pathtofile/sealighterHerramienta de rastreo ETW y WPP para investigación de seguridad. Se suscribe a múltiples proveedores, analiza automáticamente eventos a JSON y soporta filtrado avanzado, almacenamiento en búfer y salida a stdout, archivo o Registro de Eventos de Windows para ingesta en SIEM.
Creé este proyecto para ayudar a los no desarrolladores a sumergirse en la investigación del Seguimiento de Eventos para Windows (ETW) y el Seguimiento del Preprocesador de Windows (WPP).
Sealighter aprovecha la biblioteca rica en funciones Krabs ETW para permitir un filtrado y triaje detallados de proveedores y eventos ETW y WPP.
Puede suscribirse y filtrar múltiples proveedores, incluyendo proveedores en modo de usuario, seguimiento del kernel y seguimiento WPP, y generar eventos como JSON ya sea en la salida estándar, en un archivo o en el Registro de Eventos de Windows (útil para trazas de alto volumen como FileIO). No es necesario conocer los eventos que el proveedor pueda producir, ni su formato; Sealighter captura y analiza automáticamente cualquier evento que se le solicite.
Los eventos se pueden analizar desde JSON en Python, PowerShell, o reenviarlos a Splunk o ELK para búsquedas adicionales.
El filtrado se puede realizar en varios aspectos de un evento, desde su ID o Opcode, hasta la coincidencia de un valor de propiedad, o realizar una búsqueda de cadena arbitraria en todo el evento (útil en trazas WPP o cuando no se conoce la estructura del evento, pero se tiene una idea de su contenido). También puede encadenar múltiples filtros juntos, o negar el filtro. También puede filtrar el máximo de eventos por ID, útil para investigar un nuevo proveedor sin verse inundado por eventos similares.
ETW es un sistema increíblemente útil tanto para equipos rojos como azules. Los equipos rojos pueden obtener información sobre el funcionamiento interno de los componentes de Windows, y los equipos azules pueden obtener información valiosa sobre actividad sospechosa.
Un ciclo de investigación común sería:
logman query providers o buscando trazas WPP en binarios.Hacer esto con eventos ETW puede ser difícil, sin escribir código para interactuar y analizar eventos desde la obtusa API de ETW. Si no es un programador fuerte (o no quiere lidiar con la API), sus únicas otras opciones son usar una combinación de herramientas de Windows integradas más antiguas para escribir en disco como archivos etl binarios, y luego lidiar con ellos. Las trazas WPP agravan los problemas, proporcionando casi ningún dato fácil de encontrar sobre proveedores y sus eventos.
Proyectos como JDU2600's Event List y ETWExplorer brindan cierta visión estática, pero los proveedores a menudo contienen nombres de eventos ofuscados como Event(1001), lo que significa que los datos más interesantes solo se vuelven visibles al ejecutar dinámicamente una traza y observar la salida.
En cierto modo, esto se mueve en un espacio similar al de FuzzySec SilkETW. Pero mientras que Silk está más preparado para producción y para defensores, esto está diseñado para investigadores como yo, y como tal contiene una serie de características que no pude obtener con Silk, principalmente debido a la diferente biblioteca que usaron para potenciar la herramienta. Consulte Aquí para más información.
Probablemente alguien que entienda los conceptos básicos de ETW y realmente quiera sumergirse en descubrir qué datos se pueden obtener de él, sin tener que escribir código o descubrir manualmente cómo obtener y analizar eventos.
Lea las siguientes páginas:
Instalación - Cómo empezar a ejecutar Sealighter, incluyendo una configuración simple y cómo configurar el registro de Eventos de Windows si es necesario.
Configuración - Cómo configurar Sealighter, incluyendo cómo especificar qué proveedores registrar y dónde registrar.
Filtrado - Inmersión profunda en todos los tipos de filtrado que proporciona Sealighter.
Almacenamiento en búfer - Cómo usar el almacenamiento en búfer para reportar muchos eventos similares como uno solo.
Análisis de datos - Cómo obtener y analizar datos de Sealighter.
Escenarios - Ejemplos de escenarios prácticos de cómo he usado Sealighter en mi investigación.
Limitaciones - Cosas que Sealighter no hace bien o no hace en absoluto.
El nombre es una contracción de Seafood Highlighter, que es como llamamos a la carne de cangrejo falsa en Oz. Como está construido sobre Krabs ETW, pensé que el nombre era divertido.
No dude en informar un problema, aunque como indico en los documentos de comparación soy solo una persona, y esta es una herramienta lista para investigación, no para producción.