iomoath/filewatchtowerFWT es una herramienta de análisis de seguridad y monitoreo de archivos que utiliza eventos de Sysmon.
NOTA: Este proyecto ya no se mantiene y ha sido publicado desde proyectos archivados como referencia. Está disponible para cualquier persona interesada en desarrollar software de análisis de archivos.
FWT es una herramienta de análisis de seguridad y monitoreo de archivos que utiliza eventos de Sysmon. Realiza un seguimiento de los archivos notificados por las fuentes de registro de eventos de Sysmon, lleva a cabo un análisis de seguridad en profundidad y luego genera informes en formato XML o JSON. Estos informes pueden enviarse a un archivo de registro, a una API externa o a los Eventos de Windows.
La motivación detrás de este proyecto es recopilar información adicional sobre archivos recién creados o modificados en un sistema, proporcionando así a los analistas de seguridad una visión más profunda y reduciendo el tiempo de análisis. Además, la información generada por FWT permite la creación de una amplia gama de nuevas reglas de detección SIEM.
NOTA: Asegúrese de ejecutar Visual Studio como Administrador.
<FileWatchTower schemaversion="1.0">
<HashAlgorithms>md5,sha256,imphash,ssdeep</HashAlgorithms>
<CheckRevocation>true</CheckRevocation>
<AnalyzeDiscImages>true</AnalyzeDiscImages>
<AnalyzeLnkFiles>true</AnalyzeLnkFiles>
<ExtractFileNtfsZoneIdentifierInformation>true</ExtractFileNtfsZoneIdentifierInformation>
<MaxTargetFileSize>33554432</MaxTargetFileSize>
<!-- Write events to Windows Event logs.-->
<WriteToWinEventLogs>true</WriteToWinEventLogs>
<!-- accepted values: 'json', 'xml' -->
<WinEventLogOutputFormat>xml</WinEventLogOutputFormat>
<!-- Write events to a file. Leave empty to disable file reporter -->
<LogDirectoryPath>C:\logs</LogDirectoryPath>
<!-- accepted values: 'xml', 'json'. -->
<LogFileOutputFormat>json</LogFileOutputFormat>
<!-- accepted values: 'json' -->
<ApiLogOutputFormat>json</ApiLogOutputFormat>
<!-- Leave empty to disable API reporter -->
<ApiLogEndpointUrl></ApiLogEndpointUrl>
<ApiExtraHeaders>
<ApiExtraHeader>Authorization: OAuth xxx</ApiExtraHeader>
<ApiExtraHeader>User-agent: curl</ApiExtraHeader>
</ApiExtraHeaders>
</FileWatchTower>
{
"EventId": 11,
"RuleName": "Downloads",
"UtcTime": "2024-07-09T06:58:53.102",
"CreationUtcTime": "2024-07-09T06:58:52.653",
"EventName": "FileCreate",
"ProcessId": "10768",
"Image": "C:\\Program Files\\Mozilla Firefox\\firefox.exe",
"TargetFilename": "C:\\Users\\user\\Downloads\\good.exe:Zone.Identifier",
"User": "example\\user",
"ComputerName": "WKSTN-A.example.local",
"Md5": "a673313aa0a8885e4b7b5ed36bc90cb0",
"Sha256": "59a3dc89b1e629fe2c423d34c00a56771eeae794bffb7cee7e1f62d042e283e9",
"Entropy": 4.83,
"HasExportTable": false,
"HasImportTable": false,
"IsExecutableImage": false,
"IsDotNet": false,
"IsSigned": false,
"IsTrustedAuthenticodeSignature": false,
"HasValidAuthenticodeCertChain": false,
"CertificateNotValidBefore": "0001-01-01T00:00:00",
"CertificateNotValidAfter": "0001-01-01T00:00:00",
"InterestingStrings": "Go Compiler"
}
{
"EventId": 11,
"RuleName": "Downloads",
"UtcTime": "2024-07-11T03:52:58.919",
"CreationUtcTime": "2024-07-11T03:52:58.919",
"EventName": "FileCreate",
"ProcessId": "7128",
"Image": "C:\\Windows\\Explorer.EXE",
"TargetFilename": "C:\\Users\\user\\Downloads\\pageant(2) - Copy.exe",
"User": "example\\user",
"ComputerName": "WKSTN-2.example.local",
"FileTimeDateStamp": "2024-04-06T12:49:38+03:00",
"Md5": "5ea699678f3f6d822276f84e16160a3d",
"Sha1": null,
"Sha256": "7addf7a1de108be44d4de20f7f6c35760087486eba44655d2e6b3b0dccffd519",
"ImpHash": "b8b6b1c2144f4f51c01ec39e077201b4",
"SsDeep": "24576:iGHy3QhuG8vaKIe0MStS/o6ui2O9iMMSJ:CAhn8SKIeVSc/zuiJiM9",
"TypeRefHash": null,
"Entropy": 7.41,
"ZoneIdentifier": "[ZoneTransfer] ZoneId=3; ReferrerUrl=https://www.chiark.greenend.org.uk/; HostUrl=https://the.earth.li/~sgtatham/putty/0.81/w32/pageant.exe[/ZoneTransfer]",
"PdbFileName": null,
"Machine": "I386",
"SubSystem": "WindowsGui",
"MetaDataHeaderSignature": null,
"HasExportTable": false,
"HasImportTable": true,
"Architecture": "32Bit",
"IsExecutableImage": true,
"IsDotNet": false,
"IsSigned": true,
"IsTrustedAuthenticodeSignature": false,
"HasValidAuthenticodeCertChain": false,
"SigningAuthenticodeCertificateIssuer": "CN=Sectigo Public Code Signing CA R36, O=Sectigo Limited, C=GB",
"CertificateSubject": "CN=Simon Tatham, O=Simon Tatham, S=Cambridgeshire, C=GB",
"InterestingStrings": "",
"CertificateNotValidBefore": "2021-11-06T03:00:00+03:00",
"CertificateNotValidAfter": "2024-11-06T02:59:59+03:00",
"IsoDisc": null,
"LnkFile": null
}
Este proyecto se desarrolla con fines de prueba e investigación y se proporciona "tal cual".