Microsoft Remote Access VPN फोरेंसिक विश्लेषण

इस रिपॉजिटरी में Microsoft Remote Access VPN पर किए गए फोरेंसिक विश्लेषण से संबंधित संसाधन हैं जो इस ब्लॉग पोस्ट पर उपलब्ध हैं: https://www.synacktiv.com/publications/forensic-aspects-of-microsoft-remote-access-vpn.html.

• एक Velociraptor क्लाइंट आर्टिफैक्ट Windows.EventLogs.RemoteAccessVPN.yaml
• microsoft_rasvpn_events निर्देशिका में 7 chainsaw नियम
• और VPN सर्वर पर निष्पादित करने के लिए एक Python स्क्रिप्ट जो RaAcctDb WID डेटाबेस को CSV फ़ाइलों में डंप करने की अनुमति देती है csv_export_raacctdb.py

Velociraptor आर्टिफैक्ट

Velociraptor Artifact Exchange पैक आयात करें या इस रिपॉजिटरी से Windows.EventLogs.RemoteAccessVPN.yaml आयात करें।

• आर्टिफैक्ट का सारांश

• VPN क्लाइंट लॉग

• VPN सर्वर लॉग

• NPS सर्वर लॉग

Chainsaw नियम

अपने chainsaw cli तर्कों में microsoft_rasvpn_events निर्देशिका निर्दिष्ट करें, या chainsaw रिपॉजिटरी PR TODO से नियमों का उपयोग करें।

RaAcctDb डेटाबेस निर्यात करने के लिए Python स्क्रिप्ट

Remote access reporting सुविधा द्वारा WID RaAcctDb में संग्रहीत डेटा निर्यात करने के लिए, आपको:

1. Remote Access VPN सर्वर में Python3 स्थापित करना होगा
2. pyodbc पैकेज स्थापित करें: pip install pyodbc
3. csv_export_raacctdb.py को स्थानीय निर्देशिका में कॉपी करें
4. एक आउटपुट निर्देशिका बनाएँ
5. स्क्रिप्ट चलाएँ: python csv_export_raacctdb.py <out_dir> (सापेक्ष या पूर्ण पथ स्वीकार्य हैं)
6. प्रत्येक तालिका के लिए एक CSV फ़ाइल बनाई जाती है

कॉपीराइट

2023 - Théo Letailleur, Synacktiv

लाइसेंस

इस रिपॉजिटरी की सामग्री AGPL License के अंतर्गत उपलब्ध है

संपर्क

• Théo Letailleur: [email protected]
• CSIRT Synacktiv: [email protected]