LogonTracer

Concepto

LogonTracer v2 es una herramienta para investigar inicios de sesión maliciosos mediante la visualización y el análisis de registros de eventos de Windows Active Directory. Esta herramienta asocia un nombre de host (o una dirección IP) y un nombre de cuenta encontrados en eventos relacionados con el inicio de sesión y lo muestra como un gráfico. De esta manera, es posible ver en qué cuenta se produce un intento de inicio de sesión y qué host se utiliza.

Esta herramienta puede visualizar los siguientes ID de evento relacionados con el inicio de sesión en Windows.

Más detalles se describen en los siguientes documentos:

• Visualise Event Logs to Identify Compromised Accounts - LogonTracer -
• イベントログを可視化して不正使用されたアカウントを調査 (Japonés)

Novedades en la Versión 2.0

Análisis de Seguridad Impulsado por IA

LogonTracer v2.0 integra un motor de análisis de IA que utiliza modelos GPT de OpenAI para proporcionar detección inteligente de amenazas más allá de los enfoques tradicionales basados en reglas.

• Análisis de Patrones de Seguridad — Interpreta automáticamente los resultados de las consultas del gráfico y genera evaluaciones de riesgo con mapeo de tácticas MITRE ATT&CK
• Agente LLM Autónomo — Un agente de IA iterativo que genera y ejecuta consultas Cypher de forma autónoma contra el gráfico de Neo4j para descubrir amenazas sin intervención manual
• Reglas Sigma Generadas por IA — Convierte los hallazgos del análisis de IA en reglas de detección Sigma implementables
• Soporte Multilingüe — Las respuestas de IA se pueden generar en inglés, japonés o francés

Integración de Reglas Sigma

• Reglas Sigma Incluidas — Incluye el conjunto completo de reglas SigmaHQ para escanear archivos EVTX
• Escaneo Sigma al Subir — Opcionalmente, ejecuta el escaneo de reglas Sigma automáticamente durante la carga de archivos EVTX
• API de Reescaneo Sigma — Vuelve a escanear archivos EVTX subidos previamente con una carpeta de reglas Sigma específica a través de REST API
• Vista de Resultados Sigma — Página de interfaz de usuario dedicada que muestra los resultados de detección Sigma en una tabla interactiva

Análisis Adicional

LogonTracer utiliza PageRank, Modelo Oculto de Márkov y ChangeFinder para detectar hosts y cuentas maliciosos a partir de registros de eventos.

Con LogonTracer, también es posible mostrar los registros de eventos en orden cronológico.

Requisitos

• Python 3.9 o posterior (se recomienda 3.12)

• Neo4j 5.x (Community o Enterprise)

• Clave API de OpenAI (opcional — solo necesaria para las funciones de análisis de IA)

• Módulos de Python

numpy
evtx
lxml
scipy
changefinder
flask
hmmlearn>=0.2.8
scikit-learn
elasticsearch-dsl>=7.0.0,<8.0.0
pyyaml
flask-sqlalchemy
flask-login
flask_wtf
flask-limiter
wtforms
GitPython
pysigma>=0.11.0
pysigma-backend-sqlite
openai>=1.0.0
aiohttp
neo4j

Instalación

1. Clonar el repositorio

git clone https://github.com/JPCERTCC/LogonTracer.git
cd LogonTracer

2. Instalar dependencias

pip3 install -r requirements.txt

3. Iniciar Neo4j

Descargue e inicie Neo4j. Establezca la contraseña inicial y anote el puerto Bolt (por defecto: 7687).

4. Editar el archivo de configuración

vi config/config.yml

Configuraciones clave:

settings:
  logontracer:
    WEB_PORT: "8080"
    default_user: "neo4j"       # Nombre de usuario de Neo4j para la cuenta predeterminada de LogonTracer
    default_password: "password" # Cámbielo antes de la primera ejecución

  neo4j:
    NEO4J_USER: "neo4j"
    NEO4J_PASSWORD: "password"   # Su contraseña de Neo4j
    NEO4J_SERVER: "localhost"
    WS_PORT: "7687"

5. Iniciar la aplicación web

python3 logontracer.py --run

Abra su navegador en http://localhost:8080.

Uso

Importar registros de eventos

Importar archivo(s) EVTX

python3 logontracer.py -e <ruta/al/Security.evtx> -z <desplazamiento UTC> -s <servidor Neo4j> -u <usuario> -p <contraseña>

Importar archivo(s) XML

python3 logontracer.py -x <ruta/al/event.xml> -z <desplazamiento UTC> -s <servidor Neo4j> -u <usuario> -p <contraseña>

Importar desde Elasticsearch

python3 logontracer.py --es -s <servidor Neo4j> -u <usuario> -p <contraseña> --es-server <host:puerto de ES>

Importar con escaneo Sigma

Agregue la bandera --sigma para ejecutar la detección de reglas Sigma durante la importación:

python3 logontracer.py -e <ruta/al/Security.evtx> -z 9 -s localhost -u neo4j -p password --sigma

Agregar registros adicionales (sin eliminar datos existentes)

python3 logontracer.py -e <ruta/al/Security.evtx> -z 9 -s localhost -u neo4j -p password --add

Carga en la interfaz gráfica web

Después de iniciar la aplicación web, haga clic en Upload Event Log en la barra lateral izquierda. Puede:

• Seleccionar uno o más archivos EVTX o XML
• Elegir el desplazamiento UTC para la zona horaria de los registros
• Habilitar Add additional files para agregar datos sin borrar la base de datos
• Habilitar Run scan using Sigma rules para ejecutar la detección Sigma automáticamente después de la importación

Resultados del escaneo Sigma

Después de cargar con el escaneo Sigma habilitado, o después de activar un reescaneo a través de la API, haga clic en Sigma Scan Results en la barra lateral para ver los hallazgos.

Análisis de IA (v2.0)

Configuración

1. Vaya a Settings → AI Settings en la barra de navegación
2. Habilite el análisis de IA e introduzca su clave API de OpenAI
3. Seleccione el modelo GPT y el idioma de respuesta preferido

Uso del análisis de IA

• Haga clic en AI Analysis en la navegación superior para ejecutar el agente LLM autónomo
• El agente genera consultas Cypher de forma iterativa, las ejecuta contra la base de datos Neo4j e informa sobre las amenazas descubiertas
• Haga clic en AI History para ver el último resultado del análisis
• Desde el panel de resultados del análisis de IA, haga clic en Generate Sigma Rules para convertir los hallazgos en reglas de detección Sigma

Capturas de pantalla de la aplicación web

Inicio de sesión

Vista principal del gráfico

Modo oscuro

Línea de tiempo

Barra de navegación

Barra lateral

Panel de filtros

Gráfico de diferencias

Gestión de casos (Neo4j Enterprise)

Con la edición Enterprise de Neo4j, LogonTracer admite múltiples casos de investigación independientes, cada uno almacenado en una base de datos Neo4j separada.

• Add New Case — Crear una nueva base de datos para una nueva investigación
• Delete Case — Eliminar una base de datos de caso
• Add/Delete Access to Case — Conceder o revocar acceso por usuario a casos específicos
• Change Case — Cambiar el caso activo en la sesión actual

Docker

Usando Docker (contenedor único)

docker run \
  --detach \
  --publish=7474:7474 --publish=7687:7687 --publish=8080:8080 \
  -e LTHOSTNAME=<Dirección IP> \
  jpcertcc/docker-logontracer

Usando Docker Compose

cd docker-compose
docker compose build
docker compose up -d

Usando Docker Compose con HTTPS (nginx)

cd docker-compose-with-nginx
docker compose build
docker compose up -d

Usando Docker Compose con Elastic Stack

cd docker-compose-with-elasticstack
docker compose build
docker compose up -d

Opciones de línea de comandos

Demostración

El siguiente video de YouTube muestra cómo usar LogonTracer.

Documentación

Para más detalles, consulte la wiki de LogonTracer.

Licencia

LICENSE.txt