iomoath/filewatchtowerFWT는 Sysmon 이벤트를 활용하는 보안 분석 및 파일 모니터링 도구입니다.
참고: 이 프로젝트는 더 이상 유지 관리되지 않으며 참고용으로 보관된 프로젝트에서 게시되었습니다. 파일 분석 소프트웨어 개발에 관심 있는 분이라면 누구나 사용할 수 있습니다.
FWT는 Sysmon 이벤트를 활용하는 보안 분석 및 파일 모니터링 도구입니다. Sysmon 이벤트 로그 소스에서 보고된 파일을 추적하고, 심층적인 보안 분석을 수행한 후 XML 또는 JSON 형식의 보고서를 생성합니다. 이 보고서는 로그 파일, 외부 API 또는 Windows 이벤트로 전송될 수 있습니다.
이 프로젝트의 동기는 시스템에서 새로 생성되거나 수정된 파일에 대한 추가 정보를 수집하여 보안 분석가에게 더 깊은 통찰력을 제공하고 분석 시간을 단축하는 것입니다. 또한 FWT가 생성하는 정보를 통해 광범위한 새로운 SIEM 탐지 규칙을 만들 수 있습니다.
참고: Visual Studio를 관리자 권한으로 실행해야 합니다.
<FileWatchTower schemaversion="1.0">
<HashAlgorithms>md5,sha256,imphash,ssdeep</HashAlgorithms>
<CheckRevocation>true</CheckRevocation>
<AnalyzeDiscImages>true</AnalyzeDiscImages>
<AnalyzeLnkFiles>true</AnalyzeLnkFiles>
<ExtractFileNtfsZoneIdentifierInformation>true</ExtractFileNtfsZoneIdentifierInformation>
<MaxTargetFileSize>33554432</MaxTargetFileSize>
<!-- Write events to Windows Event logs.-->
<WriteToWinEventLogs>true</WriteToWinEventLogs>
<!-- accepted values: 'json', 'xml' -->
<WinEventLogOutputFormat>xml</WinEventLogOutputFormat>
<!-- Write events to a file. Leave empty to disable file reporter -->
<LogDirectoryPath>C:\logs</LogDirectoryPath>
<!-- accepted values: 'xml', 'json'. -->
<LogFileOutputFormat>json</LogFileOutputFormat>
<!-- accepted values: 'json' -->
<ApiLogOutputFormat>json</ApiLogOutputFormat>
<!-- Leave empty to disable API reporter -->
<ApiLogEndpointUrl></ApiLogEndpointUrl>
<ApiExtraHeaders>
<ApiExtraHeader>Authorization: OAuth xxx</ApiExtraHeader>
<ApiExtraHeader>User-agent: curl</ApiExtraHeader>
</ApiExtraHeaders>
</FileWatchTower>
{
"EventId": 11,
"RuleName": "Downloads",
"UtcTime": "2024-07-09T06:58:53.102",
"CreationUtcTime": "2024-07-09T06:58:52.653",
"EventName": "FileCreate",
"ProcessId": "10768",
"Image": "C:\\Program Files\\Mozilla Firefox\\firefox.exe",
"TargetFilename": "C:\\Users\\user\\Downloads\\good.exe:Zone.Identifier",
"User": "example\\user",
"ComputerName": "WKSTN-A.example.local",
"Md5": "a673313aa0a8885e4b7b5ed36bc90cb0",
"Sha256": "59a3dc89b1e629fe2c423d34c00a56771eeae794bffb7cee7e1f62d042e283e9",
"Entropy": 4.83,
"HasExportTable": false,
"HasImportTable": false,
"IsExecutableImage": false,
"IsDotNet": false,
"IsSigned": false,
"IsTrustedAuthenticodeSignature": false,
"HasValidAuthenticodeCertChain": false,
"CertificateNotValidBefore": "0001-01-01T00:00:00",
"CertificateNotValidAfter": "0001-01-01T00:00:00",
"InterestingStrings": "Go Compiler"
}
{
"EventId": 11,
"RuleName": "Downloads",
"UtcTime": "2024-07-11T03:52:58.919",
"CreationUtcTime": "2024-07-11T03:52:58.919",
"EventName": "FileCreate",
"ProcessId": "7128",
"Image": "C:\\Windows\\Explorer.EXE",
"TargetFilename": "C:\\Users\\user\\Downloads\\pageant(2) - Copy.exe",
"User": "example\\user",
"ComputerName": "WKSTN-2.example.local",
"FileTimeDateStamp": "2024-04-06T12:49:38+03:00",
"Md5": "5ea699678f3f6d822276f84e16160a3d",
"Sha1": null,
"Sha256": "7addf7a1de108be44d4de20f7f6c35760087486eba44655d2e6b3b0dccffd519",
"ImpHash": "b8b6b1c2144f4f51c01ec39e077201b4",
"SsDeep": "24576:iGHy3QhuG8vaKIe0MStS/o6ui2O9iMMSJ:CAhn8SKIeVSc/zuiJiM9",
"TypeRefHash": null,
"Entropy": 7.41,
"ZoneIdentifier": "[ZoneTransfer] ZoneId=3; ReferrerUrl=https://www.chiark.greenend.org.uk/; HostUrl=https://the.earth.li/~sgtatham/putty/0.81/w32/pageant.exe[/ZoneTransfer]",
"PdbFileName": null,
"Machine": "I386",
"SubSystem": "WindowsGui",
"MetaDataHeaderSignature": null,
"HasExportTable": false,
"HasImportTable": true,
"Architecture": "32Bit",
"IsExecutableImage": true,
"IsDotNet": false,
"IsSigned": true,
"IsTrustedAuthenticodeSignature": false,
"HasValidAuthenticodeCertChain": false,
"SigningAuthenticodeCertificateIssuer": "CN=Sectigo Public Code Signing CA R36, O=Sectigo Limited, C=GB",
"CertificateSubject": "CN=Simon Tatham, O=Simon Tatham, S=Cambridgeshire, C=GB",
"InterestingStrings": "",
"CertificateNotValidBefore": "2021-11-06T03:00:00+03:00",
"CertificateNotValidAfter": "2024-11-06T02:59:59+03:00",
"IsoDisc": null,
"LnkFile": null
}
이 프로젝트는 테스트 및 연구 목적으로 개발되었으며 "있는 그대로" 제공됩니다.