Analisi forense di Microsoft Remote Access VPN

Questa repository contiene le risorse relative all'analisi forense condotta su Microsoft Remote Access VPN e disponibile in questo articolo del blog: https://www.synacktiv.com/publications/forensic-aspects-of-microsoft-remote-access-vpn.html.

• un artifact client per Velociraptor Windows.EventLogs.RemoteAccessVPN.yaml
• 7 regole chainsaw nella directory microsoft_rasvpn_events
• e uno script Python da eseguire sul server VPN che consente di esportare il database WID RaAcctDb in file CSV csv_export_raacctdb.py

Artifact Velociraptor

Importa il pacchetto Velociraptor Artifact Exchange oppure importa Windows.EventLogs.RemoteAccessVPN.yaml da questa repository.

• Riepilogo dell'artifact

• Log del client VPN

• Log del server VPN

• Log del server NPS

Regole Chainsaw

Specifica negli argomenti CLI di chainsaw la directory microsoft_rasvpn_events, oppure usa le regole della repository chainsaw dalla PR TODO.

Script Python per esportare il database RaAcctDb

Per esportare i dati memorizzati dalla funzionalità di reporting dell'accesso remoto nel database WID RaAcctDb, devi:

1. Installare Python3 nel server Remote Access VPN
2. Installare il pacchetto pyodbc: pip install pyodbc
3. Copiare csv_export_raacctdb.py in una directory locale
4. Creare una directory di output
5. Eseguire lo script: python csv_export_raacctdb.py <out_dir> (sono accettati percorsi relativi o assoluti)
6. Viene creato un file CSV per ogni tabella

Copyright

2023 - Théo Letailleur, Synacktiv

Licenza

I contenuti di questa repository sono disponibili sotto Licenza AGPL

Contatti

• Théo Letailleur: [email protected]
• CSIRT Synacktiv: [email protected]