Análisis forense de Microsoft Remote Access VPN

Este repositorio contiene recursos relacionados con el análisis forense realizado sobre Microsoft Remote Access VPN y disponibles en esta entrada de blog: https://www.synacktiv.com/publications/forensic-aspects-of-microsoft-remote-access-vpn.html.

• un artefacto de cliente de Velociraptor Windows.EventLogs.RemoteAccessVPN.yaml
• 7 reglas de Chainsaw en el directorio microsoft_rasvpn_events
• y un script de Python para ejecutar en el servidor VPN que permite volcar la base de datos WID RaAcctDb en archivos CSV csv_export_raacctdb.py

Artefacto de Velociraptor

Importa el paquete de Velociraptor Artifact Exchange o importa Windows.EventLogs.RemoteAccessVPN.yaml desde este repositorio.

• Resumen del artefacto

• Registros del cliente VPN

• Registros del servidor VPN

• Registros del servidor NPS

Reglas de Chainsaw

Especifica el directorio microsoft_rasvpn_events en los argumentos de la CLI de Chainsaw, o utiliza las reglas del repositorio de Chainsaw del PR TODO.

Script de Python para exportar la base de datos RaAcctDb

Para exportar los datos almacenados por la característica de informes de acceso remoto en el WID RaAcctDb, debes:

1. Instala Python3 en el servidor de Remote Access VPN
2. Instala el paquete pyodbc: pip install pyodbc
3. Copia csv_export_raacctdb.py en un directorio local
4. Crea un directorio de salida
5. Ejecuta el script: python csv_export_raacctdb.py <out_dir> (se aceptan rutas relativas o absolutas)
6. Se crea un archivo CSV para cada tabla

Derechos de autor

2023 - Théo Letailleur, Synacktiv

Licencia

El contenido de este repositorio está disponible bajo la Licencia AGPL

Contacto

• Théo Letailleur: [email protected]
• CSIRT Synacktiv: [email protected]