synacktiv/forensic-msvpnDieses Repository enthält Velociraptor-Artefakte und Chainsaw-Regeln zur Erkennung von Microsoft Remote Access VPN-Aktivitäten.
Dieses Repository enthält Ressourcen im Zusammenhang mit der forensischen Analyse von Microsoft Remote Access VPN, die in diesem Blogbeitrag verfügbar ist: https://www.synacktiv.com/publications/forensic-aspects-of-microsoft-remote-access-vpn.html.
Importieren Sie das Velociraptor Artifact Exchange Paket oder importieren Sie Windows.EventLogs.RemoteAccessVPN.yaml aus diesem Repository.
Zusammenfassung des Artefakts
VPN-Client-Logs
VPN-Server-Logs
NPS-Server-Logs
Geben Sie in Ihren Chainsaw-CLI-Argumenten das Verzeichnis microsoft_rasvpn_events an, oder verwenden Sie die Regeln aus dem Chainsaw-Repository aus PR TODO.
Um die Daten zu exportieren, die von der Remote Access-Reporting-Funktion in der WID RaAcctDb gespeichert werden, müssen Sie:
pip install pyodbcpython csv_export_raacctdb.py <out_dir> (relative oder absolute Pfade werden akzeptiert)
2023 - Théo Letailleur, Synacktiv
Der Inhalt dieses Repositorys ist unter der AGPL Lizenz verfügbar.