيل أدناه لمعرفة كيفية تكوين هذه السجلات

• معرف حدث أمان ويندوز 4688
• معرفا حدث باورشيل ويندوز 4103 و4104
• معرف حدث Sysmon 1

الأحداث المكتشفة

• سلوك حساب مشبوه
  • إنشاء مستخدم
  • إضافة مستخدم إلى مجموعات محلية/عامة/شاملة
  • تخمين كلمة المرور (فشل تسجيل دخول متعدد، حساب واحد)
  • رش كلمة المرور عبر فشل تسجيل الدخول (فشل تسجيل دخول متعدد، حسابات متعددة)
  • رش كلمة المرور عبر بيانات اعتماد صريحة
  • Bloodhound (امتيازات إدارية معينة لنفس الحساب بمعرفات أمنية متعددة)
• تدقيق سطر الأوامر/Sysmon/PowerShell
  • سطور أوامر طويلة
  • بحث باستخدام التعبيرات النمطية
  • أوامر مبهمة
  • PowerShell تم تشغيله عبر WMIC أو PsExec
  • PowerShell Net.WebClient Downloadstring
  • أوامر مضغوطة/مشفرة بـ Base64 (مع فك الضغط/فك التشفير تلقائيًا)
  • EXEs أو DLLs غير موقعة
• تدقيق الخدمات
  • إنشاء خدمة مشبوه
  • أخطاء إنشاء خدمة
  • إيقاف/بدء خدمة سجل أحداث ويندوز (احتمالية التلاعب بسجل الأحداث)
• Mimikatz
  • lsadump::sam
• حصارات EMET وApplocker

...والمزيد

أمثلة

المخرجات

يخرج DeepBlueCLI على شكل كائنات باورشيل، مما يسمح بمجموعة متنوعة من طرق وأنواع المخرجات، بما في ذلك JSON وHTML وCSV وغيرها.

على سبيل المثال:

إعداد التسجيل

حدث الأمان 4688 (تدقيق سطر الأوامر):

تفعيل تدقيق سطر أوامر ويندوز: https://support.microsoft.com/en-us/kb/3004375

حدث الأمان 4625 (عمليات تسجيل دخول فاشلة):

يتطلب تدقيق فشل تسجيل الدخول: https://technet.microsoft.com/en-us/library/cc976395.aspx

تدقيق باورشيل (باورشيل 5.0):

يستخدم DeepBlueCLI تسجيل الوحدة (حدث باورشيل 4103) وتسجيل كتلة النص البرمجي (4104). لا يستخدم النسخ الكتابي.

انظر: https://www.fireeye.com/blog/threat-research/2016/02/greater_visibilityt.html

للحصول على سطر أوامر باورشيل (وليس فقط كتلة النص البرمجي) على ويندوز 7 حتى ويندوز 8.1، أضف ما يلي إلى \Windows\System32\WindowsPowerShell\v1.0\profile.ps1

$LogCommandHealthEvent = $true
$LogCommandLifecycleEvent = $true

انظر ما يلي لمزيد من المعلومات:

• https://logrhythm.com/blog/powershell-command-line-logging/
• http://hackerhurricane.blogspot.com/2014/11/i-powershell-logging-what-everyone.html

شكرًا: @heinzarelli و@HackerHurricane

Sysmon

تثبيت Sysmon من Sysinternals: https://docs.microsoft.com/en-us/sysinternals/downloads/sysmon

يستخدم DeepBlue وDeepBlueHash حاليًا أحداث Sysmon: 1 و6 و7.

سجل تجزئات SHA256. غيرها مقبول؛ سيستخدم DeepBlueHash SHA256.