Microsoft Remote Access VPN 포렌식 분석

이 저장소는 Microsoft Remote Access VPN에 대해 수행된 포렌식 분석과 관련된 리소스를 포함하며, 다음 블로그 게시물에서 확인할 수 있습니다: https://www.synacktiv.com/publications/forensic-aspects-of-microsoft-remote-access-vpn.html.

• Velociraptor 클라이언트 아티팩트 Windows.EventLogs.RemoteAccessVPN.yaml
• microsoft_rasvpn_events 디렉토리의 chainsaw 규칙 7개
• VPN 서버에서 실행하여 RaAcctDb WID 데이터베이스를 CSV 파일로 덤프할 수 있는 Python 스크립트 csv_export_raacctdb.py

Velociraptor 아티팩트

Velociraptor Artifact Exchange 팩을 가져오거나 이 저장소에서 Windows.EventLogs.RemoteAccessVPN.yaml을 가져오세요.

• 아티팩트 요약

• VPN 클라이언트 로그

• VPN 서버 로그

• NPS 서버 로그

Chainsaw 규칙

chainsaw CLI 인자에 microsoft_rasvpn_events 디렉토리를 지정하거나, PR TODO의 chainsaw 저장소에서 규칙을 사용하세요.

RaAcctDb 데이터베이스를 내보내는 Python 스크립트

WID RaAcctDb의 원격 액세스 보고 기능에 저장된 데이터를 내보내려면 다음을 수행해야 합니다:

1. Remote Access VPN 서버에 Python3를 설치합니다.
2. pyodbc 패키지를 설치합니다: pip install pyodbc
3. csv_export_raacctdb.py를 로컬 디렉토리에 복사합니다.
4. 출력 디렉토리를 생성합니다.
5. 스크립트를 실행합니다: python csv_export_raacctdb.py <out_dir> (상대 경로 또는 절대 경로 모두 허용됩니다)
6. 각 테이블에 대해 CSV 파일이 생성됩니다.

저작권

2023 - Théo Letailleur, Synacktiv

라이선스

이 저장소의 내용은 AGPL 라이선스 하에 제공됩니다.

연락처

• Théo Letailleur: [email protected]
• CSIRT Synacktiv: [email protected]