epagneul

epagneul

배포

docker와 docker-compose가 설치되어 있어야 합니다.

설치

make

오프라인 배포

인터넷에 연결된 머신에서 오프라인 릴리스를 빌드합니다:

make release

그러면 release 폴더가 생성되며, 여기에는 바로 실행 가능한 docker 이미지가 포함됩니다. 프로젝트를 네트워크가 차단된 머신에 복사한 후 다음 명령을 실행합니다:

make load
make

이 명령은 다음을 설치합니다:

• epagneul 웹 UI (포트 8080)
• epagneul 백엔드 (포트 8000)
• neo4j (포트 7474)

유틸리티 도구: Epagneul에 파일 또는 폴더 업로드

이 프로젝트에는 EVTX 또는 JSONL 파일을 Epagneul에 업로드하여 분석할 수 있는 Python 유틸리티가 포함되어 있습니다.

기능

• Epagneul 백엔드에 자동으로 폴더를 생성합니다.
• EVTX 또는 JSONL 파일의 유효성을 검사하고 업로드합니다.
• 단일 파일 또는 폴더 업로드를 지원합니다.

사용법

다음 명령을 실행하여 도구를 사용하세요:

python upload.py --input-path <파일_또는_폴더_경로> --folder-name <폴더_이름> --console-url <콘솔_URL> [--console-port <포트>]

인수

• --input-path: EVTX 또는 JSONL 파일이 포함된 파일 또는 폴더의 경로입니다.
• --folder-name: Epagneul에 생성할 폴더의 이름입니다.
• --console-url: Epagneul 백엔드의 기본 URL입니다 (예: http://127.0.0.1).
• --console-port: Epagneul 백엔드의 포트입니다 (기본값: 6327).

할 일

• 향상된 SID 상관 관계
• 엣지 툴팁 추가
• 레이블 전파 알고리즘
• PageRank
• 누락된 이벤트 ID 추가 (sysmon)
• 알려진 SID/보안 주체 등의 올바른 변환
• 은닉 마르코프 체인
• 로그온 타임라인 표시 / 적어도 요약 그래프 표시
• 확인: https://github.com/ahmedkhlief/APT-Hunter
• ELK / splunk에서 데이터 가져오기
• louvain을 사용한 커뮤니티 탐지
• 필터 3,4648,4624,4625,4672,4768,4769,4771,4776,4728,4732,4756를 사용한 evtx 필터링 방법 문서화

알려진 버그

• 엣지의 count 값이 선택한 타임라인에 따라 업데이트되지 않음

참고자료:

• https://adsecurity.org/wp-content/uploads/2017/04/2017-BSidesCharm-DetectingtheElusive-ActiveDirectoryThreatHunting-Final.pdf
• https://github.com/JPCERTCC/LogonTracer

사용된 기술

• Vue.js - 사용된 웹 프레임워크
• Cytoscape.js - 그래프 시각화 및 분석에 사용된 라이브러리
• d3 - 타임라인 표시에 사용
• neo4j - 백엔드 데이터베이스
• evtx - Windows XML EventLog 형식 파서

작성자

• jurelou - 초기 작업 - jurelou