Microsoft リモート アクセス VPN フォレンジック分析

このリポジトリには、Microsoft リモート アクセス VPN に対して実施したフォレンジック分析に関連するリソースが含まれており、このブログ記事でも公開されています: https://www.synacktiv.com/publications/forensic-aspects-of-microsoft-remote-access-vpn.html。

• Velociraptor クライアント アーティファクト Windows.EventLogs.RemoteAccessVPN.yaml
• microsoft_rasvpn_events ディレクトリにある 7 つの chainsaw ルール
• また、VPN サーバー上で実行して RaAcctDb WID データベースを CSV ファイルにダンプできる Python スクリプト csv_export_raacctdb.py

Velociraptor アーティファクト

Velociraptor Artifact Exchange パックをインポートするか、このリポジトリから Windows.EventLogs.RemoteAccessVPN.yaml をインポートします。

• アーティファクトの概要

• VPN クライアント ログ

• VPN サーバー ログ

• NPS サーバー ログ

Chainsaw ルール

chainsaw CLI の引数で microsoft_rasvpn_events ディレクトリを指定するか、chainsaw リポジトリの PR TODO のルールを使用します。

RaAcctDb データベースをエクスポートする Python スクリプト

リモート アクセス報告機能によって WID RaAcctDb に保存されたデータをエクスポートするには、次の手順を実行します:

1. リモート アクセス VPN サーバーに Python3 をインストールします
2. pyodbc パッケージをインストールします: pip install pyodbc
3. ローカル ディレクトリに csv_export_raacctdb.py をコピーします
4. 出力ディレクトリを作成します
5. スクリプトを実行します: python csv_export_raacctdb.py <out_dir> (相対パスと絶対パスのどちらも指定できます)
6. テーブルごとに CSV ファイルが作成されます

著作権

2023 - Théo Letailleur, Synacktiv

ライセンス

このリポジトリの内容は AGPL ライセンス の下で利用可能です

連絡先

• Théo Letailleur: [email protected]
• CSIRT Synacktiv: [email protected]