Citrix分析ノートブック
CVE-2019-19781 を介して侵害された Citrix Netscaler ホストに関連するフォレンジック分析の一部を自動化するための Jupyter ノートブック。
調査するためのアーティファクトの取得については、この Citrix トリアージスクリプト を参照してください。
ご意見/ご提案は歓迎します。プルリクエストや issue を送信してください。
免責事項：これは完全なソリューションを意図したものではなく、始めるための助けとして提供されています。
特徴
- 現在、以下のログとペイロード XML（利用可能な場合）を処理します：
- HTTPAccess
- HTTPError
- Cron
- Bash
- Notice
- Sh
- ログの解凍
- 必要に応じて、ログをパンダデータフレームに解析し、さらなる分析が可能
- 侵害に関連する一般的な IOC をログから検索
- XMLペイロードファイルの解析とデコード（利用可能な場合）
- 分析結果をExcelシートに出力してレビュー
参考リソース
変更履歴
v 1.0
- httperror ログ解析を追加
- Notice 分析では、sh 分析と同じ条件を検索するようになりました（sh は Notice に含まれているため、同じ結果を得るために両方で同じ条件を検索する必要があります）
- データフレームが空の場合、結果シートにエクスポートされなくなりました。代わりに、ノートブックの Excel 書き込みセルに、どのデータフレームが空であるかを示すログメッセージが表示されます。
v 0.9
- 上記の各ログがカバーする開始日と終了日の取得を追加
- 'username' キーを組み込むために XML 解析コードを若干リファクタリングし、/xml/bookmarks から取得した XML の解析を可能に
v 0.8
- すべてのログ解析に 'latin1' エンコーディングを追加（UTF-8 でないログがあり解析エラーが発生する場合に対応）
- searchFor を searchFor と shSearchFor に分割。sh ログには他のログには現れない異なる検索条件があるため
v 0.7
- ペイロードデコード（chr() および base64）を追加 + すべてのペイロードを 'decodedpayloads' 列に集約
v 0.6
- sh ログ解析を追加
- すべてのログで検索される不審なアクティビティの検索用語を保持する共通の 'searchFor' 変数を config に追加
v 0.5
- ほとんどの notice ログの解析を追加（例外についてはエラーを参照）
- 例外は現在：sslvpn_aaad_login_handler および Session setup data send ログですが、エラー経由で出力されるため、引き続き検査できます。
v 0.4
l4r1k/citrixnetscaleranalysis
