تحليل الأدلة الجنائية لـ Microsoft Remote Access VPN

يحتوي هذا المستودع على موارد متعلقة بالتحليل الجنائي الذي أُجري على Microsoft Remote Access VPN والمتاح في هذه المقالة على المدونة: https://www.synacktiv.com/publications/forensic-aspects-of-microsoft-remote-access-vpn.html.

• أداة Velociraptor للعميل Windows.EventLogs.RemoteAccessVPN.yaml
• 7 قواعد Chainsaw في دليل microsoft_rasvpn_events
• ونص Python برمجي يُنفَّذ على خادم VPN يتيح تفريغ قاعدة بيانات RaAcctDb WID إلى ملفات CSV csv_export_raacctdb.py

أداة Velociraptor

استورد حزمة Velociraptor Artifact Exchange أو استورد Windows.EventLogs.RemoteAccessVPN.yaml من هذا المستودع.

• ملخص الأداة

• سجلات عميل VPN

• سجلات خادم VPN

• سجلات خادم NPS

قواعد Chainsaw

حدد في وسائط سطر أوامر chainsaw دليل microsoft_rasvpn_events، أو استخدم القواعد من مستودع chainsaw من PR TODO.

سكربت Python لتصدير قاعدة بيانات RaAcctDb

لتصدير البيانات المخزنة بواسطة ميزة تقارير الوصول عن بُعد في WID RaAcctDb، يجب عليك:

1. ثبّت Python3 في خادم VPN للوصول عن بُعد
2. ثبّت حزمة pyodbc: pip install pyodbc
3. انسخ csv_export_raacctdb.py إلى دليل محلي
4. أنشئ دليل إخراج
5. شغّل السكربت: python csv_export_raacctdb.py <out_dir> (يُقبل المسار النسبي أو المطلق)
6. يتم إنشاء ملف CSV لكل جدول

حقوق النشر

2023 - Théo Letailleur, Synacktiv

الترخيص

محتويات هذا المستودع متاحة بموجب رخصة AGPL

التواصل

• Théo Letailleur: [email protected]
• CSIRT Synacktiv: [email protected]