CVE-2020-1472 Lettore eventi v1.1 8/27/2020

Questo script:

1. Analizza i file evtx di sistema nella cartella di input per gli eventi 5827, 5828, 5829, 5830 e 5831, campi dati esatti, esporta in 582#-*.CSV.

2. Chiama Excel per importare i 582#-.CSV risultanti, crea tabelle pivot per scenari comuni di analisi RPC sicura. Elimina i 582#-.CSV in seguito.

Sentiti libero di modificarlo in base alle tue esigenze.

Lo script cerca di fare del suo meglio per aiutare l'amministratore, sentiti libero di modificarlo.

Lo script richiede Excel 2013 o versione successiva.

Excel a 64 bit consente di creare importazioni di dati più grandi in XLS.

Per usare lo script:

1. Salva il log di sistema come file system.evtx.

2. Segui le istruzioni a schermo per inserire il percorso contenente *.evtx e il file xlsx finale.

Ulteriori informazioni https://support.microsoft.com/en-us/kb/4557222

Changelog > 1.1

Passa da Get-WinEvent a FilterXPath per una ricerca più veloce.

Aggiunta opzione di script per LookbackDays per la revisione pianificata dello stato di avanzamento nello script.

Aggiunto %GrandTotal nella tabella pivot di Excel per aiutare a impostare le priorità.

Aggiunte opzioni di script per abilitare/disabilitare ColorScale e DataBar.

Aggiunti $mcLookbackDays, $mcScriptPrompts, $mcServerEvents e $mcEvtPath per la distribuzione remota e l'invio dei dati alla condivisione centrale.

Blocco delle variabili dello script, modificalo in base alle tue esigenze

$mcStartTime = '2020/05/10 06:06' # Timestamp da cui iniziare la ricerca di 5827-5831, nel formato 'yyyy/MM/dd HH:mm', dove le 13:00 è 13, esempio: '2020/05/26 13:06' elencherà gli eventi a partire dalle 13:06 del 26/05/2020, usalo per misurare l'avanzamento. $mcLookbackDays = 0 # Se impostato a 0, lo script userà $mcStartTime. Se impostato a un numero positivo, lo script cercherà gli eventi negli ultimi x giorni. Ad esempio: 1 cercherà gli eventi nelle ultime 24 ore. $mcScriptPrompts = $true # Valore predefinito dello script, $false per la modalità non interattiva, pensata per processi pianificati o clic destro, esegui con PowerShell. $mcCSVImport = $true # Impostare a $false per generare solo Evtx, pensato per salvare gli Evtx dal servizio eventi del server. $mcServerEvents = $false # Genera gli eventi correlati dal server locale (LocalHost), pensato per generare EVTX e CSV più piccoli per un'elaborazione successiva (su un'altra macchina) invece dell'intero EVTX (se usato in combinazione con $mcCSVImport). $mcEvtPath = "" # Percorso di report predefinito quando $mcScriptPrompts=false, impostare a "" per il percorso dello script. #Opzioni relative alle prestazioni $mcMaxThreads = 4 # Numero massimo di thread (processi) di esportazione Evtx in CSV in parallelo, un numero elevato potrebbe causare un collo di bottiglia su File/IO poiché tutti i file sono nella stessa directory. $mcMaxExport = 1000 # 1000 eventi massimi da esportare per ogni EVTX, modifica questo valore se si verifica un errore di memoria di Excel (o se servono solo i primi evt come campioni). $mcMaxImport = 1000 # 1000 eventi massimi da importare in Excel, ##NOTA##: una volta raggiunto il limite, Excel completerà il file di importazione corrente e interromperà le importazioni successive, poiché l'importazione è a thread singolo, potrebbe richiedere molto tempo se impostato su un numero elevato. $mcColorScale = $true # Impostare a $false per disabilitare ColorScale della colonna = velocizza l'importazione in Excel e riduce il fabbisogno di memoria. $mcDataBar = $true # Impostare a $false per disabilitare DataBar della colonna = velocizza l'importazione in Excel e riduce il fabbisogno di memoria (Nota: DataBar è un po' instabile rispetto a ColorScale durante l'importazione, meglio farlo manualmente in seguito se necessario.)

#--Impostazioni predefinite per la raccolta Evtx remota-------------------------------------------------------

$mcLookbackDays = 0

$mcEvtPath = ""

$mcScriptPrompts = $mcCSVImport = $false

$mcServerEvents = $true

#--Impostazioni predefinite per la generazione di report locale non interattiva.--------------------------------------

$mcLookbackDays = 0

$mcEvtPath = ""

$mcScriptPrompts = $mcServerEvents = $false

$mcCSVImport = $true