LogonTracer

概念

LogonTracer v2 是一款通过可视化和分析 Windows Active Directory 事件日志来调查恶意登录的工具。该工具将登录相关事件中出现的主机名（或 IP 地址）与账户名关联起来，并以图形方式显示。这样一来，就可以查看哪些账户发生了登录尝试，以及使用了哪些主机。

该工具可以可视化以下与 Windows 登录相关的事件 ID。

更多详情请参考以下文档：

• Visualise Event Logs to Identify Compromised Accounts - LogonTracer -
• イベントログを可視化して不正使用されたアカウントを調査（日文）

2.0 版本新特性

基于 AI 的安全分析

LogonTracer v2.0 集成了使用 OpenAI GPT 模型的 AI 分析引擎，提供超越传统基于规则的方法的智能威胁检测。

• 安全模式分析 — 自动解释图查询结果，并生成包含 MITRE ATT&CK 战术映射的风险评估
• 自主 LLM 代理 — 一个迭代式 AI 代理，自动生成并执行针对 Neo4j 图的 Cypher 查询，无需手动干预即可发现威胁
• AI 生成的 Sigma 规则 — 将 AI 分析发现转换为可部署的 Sigma 检测规则
• 多语言支持 — AI 响应可以以英语、日语或法语生成

Sigma 规则集成

• 捆绑的 Sigma 规则 — 包含完整的 SigmaHQ 规则集，用于扫描 EVTX 文件
• 上传时 Sigma 扫描 — 在 EVTX 文件上传期间，可选择自动运行 Sigma 规则扫描
• Sigma 重新扫描 API — 通过 REST API，使用特定的 Sigma 规则文件夹重新扫描之前上传的 EVTX 文件
• Sigma 结果视图 — 专用 UI 页面，以交互式表格显示 Sigma 检测结果

附加分析

LogonTracer 使用 PageRank、隐马尔可夫模型 和 ChangeFinder 从事件日志中检测恶意主机和账户。

使用 LogonTracer，还可以按时间顺序显示事件日志。

需求

• Python 3.9 或更高版本（推荐 3.12）

• Neo4j 5.x（社区版或企业版）

• OpenAI API 密钥（可选 — 仅 AI 分析功能需要）

• Python 模块

numpy
evtx
lxml
scipy
changefinder
flask
hmmlearn>=0.2.8
scikit-learn
elasticsearch-dsl>=7.0.0,<8.0.0
pyyaml
flask-sqlalchemy
flask-login
flask_wtf
flask-limiter
wtforms
GitPython
pysigma>=0.11.0
pysigma-backend-sqlite
openai>=1.0.0
aiohttp
neo4j

安装

1. 克隆仓库

git clone https://github.com/JPCERTCC/LogonTracer.git
cd LogonTracer

2. 安装依赖

pip3 install -r requirements.txt

3. 启动 Neo4j

下载并启动 Neo4j。设置初始密码，并记下 Bolt 端口（默认：7687）。

4. 编辑配置文件

vi config/config.yml

关键设置：

settings:
  logontracer:
    WEB_PORT: "8080"
    default_user: "neo4j"       # 默认 LogonTracer 账户的 Neo4j 用户名
    default_password: "password" # 首次运行前请更改此密码

  neo4j:
    NEO4J_USER: "neo4j"
    NEO4J_PASSWORD: "password"   # 您的 Neo4j 密码
    NEO4J_SERVER: "localhost"
    WS_PORT: "7687"

5. 启动 Web 应用程序

python3 logontracer.py --run

在浏览器中打开 http://localhost:8080。

使用方法

导入事件日志

导入 EVTX 文件

python3 logontracer.py -e <path/to/Security.evtx> -z <UTC offset> -s <Neo4j server> -u <user> -p <password>

导入 XML 文件

python3 logontracer.py -x <path/to/event.xml> -z <UTC offset> -s <Neo4j server> -u <user> -p <password>

从 Elasticsearch 导入

python3 logontracer.py --es -s <Neo4j server> -u <user> -p <password> --es-server <ES host:port>

带 Sigma 扫描的导入

添加 --sigma 标志以在导入期间运行 Sigma 规则检测：

python3 logontracer.py -e <path/to/Security.evtx> -z 9 -s localhost -u neo4j -p password --sigma

添加额外日志（不删除现有数据）

python3 logontracer.py -e <path/to/Security.evtx> -z 9 -s localhost -u neo4j -p password --add

Web GUI 上传

启动 Web 应用程序后，点击左侧边栏中的 Upload Event Log。您可以：

• 选择一个或多个 EVTX 或 XML 文件
• 选择日志时区的 UTC 偏移量
• 启用 Add additional files 以追加数据而不清除数据库
• 启用 Run scan using Sigma rules 以便在导入后自动运行 Sigma 检测

Sigma 扫描结果

在使用 Sigma 扫描上传后，或通过 API 触发重新扫描后，点击侧边栏中的 Sigma Scan Results 查看结果。

AI 分析（v2.0）

设置

1. 前往导航栏中的 Settings → AI Settings
2. 启用 AI 分析并输入您的 OpenAI API 密钥
3. 选择 GPT 模型和偏好的响应语言

使用 AI 分析

• 点击顶部导航栏中的 AI Analysis 以运行自主 LLM 代理
• 该代理迭代生成 Cypher 查询，在 Neo4j 数据库中执行，并报告发现的威胁
• 点击 AI History 查看上次分析结果
• 从 AI 分析结果面板中，点击 Generate Sigma Rules 将发现转换为 Sigma 检测规则

Web 应用程序截图

登录

主图视图

暗色模式

时间线

导航栏

侧边栏

过滤面板

差异图

案例管理（Neo4j 企业版）

使用 Neo4j 企业版，LogonTracer 支持多个独立的调查案例——每个案例存储在单独的 Neo4j 数据库中。

• 添加新案例 — 为新调查创建新数据库
• 删除案例 — 删除案例数据库
• 添加/删除案例访问权限 — 授予或撤销特定案例的按用户访问权限
• 切换案例 — 在当前会话中切换活动案例

Docker

使用 Docker（单个容器）

docker run \
  --detach \
  --publish=7474:7474 --publish=7687:7687 --publish=8080:8080 \
  -e LTHOSTNAME=<IP Address> \
  jpcertcc/docker-logontracer

使用 Docker Compose

cd docker-compose
docker compose build
docker compose up -d

使用 Docker Compose 和 HTTPS（nginx）

cd docker-compose-with-nginx
docker compose build
docker compose up -d

使用 Docker Compose 和 Elastic Stack

cd docker-compose-with-elasticstack
docker compose build
docker compose up -d

命令行选项

演示

以下 YouTube 视频 展示了如何使用 LogonTracer。

文档

更多详情，请查看 LogonTracer wiki。

许可

LICENSE.txt