epagneul

epagneul

デプロイ

Dockerとdocker-composeがインストールされている必要があります。

インストール

make

オフラインデプロイ

インターネットに接続されたマシンで、オフラインリリースをビルドします：

make release

これにより、すぐに使用できるDockerイメージを含むreleaseフォルダが作成されます。 プロジェクトをエアギャップマシンにコピーし、次のコマンドを実行します：

make load
make

これにより、以下がインストールされます：

• epagneul web UI（ポート8080）
• epagneul バックエンド（ポート8000）
• neo4j（ポート7474）

ユーティリティツール：Epagneulへのファイルまたはフォルダのアップロード

このプロジェクトには、分析のためにEVTXまたはJSONLファイルをEpagneulにアップロードするPythonユーティリティが含まれています。

機能

• Epagneulバックエンドに自動的にフォルダを作成します。
• EVTXまたはJSONLファイルを検証してアップロードします。
• 単一ファイルまたはフォルダのアップロードをサポートします。

使用方法

ツールを使用するには、次のコマンドを実行します：

python upload.py --input-path <path_to_file_or_folder> --folder-name <folder_name> --console-url <console_url> [--console-port <port>]

引数

• --input-path: EVTXまたはJSONLファイルを含むファイルまたはフォルダへのパス。
• --folder-name: Epagneulに作成するフォルダの名前。
• --console-url: EpagneulバックエンドのベースURL（例：http://127.0.0.1）。
• --console-port: Epagneulバックエンドのポート（デフォルト：6327）。

やること

• より良いSID相関
• エッジのヒントを追加
• ラベル伝播アルゴリズム
• PageRank
• 不足しているイベントIDを追加（sysmon）
• 既知のSID/セキュリティプリンシパルの適切な変換...
• 隠れマルコフ連鎖
• ログオンのタイムライン表示（少なくともサマリーグラフ）
• チェックアウト：https://github.com/ahmedkhlief/APT-Hunter
• ELK/Splunkからデータをインポート
• ルーバン法を使用したコミュニティ検出
• フィルター3,4648,4624,4625,4672,4768,4769,4771,4776,4728,4732,4756を使用したevtxフィルタリング方法の文書化

既知のバグ

• エッジのcount値が選択されたタイムラインに基づいて更新されない

参考文献

• https://adsecurity.org/wp-content/uploads/2017/04/2017-BSidesCharm-DetectingtheElusive-ActiveDirectoryThreatHunting-Final.pdf
• https://github.com/JPCERTCC/LogonTracer

使用技術

• Vue.js - 使用したWebフレームワーク
• Cytoscape.js - グラフの可視化と分析に使用するライブラリ
• d3 - タイムラインの表示に使用
• neo4j - バックエンドデータベース
• evtx - Windows XML EventLog形式のパーサー

著者

• jurelou - 初期作業 - jurelou