LogonTracer

Konzept

LogonTracer v2 ist ein Tool zur Untersuchung bösartiger Anmeldungen durch Visualisierung und Analyse von Windows Active Directory-Ereignisprotokollen. Dieses Tool verknüpft einen Hostnamen (oder eine IP-Adresse) und einen Kontonamen, die in anmeldebezogenen Ereignissen gefunden werden, und zeigt sie als Graph an. Auf diese Weise ist es möglich zu sehen, in welchem Konto ein Anmeldeversuch stattfindet und welcher Host verwendet wird.

Dieses Tool kann die folgenden Ereignis-IDs visualisieren, die mit Windows-Anmeldungen zusammenhängen.

Weitere Einzelheiten werden in den folgenden Dokumenten beschrieben:

• Visualise Event Logs to Identify Compromised Accounts - LogonTracer -
• イベントログを可視化して不正使用されたアカウントを調査 (Japanisch)

Neuerungen in Version 2.0

KI-gestützte Sicherheitsanalyse

LogonTracer v2.0 integriert eine KI-Analyse-Engine mit OpenAI GPT-Modellen, um eine intelligente Bedrohungserkennung zu bieten, die über traditionelle regelbasierte Ansätze hinausgeht.

• Sicherheitsmusteranalyse – Interpretiert automatisch Graph-Abfrageergebnisse und erstellt Risikobewertungen mit MITRE ATT&CK-Taktikzuordnung
• Autonomer LLM-Agent – Ein iterativer KI-Agent, der autonom Cypher-Abfragen gegen den Neo4j-Graphen generiert und ausführt, um Bedrohungen ohne manuelles Eingreifen zu entdecken
• KI-generierte Sigma-Regeln – Konvertiert KI-Analyseergebnisse in bereitstellbare Sigma-Erkennungsregeln
• Mehrsprachigkeit – KI-Antworten können auf Englisch, Japanisch oder Französisch generiert werden

Sigma-Regel-Integration

• Gebündelte Sigma-Regeln – Enthält den vollständigen SigmaHQ-Regelsatz zum Scannen von EVTX-Dateien
• Sigma-Scan beim Hochladen – Optionales automatisches Ausführen des Sigma-Regel-Scans beim Hochladen von EVTX-Dateien
• Sigma-Rescan-API – Erneutes Scannen zuvor hochgeladener EVTX-Dateien mit einem bestimmten Sigma-Regelordner über REST-API
• Sigma-Ergebnisansicht – Dedizierte UI-Seite, die Sigma-Erkennungsergebnisse in einer interaktiven Tabelle anzeigt

Zusätzliche Analyse

LogonTracer verwendet PageRank, Hidden Markov Model und ChangeFinder, um bösartige Hosts und Konten aus Ereignisprotokollen zu erkennen.

Mit LogonTracer ist es auch möglich, Ereignisprotokolle in chronologischer Reihenfolge anzuzeigen.

Anforderungen

• Python 3.9 oder neuer (3.12 empfohlen)

• Neo4j 5.x (Community oder Enterprise)

• OpenAI-API-Schlüssel (optional – nur für KI-Analysefunktionen erforderlich)

• Python-Module

numpy
evtx
lxml
scipy
changefinder
flask
hmmlearn>=0.2.8
scikit-learn
elasticsearch-dsl>=7.0.0,<8.0.0
pyyaml
flask-sqlalchemy
flask-login
flask_wtf
flask-limiter
wtforms
GitPython
pysigma>=0.11.0
pysigma-backend-sqlite
openai>=1.0.0
aiohttp
neo4j

Installation

1. Repository klonen

git clone https://github.com/JPCERTCC/LogonTracer.git
cd LogonTracer

2. Abhängigkeiten installieren

pip3 install -r requirements.txt

3. Neo4j starten

Neo4j herunterladen und starten. Das anfängliche Passwort setzen und den Bolt-Port (Standard: 7687) notieren.

4. Konfigurationsdatei bearbeiten

vi config/config.yml

Wichtige Einstellungen:

settings:
  logontracer:
    WEB_PORT: "8080"
    default_user: "neo4j"       # Neo4j-Benutzername für das Standard-LogonTracer-Konto
    default_password: "password" # Vor dem ersten Start ändern

  neo4j:
    NEO4J_USER: "neo4j"
    NEO4J_PASSWORD: "password"   # Ihr Neo4j-Passwort
    NEO4J_SERVER: "localhost"
    WS_PORT: "7687"

5. Webanwendung starten

python3 logontracer.py --run

Öffnen Sie Ihren Browser unter http://localhost:8080.

Verwendung

Ereignisprotokolle importieren

EVTX-Datei(en) importieren

python3 logontracer.py -e <pfad/zu/Security.evtx> -z <UTC-Offset> -s <Neo4j-Server> -u <Benutzer> -p <Passwort>

XML-Datei(en) importieren

python3 logontracer.py -x <pfad/zu/event.xml> -z <UTC-Offset> -s <Neo4j-Server> -u <Benutzer> -p <Passwort>

Aus Elasticsearch importieren

python3 logontracer.py --es -s <Neo4j-Server> -u <Benutzer> -p <Passwort> --es-server <ES-Host:Port>

Mit Sigma-Scan importieren

Fügen Sie das Flag --sigma hinzu, um die Sigma-Regelerkennung während des Imports auszuführen:

python3 logontracer.py -e <pfad/zu/Security.evtx> -z 9 -s localhost -u neo4j -p password --sigma

Weitere Protokolle hinzufügen (ohne vorhandene Daten zu löschen)

python3 logontracer.py -e <pfad/zu/Security.evtx> -z 9 -s localhost -u neo4j -p password --add

Hochladen über die Web-GUI

Nach dem Start der Webanwendung klicken Sie in der linken Seitenleiste auf Event Log hochladen. Sie können:

• Eine oder mehrere EVTX- oder XML-Dateien auswählen
• Den UTC-Offset für die Protokollzeitzone wählen
• Weitere Dateien hinzufügen aktivieren, um Daten anzuhängen, ohne die Datenbank zu löschen
• Scan mit Sigma-Regeln ausführen aktivieren, um die Sigma-Erkennung nach dem Import automatisch auszuführen

Sigma-Scan-Ergebnisse

Nach dem Hochladen mit aktiviertem Sigma-Scan oder nach dem Auslösen eines erneuten Scans über die API klicken Sie in der Seitenleiste auf Sigma-Scan-Ergebnisse, um die Funde anzuzeigen.

KI-Analyse (v2.0)

Einrichtung

1. Gehen Sie zu Einstellungen → KI-Einstellungen in der Navigationsleiste
2. Aktivieren Sie die KI-Analyse und geben Sie Ihren OpenAI-API-Schlüssel ein
3. Wählen Sie das GPT-Modell und die bevorzugte Antwortsprache

Verwendung der KI-Analyse

• Klicken Sie in der oberen Navigation auf KI-Analyse, um den autonomen LLM-Agenten auszuführen
• Der Agent generiert iterativ Cypher-Abfragen, führt sie gegen die Neo4j-Datenbank aus und meldet entdeckte Bedrohungen
• Klicken Sie auf KI-Verlauf, um das letzte Analyseergebnis anzuzeigen
• Klicken Sie im KI-Analyse-Ergebnisbereich auf Sigma-Regeln generieren, um die Funde in Sigma-Erkennungsregeln umzuwandeln

Screenshots der Webanwendung

Anmeldung

Hauptansicht Graph

Dunkelmodus

Zeitleiste

Navigationsleiste

Seitenleiste

Filterpanel

Diff-Graph

Fallverwaltung (Neo4j Enterprise)

Mit der Neo4j Enterprise Edition unterstützt LogonTracer mehrere unabhängige Untersuchungsfälle – jeder in einer separaten Neo4j-Datenbank gespeichert.

• Neuen Fall hinzufügen – Erstellen Sie eine neue Datenbank für eine neue Untersuchung
• Fall löschen – Entfernen Sie eine Falldatenbank
• Zugriff auf Fall hinzufügen/entfernen – Erteilen oder entziehen Sie benutzerspezifischen Zugriff auf bestimmte Fälle
• Fall wechseln – Wechseln Sie den aktiven Fall in der aktuellen Sitzung

Docker

Docker verwenden (einzelner Container)

docker run \
  --detach \
  --publish=7474:7474 --publish=7687:7687 --publish=8080:8080 \
  -e LTHOSTNAME=<IP-Adresse> \
  jpcertcc/docker-logontracer

Docker Compose verwenden

cd docker-compose
docker compose build
docker compose up -d

Docker Compose mit HTTPS (nginx) verwenden

cd docker-compose-with-nginx
docker compose build
docker compose up -d

Docker Compose mit Elastic Stack verwenden

cd docker-compose-with-elasticstack
docker compose build
docker compose up -d

Befehlszeilenoptionen

Demonstration

Das folgende YouTube-Video zeigt die Verwendung von LogonTracer.

Dokumentation

Weitere Details finden Sie im LogonTracer-Wiki.

Lizenz

LICENSE.txt