Análise forense da VPN de Acesso Remoto da Microsoft

Este repositório contém recursos relacionados à análise forense realizada na VPN de Acesso Remoto da Microsoft e disponíveis neste artigo de blog: https://www.synacktiv.com/publications/forensic-aspects-of-microsoft-remote-access-vpn.html.

• um artefato de cliente Velociraptor Windows.EventLogs.RemoteAccessVPN.yaml
• 7 regras do Chainsaw no diretório microsoft_rasvpn_events
• e um script Python para executar no servidor VPN, que permite exportar o banco de dados RaAcctDb WID para arquivos CSV csv_export_raacctdb.py

Artefato do Velociraptor

Importe o pacote Velociraptor Artifact Exchange ou importe o arquivo Windows.EventLogs.RemoteAccessVPN.yaml deste repositório.

• Resumo do artefato

• Logs do cliente VPN

• Logs do servidor VPN

• Logs do servidor NPS

Regras do Chainsaw

Especifique nos argumentos de CLI do chainsaw o diretório microsoft_rasvpn_events, ou use as regras do repositório chainsaw do PR TODO.

Script Python para exportar o banco de dados RaAcctDb

Para exportar os dados armazenados pelo recurso de relatórios de acesso remoto no banco de dados WID RaAcctDb, você deve:

1. Instale o Python3 no servidor da VPN de Acesso Remoto
2. Instale o pacote pyodbc: pip install pyodbc
3. Copie o csv_export_raacctdb.py para um diretório local
4. Crie um diretório de saída
5. Execute o script: python csv_export_raacctdb.py <out_dir> (caminhos relativos ou absolutos são aceitos)
6. Um arquivo CSV é criado para cada tabela

Direitos autorais

2023 - Théo Letailleur, Synacktiv

Licença

O conteúdo deste repositório está disponível sob a Licença AGPL

Contato

• Théo Letailleur: [email protected]
• CSIRT Synacktiv: [email protected]