LogonTracer

अवधारणा

LogonTracer v2 विंडोज एक्टिव डायरेक्टरी ईवेंट लॉग को विज़ुअलाइज़ और विश्लेषण करके दुर्भावनापूर्ण लॉगऑन की जांच करने का एक उपकरण है। यह उपकरण लॉगऑन-संबंधित ईवेंट में पाए गए होस्ट नाम (या IP पता) और खाता नाम को जोड़ता है और इसे ग्राफ के रूप में प्रदर्शित करता है। इस तरह, यह देखना संभव है कि किस खाते में लॉगिन प्रयास होता है और किस होस्ट का उपयोग किया जाता है।

यह उपकरण विंडोज लॉगऑन से संबंधित निम्नलिखित ईवेंट आईडी को विज़ुअलाइज़ कर सकता है।

ईवेंट आईडी	विवरण
4624	सफल लॉगऑन
4625	लॉगऑन विफलता
4662	किसी ऑब्जेक्ट पर कोई कार्रवाई की गई
4672	विशेष विशेषाधिकार सौंपें
4719	सिस्टम ऑडिट नीति बदली गई
4720	एक उपयोगकर्ता खाता बनाया गया
4726	एक उपयोगकर्ता खाता हटाया गया
4728 / 4732 / 4756	सुरक्षा-सक्षम समूह में एक सदस्य जोड़ा गया
4729 / 4733 / 4757	सुरक्षा-सक्षम समूह से एक सदस्य हटाया गया
4768	केरबेरोस प्रमाणीकरण (TGT अनुरोध)
4769	केरबेरोस सेवा टिकट (ST अनुरोध)
4776	NTLM प्रमाणीकरण
5137	एक निर्देशिका सेवा ऑब्जेक्ट बनाया गया
5141	एक निर्देशिका सेवा ऑब्जेक्ट हटाया गया

अधिक विवरण निम्नलिखित दस्तावेज़ों में वर्णित हैं:

• Visualise Event Logs to Identify Compromised Accounts - LogonTracer -
• イベントログを可視化して不正使用されたアカウントを調査 (जापानी)

---

संस्करण 2.0 में नया क्या है

AI-आधारित सुरक्षा विश्लेषण

LogonTracer v2.0 OpenAI GPT मॉडल का उपयोग करके एक AI विश्लेषण इंजन को एकीकृत करता है जो पारंपरिक नियम-आधारित दृष्टिकोणों से परे बुद्धिमान खतरे का पता लगाने में सक्षम बनाता है।

• सुरक्षा पैटर्न विश्लेषण — ग्राफ क्वेरी परिणामों की स्वचालित रूप से व्याख्या करता है और MITRE ATT&CK रणनीति मैपिंग के साथ जोखिम मूल्यांकन उत्पन्न करता है
• स्वायत्त LLM एजेंट — एक पुनरावृत्त AI एजेंट जो स्वायत्त रूप से Neo4j ग्राफ के विरुद्ध Cypher क्वेरी उत्पन्न और निष्पादित करता है ताकि मैन्युअल हस्तक्षेप के बिना खतरों का पता लगाया जा सके
• AI-जनरेटेड Sigma नियम — AI विश्लेषण निष्कर्षों को तैनात करने योग्य Sigma डिटेक्शन नियमों में परिवर्तित करता है
• बहुभाषी समर्थन — AI प्रतिक्रियाएँ अंग्रेज़ी, जापानी या फ्रेंच में उत्पन्न की जा सकती हैं

Sigma नियम एकीकरण

• बंडल किए गए Sigma नियम — EVTX फ़ाइलों को स्कैन करने के लिए पूर्ण SigmaHQ नियम सेट शामिल है
• अपलोड पर Sigma स्कैन — EVTX फ़ाइल अपलोड के दौरान वैकल्पिक रूप से Sigma नियम स्कैनिंग स्वचालित रूप से चलाएं
• Sigma रिस्कैन API — REST API के माध्यम से किसी विशिष्ट Sigma नियम फ़ोल्डर के साथ पहले अपलोड किए गए EVTX फ़ाइलों को पुनः स्कैन करें
• Sigma परिणाम दृश्य — इंटरैक्टिव तालिका में Sigma डिटेक्शन परिणाम प्रदर्शित करने वाला समर्पित UI पृष्ठ

---

अतिरिक्त विश्लेषण

LogonTracer ईवेंट लॉग से दुर्भावनापूर्ण होस्ट और खातों का पता लगाने के लिए PageRank, Hidden Markov Model, और ChangeFinder का उपयोग करता है।

LogonTracer के साथ, ईवेंट लॉग को कालानुक्रमिक क्रम में प्रदर्शित करना भी संभव है।

---

आवश्यकताएँ

• Python 3.9 या बाद का संस्करण (3.12 अनुशंसित)

• Neo4j 5.x (सामुदायिक या एंटरप्राइज़)

• OpenAI API कुंजी (वैकल्पिक — केवल AI विश्लेषण सुविधाओं के लिए आवश्यक)

• Python मॉड्यूल

numpy
evtx
lxml
scipy
changefinder
flask
hmmlearn>=0.2.8
scikit-learn
elasticsearch-dsl>=7.0.0,<8.0.0
pyyaml
flask-sqlalchemy
flask-login
flask_wtf
flask-limiter
wtforms
GitPython
pysigma>=0.11.0
pysigma-backend-sqlite
openai>=1.0.0
aiohttp
neo4j

---

स्थापना

1. रिपॉजिटरी क्लोन करें

git clone https://github.com/JPCERTCC/LogonTracer.git
cd LogonTracer

2. निर्भरताएँ स्थापित करें

pip3 install -r requirements.txt

3. Neo4j प्रारंभ करें

Neo4j डाउनलोड करें और प्रारंभ करें। प्रारंभिक पासवर्ड सेट करें और Bolt पोर्ट (डिफ़ॉल्ट: 7687) नोट करें।

4. कॉन्फ़िगरेशन फ़ाइल संपादित करें

vi config/config.yml

मुख्य सेटिंग्स:

settings:
  logontracer:
    WEB_PORT: "8080"
    default_user: "neo4j"       # डिफ़ॉल्ट LogonTracer खाते के लिए Neo4j उपयोगकर्ता नाम
    default_password: "password" # पहले रन से पहले इसे बदलें

  neo4j:
    NEO4J_USER: "neo4j"
    NEO4J_PASSWORD: "password"   # आपका Neo4j पासवर्ड
    NEO4J_SERVER: "localhost"
    WS_PORT: "7687"

5. वेब एप्लिकेशन प्रारंभ करें

python3 logontracer.py --run

अपना ब्राउज़र http://localhost:8080 पर खोलें।

---

उपयोग

ईवेंट लॉग आयात करना

EVTX फ़ाइल(एँ) आयात करें

python3 logontracer.py -e <path/to/Security.evtx> -z <UTC ऑफ़सेट> -s <Neo4j सर्वर> -u <उपयोगकर्ता> -p <पासवर्ड>

XML फ़ाइल(एँ) आयात करें

python3 logontracer.py -x <path/to/event.xml> -z <UTC ऑफ़सेट> -s <Neo4j सर्वर> -u <उपयोगकर्ता> -p <पासवर्ड>

Elasticsearch से आयात करें

python3 logontracer.py --es -s <Neo4j सर्वर> -u <उपयोगकर्ता> -p <पासवर्ड> --es-server <ES होस्ट:पोर्ट>

Sigma स्कैनिंग के साथ आयात करें

आयात के दौरान Sigma नियम डिटेक्शन चलाने के लिए --sigma फ़्लैग जोड़ें:

python3 logontracer.py -e <path/to/Security.evtx> -z 9 -s localhost -u neo4j -p password --sigma

अतिरिक्त लॉग जोड़ें (मौजूदा डेटा हटाए बिना)

python3 logontracer.py -e <path/to/Security.evtx> -z 9 -s localhost -u neo4j -p password --add

वेब GUI अपलोड

वेब एप्लिकेशन प्रारंभ करने के बाद, बाएं साइडबार में Upload Event Log पर क्लिक करें। आप यह कर सकते हैं:

• एक या अधिक EVTX या XML फ़ाइलें चुनें
• लॉग टाइमज़ोन के लिए UTC ऑफ़सेट चुनें
• डेटाबेस साफ़ किए बिना डेटा जोड़ने के लिए Add additional files सक्षम करें
• आयात के बाद स्वचालित रूप से Sigma डिटेक्शन चलाने के लिए Run scan using Sigma rules सक्षम करें

Sigma स्कैन परिणाम

Sigma स्कैनिंग सक्षम करके अपलोड करने के बाद, या API के माध्यम से पुनर्स्कैन ट्रिगर करने के बाद, परिणाम देखने के लिए साइडबार में Sigma Scan Results पर क्लिक करें।

AI विश्लेषण (v2.0)

सेटअप

1. नेविगेशन बार में Settings → AI Settings पर जाएं
2. AI विश्लेषण सक्षम करें और अपनी OpenAI API कुंजी दर्ज करें
3. GPT मॉडल और पसंदीदा प्रतिक्रिया भाषा चुनें

AI विश्लेषण का उपयोग करना

• स्वायत्त LLM एजेंट चलाने के लिए शीर्ष नेविगेशन में AI Analysis पर क्लिक करें
• एजेंट पुनरावृत्त रूप से Cypher क्वेरी उत्पन्न करता है, उन्हें Neo4j डेटाबेस के विरुद्ध निष्पादित करता है, और खोजे गए खतरों की रिपोर्ट करता है
• अंतिम विश्लेषण परिणाम देखने के लिए AI History पर क्लिक करें
• AI विश्लेषण परिणाम पैनल से, निष्कर्षों को Sigma डिटेक्शन नियमों में बदलने के लिए Generate Sigma Rules पर क्लिक करें

---

वेब एप्लिकेशन स्क्रीनशॉट

लॉगिन