APT-Hunter

APT-Hunter는 Windows 이벤트 로그를 위한 위협 사냥 도구로, 보라색 팀 마인드셋으로 제작되어 Windows 이벤트 로그의 바다 속에 숨겨진 APT 움직임을 탐지하여 의심스러운 활동을 발견하는 시간을 단축합니다. APT-Hunter는 사전 정의된 탐지 규칙을 사용하고 통계에 초점을 맞추어 이상 징후를 발견하며, 이는 침해 평가에 매우 효과적입니다. 출력 결과는 타임라인과 함께 생성되며 Excel, Timeline Explorer, Timesketch 등에서 직접 분석할 수 있습니다.

도구 및 사용 방법에 대한 전체 정보는 다음 문서에 있습니다 : introducing-apt-hunter-threat-hunting-tool-using-windows-event-log

새 릴리스 정보 : APT-HUNTER V3.0 : 멀티프로세싱과 새로운 멋진 기능으로 재구축됨

저자

Twitter : @ahmed_khlief

Linkedin : Ahmed Khlief

APT-Hunter 다운로드 :

컴파일된 바이너리가 포함된 APT-Hunter의 최신 안정 버전을 Releases 페이지에서 다운로드하십시오.

APT-Hunter 사용 방법

APT-Hunter는 python3로 구축되었으므로 도구를 사용하려면 필수 라이브러리를 설치해야 합니다.

python3 -m pip install -r requirements.txt

APT-Hunter는 사용하기 쉽습니다. -h 인수를 사용하여 도움말을 출력하면 필요한 옵션을 볼 수 있습니다.

python3 APT-Hunter.py -h

예제 :

EVTX 파일 분석: 로그가 포함된 디렉토리 또는 단일 파일을 제공할 수 있으며, APT Hunter는 로그 유형을 감지합니다.

python3 APT-Hunter.py -p /opt/wineventlogs/ -o Project1 -allreport

특정 타임라인에 초점을 맞추기 위해 시간 범위 추가:

python3 APT-Hunter.py -p /opt/wineventlogs/ -o Project1 -allreport -start 2022-04-03 -end 2022-04-05T20:56

문자열 또는 정규식을 사용한 헌팅:

python3 APT-Hunter.py -hunt "psexec" -p /opt/wineventlogs/ -o Project2

python3 APT-Hunter.py -huntfile "(psexec|psexesvc)" -p /opt/wineventlogs/ -o Project2

정규식 목록이 포함된 파일을 사용한 헌팅:

python3 APT-Hunter.py -huntfile "huntfile.txt)" -p /opt/wineventlogs/ -o Project2

Sigma 규칙을 사용한 헌팅:

python3 APT-Hunter.py -sigma -rules rules.json -p /opt/wineventlogs/ -o Project2

APT-Hunter용으로 변환된 최신 Sigma 규칙 가져오기 (출력은 Sigma 저장소 Sigma의 규칙을 포함하는 rules.json 파일이 됩니다):

Get_Latest_Sigma_Rules.sh

출력 샘플

: 이 CSV 파일을 timesketch에 업로드하면 공격의 전체 그림을 볼 수 있는 타임라인 분석이 가능합니다.

: 이 Excel 시트에는 APT-Hunter에 제공된 모든 Windows 로그에서 감지된 모든 이벤트가 포함됩니다.

: 파싱된 필드(날짜, 사용자, 소스 IP, 로그온 프로세스, 워크스테이션 이름, 로그온 유형, 장치 이름, 원본 로그)를 열로 포함한 모든 로그온 이벤트.

: 이벤트 로그에서 캡처된 모든 프로세스 실행.

: 이벤트(4663)에서 캡처된 모든 객체 액세스.

: 수집된 사용자와 SID 목록으로 조사에 도움.

: 이벤트 ID 빈도 분석 보고서.

크레딧 :

Sysmon 사용 사례에 대한 놀라운 기여에 대해 Joe Maccry에게 감사드립니다 (Joe가 100개 이상의 사용 사례를 추가했습니다).