CVE-2020-1472 Lector de Eventos v1.1 8/27/2020

Este script hará lo siguiente:

1. Escanear los evtx del sistema en la carpeta de archivos de entrada en busca de los eventos 5827, 5828, 5829, 5830 y 5831, campos de datos exactos, exportar a 582#-*.CSV.

2. Llama a Excel para importar los 582#-.CSV resultantes, crear tablas dinámicas para escenarios comunes de análisis de RPC seguro. Eliminar los 582#-.CSV después.

Siéntase libre de modificarlo para ajustarlo a sus necesidades.

El script intenta hacer la mejor coincidencia posible para ayudar al administrador, siéntase libre de modificarlo.

El script requiere Excel 2013 o posterior.

Excel de 64 bits permitirá la creación de una importación de datos más grande a XLS.

Para usar el script:

1. Guarde el registro del sistema como system.evtx en un archivo.

2. Siga las indicaciones en pantalla para ingresar la ruta que contiene *.evtx y el xlsx final.

Más información https://support.microsoft.com/en-us/kb/4557222

Registro de cambios > 1.1

Cambiar Get-WinEvent por FilterXPath para una búsqueda más rápida

Añadido el parámetro de script LookbackDays para la revisión programada del progreso en el script

Añadido %GrandTotal en la tabla dinámica de Excel para ayudar a establecer prioridades.

Añadidos parámetros de script para habilitar/deshabilitar ColorScale y DataBar

Añadidos $mcLookbackDays, $mcScriptPrompts, $mcServerEvents y $mcEvtPath para el despliegue remoto y el envío de datos a un recurso compartido central.

Bloque de variables del script, modifíquelo según sus necesidades

$mcStartTime = '2020/05/10 06:06' # Marca de tiempo para comenzar a buscar 5827-5831, en la forma 'yyyy/MM/dd HH:mm', donde 1pm es 13, ejemplo: '2020/05/26 13:06' listará los eventos que comiencen el 2020/05/26 1:06 PM, úselo para medir el progreso. $mcLookbackDays = 0 # Cuando se establece en 0, el script usará $mcStartTime. Cuando se establece en un número positivo, el script comenzará a buscar eventos en los últimos x días. Por ejemplo: 1 buscará eventos en las últimas 24 horas. $mcScriptPrompts = $true # Valor predeterminado del script, $false para modo no interactivo, destinado a trabajos programados o clic derecho, ejecutar con Powershell. $mcCSVImport = $true # Establézcalo en $false para generar solo Evtx, destinado a guardar Evtx del servicio de eventos del servidor. $mcServerEvents = $false # Generar eventos relacionados del Servidor Local (LocalHost), destinado a generar EVTX y CSV más pequeños para procesamiento posterior (en otra máquina) en lugar de todo el EVTX (cuando se usa en combinación con $mcCSVImport) $mcEvtPath = "" # Ruta de informe predeterminada cuando $mcScriptPrompts=false, establezca "" para la ruta del script. #Parámetros relacionados con el rendimiento $mcMaxThreads = 4 # Máximo de subprocesos (trabajos) concurrentes de exportación de Evtx a CSV, un número alto podría alcanzar el cuello de botella de E/S de archivos ya que todos los archivos están en un solo directorio. $mcMaxExport = 1000 # 1000 eventos máximos para exportar por cada EVTX, modifíquelo si estamos obteniendo un error de memoria de Excel (o solo necesitamos los primeros pocos evt para muestras) $mcMaxImport = 1000 # 1000 eventos máximos para importar a Excel, ##NOTA##: Una vez alcanzado el máximo, Excel terminará el archivo de importación actual y detendrá las importaciones futuras, ya que la importación es de un solo subproceso, la importación puede tomar mucho tiempo si se establece en un número alto. $mcColorScale = $true # Establézcalo en false para deshabilitar la escala de color de la columna = acelerar la importación de Excel y reducir el requisito de memoria $mcDataBar = $true # Establézcalo en false para deshabilitar la barra de datos de la columna = acelerar la importación de Excel y reducir el requisito de memoria (Nota: DataBar es algo problemático en comparación con ColorScale en la importación, es mejor hacerlo manualmente después si es necesario.)

#--Configuración predeterminada para la recopilación remota de Evtx-------------------------------------------------------

$mcLookbackDays = 0

$mcEvtPath = ""

$mcScriptPrompts = $mcCSVImport = $false

$mcServerEvents = $true

#--Configuración predeterminada para la generación local de informes no interactivos.--------------------------------------

$mcLookbackDays = 0

$mcEvtPath = ""

$mcScriptPrompts = $mcServerEvents = $false

$mcCSVImport = $true