hullabrian/eventhorizonETWテレメトリのカスタマイズ可能なセットを収集し、ユーザー定義の検出を生成するツール
EventHorizon は、セキュリティアナリストや研究者に Event Tracing for Windows (ETW) テレメトリを提供し、Sigma のようなルールと組み合わせることで堅牢なエンドポイント検出および対応機能を実現するツールです。ただし、EventHorizon は適切なソリューションの代替にはなりません。このプロジェクトの主な目的は、ETW テレメトリの収集とコードを記述せずに検出ルールを生成する際の使いやすさを実現することです。この使いやすさを高めるため、EventHorizon のセットアッププロセスは可能な限りシンプルに設計されており、.msi インストーラー (releases タブを参照) と基本的なインストール手順 (wiki を参照) が提供されています。
[!WARNING]
EventHorizon はテスト環境 (本番環境では使用しないでください) でのみ使用してください。インストールには特定の Windows セキュリティ機能を無効にする必要があり、EventHorizon が安全またはプロフェッショナルに作成されたソフトウェアであることは保証しません。
開始するには、EventHorizon Wiki にアクセスしてください。
EventHorizon を維持し続けることを約束できませんが、将来的には以下の追加・変更を行いたいと考えています。
EventHorizon は、ユーザーモードとカーネルモードの両方にまたがる複数のコンポーネントで構成されています。以下のセクションでは、各コンポーネントの詳細とその一般的な機能について説明します。
ユーザーモードに関しては、EventHorizon には EventHorizon という単一のサービスがあり、EventHorizon の他のさまざまなユーザーモードコンポーネントを統括します。ユーザーモード機能に関連するファイルは C:\Program Files\EventHorizon\ にありますが、インストール時にこのパスは変更される可能性があります。
EventHorizon のカーネルモードコンポーネントは、EventHorizonELAM という単一の Early Launch Antimalware (ELAM) ドライバーで構成され、C:\Windows\System32\drivers\ に配置されています。
EventHorizon はシステムへのオーバーヘッドを可能な限り抑えるようにも設計されています。アイドル時には通常 2MB 強の RAM しか使用しません。ただし、受信するテレメトリが多く、読み込まれるルールが多いほど、処理能力と RAM の使用量が増加します。イベント量の多いプロバイダーを使用すると、リソース消費が急速に増加する可能性があります。
EventHorizon Orchestration (EventHorizon.exe): EventHorizon の機能に関連するユーザーモードコンポーネントを統括します。サービスが起動すると、テレメトリ実行ファイルと検出エンジンを PPL アンチマルウェア保護付きで起動し、何らかの理由で終了した場合にそれらを監視します。また、アンインストール要求も処理します。
EventHorizon Telemetry (EventHorizonTelemetry.exe): ETW 設定を読み取り、関連プロバイダーにサブスクライブし、受信イベントをフィルタリングし、キューを使用して名前付きパイプ経由で検出エンジンに送信します。
EventHorizon Detection Engine (EventHorizonDetectionEngine.exe): ルールを読み込み、テレメトリ実行ファイルからテレメトリを受信し、ルールがトリガーされた場合に Windows イベントビューアーで検出を生成します。
Windows イベントビューアーの Applications and Services Logs > EventHorizon には、EventHorizon が使用する 3 つの異なるチャネルがあります。
チャネル名に関連するイベントがそこに配置されます。特定のイベントの詳細については、Wiki を参照してください。
前述のとおり、EventHorizon のカーネルモードコンポーネントは、EventHorizonELAM という単一の Early Launch Antimalware (ELAM) ドライバーで構成され、C:\Windows\System32\drivers\ に配置されています。この ELAM ドライバーにより、EventHorizon のユーザーモードコンポーネントは PPL アンチマルウェア保護を獲得できます。さらに、このドライバーは IOCTL を介してユーザーモードコンポーネントからの要求に応答し、以下の処理を実行します。
EventHorizon はいくつかのライブラリに依存しています。
以下は開発中に使用したリソースのリストですが、まずは直接貢献してくださった数名の方々に感謝申し上げます。最初に、プロジェクトの全体的な構造と機能への初期貢献に対して Jacob Acuna 氏に感謝します。また、貴重な洞察を提供してくださった Eric Esquivel 氏、Julian Peña 氏、Kyle Avery 氏にも感謝します。
