Microsoft Remote Access VPN Forensic analysis

Этот репозиторий содержит ресурсы, связанные с криминалистическим анализом Microsoft Remote Access VPN, описанным в этом сообщении блога: https://www.synacktiv.com/publications/forensic-aspects-of-microsoft-remote-access-vpn.html.

• клиентский артефакт Velociraptor Windows.EventLogs.RemoteAccessVPN.yaml
• 7 правил chainsaw в каталоге microsoft_rasvpn_events
• и Python-скрипт для запуска на VPN-сервере, который позволяет выгрузить базу данных WID RaAcctDb в CSV-файлы csv_export_raacctdb.py

Артефакт Velociraptor

Импортируйте пакет Velociraptor Artifact Exchange или импортируйте Windows.EventLogs.RemoteAccessVPN.yaml из этого репозитория.

• Сводка по артефакту

• Журналы VPN-клиента

• Журналы VPN-сервера

• Журналы NPS-сервера

Правила Chainsaw

Укажите в аргументах вашего chainsaw cli каталог microsoft_rasvpn_events или используйте правила из репозитория chainsaw из PR TODO.

Python-скрипт для экспорта базы данных RaAcctDb

Чтобы экспортировать данные, хранящиеся функцией отчетов удаленного доступа в WID RaAcctDb, необходимо:

1. Установите Python3 на сервере Remote Access VPN
2. Установите пакет pyodbc: pip install pyodbc
3. Скопируйте csv_export_raacctdb.py в локальный каталог
4. Создайте выходной каталог
5. Запустите скрипт: python csv_export_raacctdb.py <out_dir> (допускаются относительный или абсолютный путь)
6. Для каждой таблицы создается CSV-файл

Авторские права

2023 - Théo Letailleur, Synacktiv

Лицензия

Содержимое этого репозитория доступно по лицензии AGPL

Контакты

• Théo Letailleur: [email protected]
• CSIRT Synacktiv: [email protected]