Konzept

LogonTracer v2 ist ein Tool zur Untersuchung bösartiger Anmeldungen durch Visualisierung und Analyse von Windows Active Directory-Ereignisprotokollen. Dieses Tool verknüpft einen Hostnamen (oder eine IP-Adresse) und einen Kontonamen, die in anmeldebezogenen Ereignissen gefunden werden, und zeigt sie als Graph an. Auf diese Weise ist es möglich zu sehen, in welchem Konto ein Anmeldeversuch stattfindet und welcher Host verwendet wird.

Dieses Tool kann die folgenden Ereignis-IDs visualisieren, die mit Windows-Anmeldungen zusammenhängen.

Ereignis-ID	Beschreibung
4624	Erfolgreiche Anmeldung
4625	Fehlgeschlagene Anmeldung
4662	Ein Vorgang wurde an einem Objekt ausgeführt
4672	Besondere Berechtigungen zuweisen
4719	Systemüberwachungsrichtlinie wurde geändert
4720	Ein Benutzerkonto wurde erstellt
4726	Ein Benutzerkonto wurde gelöscht
4728 / 4732 / 4756	Ein Mitglied wurde zu einer sicherheitsaktivierten Gruppe hinzugefügt
4729 / 4733 / 4757	Ein Mitglied wurde aus einer sicherheitsaktivierten Gruppe entfernt
4768	Kerberos-Authentifizierung (TGT-Anforderung)
4769	Kerberos-Dienstticket (ST-Anforderung)
4776	NTLM-Authentifizierung
5137	Ein Verzeichnisdienstobjekt wurde erstellt
5141	Ein Verzeichnisdienstobjekt wurde gelöscht

Weitere Einzelheiten werden in den folgenden Dokumenten beschrieben:

LogonTracer-Beispiel

Neuerungen in Version 2.0

KI-gestützte Sicherheitsanalyse

LogonTracer v2.0 integriert eine KI-Analyse-Engine mit OpenAI GPT-Modellen, um eine intelligente Bedrohungserkennung zu bieten, die über traditionelle regelbasierte Ansätze hinausgeht.

Sicherheitsmusteranalyse – Interpretiert automatisch Graph-Abfrageergebnisse und erstellt Risikobewertungen mit MITRE ATT&CK-Taktikzuordnung
Autonomer LLM-Agent – Ein iterativer KI-Agent, der autonom Cypher-Abfragen gegen den Neo4j-Graphen generiert und ausführt, um Bedrohungen ohne manuelles Eingreifen zu entdecken
KI-generierte Sigma-Regeln – Konvertiert KI-Analyseergebnisse in bereitstellbare Sigma-Erkennungsregeln
Mehrsprachigkeit – KI-Antworten können auf Englisch, Japanisch oder Französisch generiert werden

Sigma-Regel-Integration

Gebündelte Sigma-Regeln – Enthält den vollständigen SigmaHQ-Regelsatz zum Scannen von EVTX-Dateien
Sigma-Scan beim Hochladen – Optionales automatisches Ausführen des Sigma-Regel-Scans beim Hochladen von EVTX-Dateien
Sigma-Rescan-API – Erneutes Scannen zuvor hochgeladener EVTX-Dateien mit einem bestimmten Sigma-Regelordner über REST-API
Sigma-Ergebnisansicht – Dedizierte UI-Seite, die Sigma-Erkennungsergebnisse in einer interaktiven Tabelle anzeigt

Zusätzliche Analyse

LogonTracer verwendet PageRank, Hidden Markov Model und ChangeFinder, um bösartige Hosts und Konten aus Ereignisprotokollen zu erkennen.

PageRank-Liste

Mit LogonTracer ist es auch möglich, Ereignisprotokolle in chronologischer Reihenfolge anzuzeigen.

Zeitleiste

Anforderungen

Python 3.9 oder neuer (3.12 empfohlen)
Neo4j 5.x (Community oder Enterprise)
OpenAI-API-Schlüssel (optional – nur für KI-Analysefunktionen erforderlich)
Python-Module

numpy
evtx
lxml
scipy
changefinder
flask
hmmlearn>=0.2.8
scikit-learn
elasticsearch-dsl>=7.0.0,<8.0.0
pyyaml
flask-sqlalchemy
flask-login
flask_wtf
flask-limiter
wtforms
GitPython
pysigma>=0.11.0
pysigma-backend-sqlite
openai>=1.0.0
aiohttp
neo4j

Installation

1. Repository klonen

git clone https://github.com/JPCERTCC/LogonTracer.git
cd LogonTracer

2. Abhängigkeiten installieren

pip3 install -r requirements.txt

3. Neo4j starten

Neo4j herunterladen und starten. Das anfängliche Passwort setzen und den Bolt-Port (Standard: 7687) notieren.

4. Konfigurationsdatei bearbeiten

vi config/config.yml

Wichtige Einstellungen:

settings:
  logontracer:
    WEB_PORT: "8080"
    default_user: "neo4j"       # Neo4j-Benutzername für das Standard-LogonTracer-Konto
    default_password: "password" # Vor dem ersten Start ändern

  neo4j:
    NEO4J_USER: "neo4j"
    NEO4J_PASSWORD: "password"   # Ihr Neo4j-Passwort
    NEO4J_SERVER: "localhost"
    WS_PORT: "7687"

5. Webanwendung starten

python3 logontracer.py --run

Öffnen Sie Ihren Browser unter http://localhost:8080.

Verwendung

Ereignisprotokolle importieren

EVTX-Datei(en) importieren

python3 logontracer.py -e <pfad/zu/Security.evtx> -z <UTC-Offset> -s <Neo4j-Server> -u <Benutzer> -p <Passwort>

XML-Datei(en) importieren

python3 logontracer.py -x <pfad/zu/event.xml> -z <UTC-Offset> -s <Neo4j-Server> -u <Benutzer> -p <Passwort>

Aus Elasticsearch importieren

python3 logontracer.py --es -s <Neo4j-Server> -u <Benutzer> -p <Passwort> --es-server <ES-Host:Port>

Mit Sigma-Scan importieren

Fügen Sie das Flag --sigma hinzu, um die Sigma-Regelerkennung während des Imports auszuführen:

python3 logontracer.py -e <pfad/zu/Security.evtx> -z 9 -s localhost -u neo4j -p password --sigma

Weitere Protokolle hinzufügen (ohne vorhandene Daten zu löschen)

python3 logontracer.py -e <pfad/zu/Security.evtx> -z 9 -s localhost -u neo4j -p password --add

Hochladen über die Web-GUI

Nach dem Start der Webanwendung klicken Sie in der linken Seitenleiste auf Event Log hochladen. Sie können:

Eine oder mehrere EVTX- oder XML-Dateien auswählen
Den UTC-Offset für die Protokollzeitzone wählen
Weitere Dateien hinzufügen aktivieren, um Daten anzuhängen, ohne die Datenbank zu löschen
Scan mit Sigma-Regeln ausführen aktivieren, um die Sigma-Erkennung nach dem Import automatisch auszuführen

Hochladen

Sigma-Scan-Ergebnisse

Nach dem Hochladen mit aktiviertem Sigma-Scan oder nach dem Auslösen eines erneuten Scans über die API klicken Sie in der Seitenleiste auf Sigma-Scan-Ergebnisse, um die Funde anzuzeigen.

KI-Analyse (v2.0)

Einrichtung

Gehen Sie zu Einstellungen → KI-Einstellungen in der Navigationsleiste
Aktivieren Sie die KI-Analyse und geben Sie Ihren OpenAI-API-Schlüssel ein
Wählen Sie das GPT-Modell und die bevorzugte Antwortsprache

LogonTracer

Beliebteste