synacktiv/forensic-msvpnCe dépôt contient l'artefact Velociraptor et les règles Chainsaw pour aider à détecter l'activité du VPN Microsoft Remote Access.
Ce dépôt contient des ressources liées à l'analyse forensique effectuée sur le VPN Microsoft Remote Access et disponibles dans cet article de blog : https://www.synacktiv.com/publications/forensic-aspects-of-microsoft-remote-access-vpn.html.
Importez le pack Velociraptor Artifact Exchange ou importez Windows.EventLogs.RemoteAccessVPN.yaml depuis ce dépôt.
Résumé de l'artefact
Journaux du client VPN
Journaux du serveur VPN
Journaux du serveur NPS
Spécifiez le répertoire microsoft_rasvpn_events dans les arguments CLI de chainsaw, ou utilisez les règles du dépôt chainsaw issues de la PR TODO.
Pour exporter les données stockées par la fonctionnalité Remote Access Reporting dans la base WID RaAcctDb, vous devez :
pip install pyodbcpython csv_export_raacctdb.py <out_dir> (les chemins relatifs ou absolus sont acceptés)
2023 - Théo Letailleur, Synacktiv
Le contenu de ce dépôt est disponible sous licence AGPL