LogHound

Analizador EVTX de post-explotación para el mapeo de BloodHound

LogHound recopila y analiza los registros de eventos de seguridad de Windows (.evtx) para extraer eventos de autenticación, datos de sesión y metadatos de inicio de sesión para su ingesta en BloodHound y para una telemetría adversarial más profunda.

Razonamiento y Descripción General

LogHound se creó para resolver un problema específico de los Red Teams y los probadores de penetración de redes: cómo rastrear de manera eficiente los objetivos de movimiento lateral, descifrar las sesiones de usuario activas y establecer la propiedad definitiva de las máquinas sin quemar la seguridad operacional (OpSec).

Los archivos de registro de eventos (Security.evtx) en los Controladores de Dominio de Active Directory pueden ser bestias de varios gigabytes. Las técnicas tradicionales de carga suelen agotar la memoria del sistema o provocar fallos, dejando artefactos ruidosos. LogHound aborda este problema utilizando un paradigma de transmisión basado en fragmentos sobre el robusto framework Impacket.

Mapea las estructuras de la red, establece quién "posee" realmente una máquina en función de la frecuencia de inicio de sesión, calcula las horas de trabajo precisas para identificar operaciones fuera de horario (búho nocturno) e integra esta inteligencia de forma fluida en BloodHound CE (v5+).

Pasos de Instalación

LogHound depende de Python 3 e Impacket. Se recomienda encarecidamente utilizar un entorno virtual.

# 1. Clonar el repositorio
git clone https://github.com/LogHound/LogHound.git
cd LogHound

# 2. (Opcional pero recomendado) Crear un entorno virtual de Python
python3 -m venv venv
source venv/bin/activate

# 3. Instalar las dependencias necesarias
pip install -r requirements.txt

Descripción de los Parámetros de la CLI

La CLI de LogHound interactúa de forma idéntica a los módulos estándar de Impacket (como secretsdump.py), y requiere que especifiques un modo de operación explícito (--local o --remote).

python loghound.py [[domain/]username[:password]@]<targetName or address> [options]

Modos de Operación (Obligatorios)

• --local EVTX_FILE: Analiza un archivo .evtx que ya reside en tu máquina local.
• --remote: Descarga Security.evtx del sistema remoto objetivo usando las credenciales proporcionadas.

Autenticación y Conexiones

• -hashes LMHASH:NTHASH: Utiliza hashes NTLM para la autenticación Pass-The-Hash.
• -k: Utiliza autenticación Kerberos. Obtiene las credenciales de un archivo .ccache especificado por la variable de entorno KRB5CCNAME.
• -aesKey hex_key: Utiliza una clave AES específica (128 o 256 bits) para Kerberos.
• -no-pass: No solicitar una contraseña de forma interactiva.
• -keytab KEYTAB_FILE: Utiliza un archivo keytab de Kerberos para la autenticación.
• -dc-ip IP: Dirección IP explícita del controlador de dominio.
• -target-ip IP: Dirección IP explícita de la máquina objetivo (omite los fallos de resolución de nombres NetBIOS).

Formato de Salida

• -format {json,csv,md,all}: Determina el formato de salida basado en texto. Nota: Un informe HTML interactivo y los archivos JSON de BloodHound se generan siempre. El valor predeterminado es json.
• -outputfile BASENAME: Prefijo de nombre para los informes de salida generados en los subdirectorios.

Rendimiento

• -threads N: Número de hilos del analizador que se ejecutarán en paralelo (Predeterminado: 4).
• -chunk-size N: Número de registros de log por fragmento de análisis. Los valores más bajos reducen la sobrecarga de RAM; los valores más altos analizan ligeramente más rápido (Predeterminado: 1000).

Ejemplos

• Aristas de BloodHound.

• Informe HTML.

Arquitectura y Flujo de Datos

LogHound utiliza un pipeline analítico altamente desacoplado y eficiente en memoria:

1. Recopilación (core/collector.py): Se conecta al objetivo mediante SMB y luego ejecuta wevtutil epl Security a través de WMI para exportar el registro de eventos de seguridad a un archivo temporal en el objetivo. El archivo exportado se descarga después mediante SMB en loot/YYYY-MM-DD_<target>_Security.evtx para evitar sobrescrituras.
2. Parseo (core/parser.py): Un analizador de fragmentos con subprocesos procesa en streaming el binario .evtx sin procesar y emite continuamente los eventos analizados hacia un buffer temporal de líneas JSON (jsonl/loghound_dump.jsonl). Si se interrumpe, puede reanudar desde puntos de control precisos.
3. Análisis (core/analyzer.py): Itera línea por línea sobre el flujo .jsonl para mantener un bajo consumo de RAM. Calcula diccionarios de estado intermedios (seguimiento de sesiones, puntuación de propiedad, seguimiento de lógica).
4. Exportación (core/exporter.py y core/exporter_bloodhound.py): Vuelca dinámicamente el estado en RAM del análisis a los formatos de exportación finales y .

Para conocer la lógica arquitectónica profunda y los errores de ingesta ya tratados, consulta la documentación interna en ARCHITECTURE.md.

Descripción de Nodos, Atributos y Métricas

LogHound filtra de forma nativa seis IDs explícitos de Eventos de Seguridad de Windows: 4624, 4634, 4648, 4768, 4769, 4776.

Utilizando estos eventos, LogHound amplía BloodHound CE vinculando los siguientes atributos personalizados directamente a los nodos User generados a través del bloque Properties:

Arquitectura de Fusión de BloodHound CE

• SIDs de ObjectIdentifier: LogHound garantiza que los mapeos de ObjectIdentifier se alineen perfectamente con las ingestiones existentes de SharpHound. Los usuarios de dominio de AD reciben su SID nativo de Windows (S-1-5-21-...). Para evitar el desgarro de nodos de BloodHound, las cuentas de máquina locales mantienen con precisión el estándar de respaldo USER@HOSTNAME.
• Sesiones de Equipos: El computers.json generado utiliza la estructura de datos nativa exacta SessionAPIResult para dibujar aristas reales "HasSession" entre máquinas y usuarios.

Métricas de Usuario Personalizadas de LogHound

El motor de análisis calcula las horas operativas de trabajo basándose en los eventos de inicio/cierre de sesión rastreados, omitiendo anomalías (como sesiones que abarcan varios días).

Métricas de Propiedad de Máquinas

El análisis determina el propietario explícito de cualquier Workstation o dirección IP contando los inicios de sesión interactivos más frecuentes. Esto vincula un Owner primario al nodo de origen junto con un array de Other Users secundarios.

Aviso Legal

Este software se proporciona únicamente con fines educativos, de pruebas de penetración autorizadas e investigación forense. No lo utilices contra redes para las que no tengas permiso explícito para operar.

Licencia

Este proyecto está licenciado bajo la Apache License 2.0 - consulta el archivo LICENSE.

Agradecimientos

• Creado por https://github.com/Nelkmen
• Inspirado por https://github.com/specterops/bloodhound, https://github.com/fortra/impacket