hexastrike/ivanti-connect-secure-logs-parserIvanti Secure Connect (ICS) のイベントログを調査するための Python スクリプトで、CVE-2025-0282、CVE-2023-46805、CVE-2024-21887 の脆弱性に関する調査を支援するように設計されています。
このリポジトリは、Ivanti Secure Connect の .vc0 ログファイルを、デジタルフォレンジックおよびインシデントレスポンスのために CSV 形式に変換する Python スクリプトを提供します。具体的には、このパーサーは以下のことを行います:
.vc0 ファイル）からタイムスタンプを抽出します。
このツールは、CVE-2025-0282（特定の Ivanti アプライアンスに影響する未認証のリモートコード実行（RCE）脆弱性）の調査中に開発されました。Mandiant などの報告によると、脅威アクターは活動を隠蔽するためにログエントリを削除または改ざんする可能性があります。これらの .vc0 ファイルを解析・分析することで、調査担当者は侵害の証拠、異常な削除、その他の不審な挙動をより簡単に発見できます。
Ivanti Secure Connect に関わる複数のインシデントレスポンス対応中、一部のアプライアンスではログが不完全または改ざんされていることが判明しました。CVE-2025-0282 の悪用が検出され、アプライアンスが再起動されるまで、エントリがまったく表示されないものもありました。さらに、通常は2時間ごとに実行される組み込みの整合性チェックが、攻撃者によって無効化または改ざんされている可能性があります。.vc0 ファイルをより使いやすい CSV 形式に変換することで、このツールは調査担当者が欠落したログエントリ、予期しない認証試行、データ操作の可能性のある兆候などの異常を特定するのに役立ちます。
PS F:\Case20250109001> python .\ics_logs_parser.py -h
usage: ics_logs_parser.py [-h] --input INPUT --output OUTPUT --mapfile MAPFILE
Process .vc0 files and convert them to .csv files.
options:
-h, --help show this help message and exit
--input INPUT Directory containing .vc0 files
--output OUTPUT Directory to save .csv files
--mapfile MAPFILE CSV file mapping [MessageCode, MessageType, Description]
python .\ics_logs_parser.py --input "F:\Case20250109001\root_runtime.img\[root]\runtime\logs" --output .\logs\ --map .\logmessages_map.csv
--input: Ivanti Secure Connect から抽出した .vc0 ログファイルを含むディレクトリ。--output: CSV が書き込まれるディレクトリ。--mapfile: 各メッセージコードをメッセージタイプと説明にマッピングする CSV ファイル。
logmessages_map.csv には、既知のメッセージコードと、それに対応するメッセージタイプおよび説明が格納されています。このリスト（公開されている Ivanti ドキュメントとコミュニティ調査から取得）は広範囲にわたりますが、存在するすべてのメッセージコードを含んでいるわけではありません。環境に合わせてマッピングを確認またはカスタマイズすることをお勧めします。元の参考文献については、「リソース」セクションを参照してください。
デフォルトでは、タイムスタンプは UTC に変換されます。ローカライズまたは異なる形式で表示する必要がある場合は、process_subline() 関数内の datetime.fromtimestamp(...) 呼び出しを変更できます。
ご質問、ご提案、またはサポートが必要な場合は、[email protected] までお気軽にお問い合わせください。