epagneul

epagneul

部署

需要安装 docker 和 docker-compose。

安装

make

离线部署

在一台联网的机器上，构建一个离线发行版：

make release

这将创建一个包含随时可用的 docker 镜像的 release 文件夹。 将项目复制到你的隔离机器上，然后运行：

make load
make

这将安装：

• epagneul Web 界面（端口 8080）
• epagneul 后端（端口 8000）
• neo4j（端口 7474）

实用工具：上传文件或文件夹到 Epagneul

该项目包含一个 Python 实用工具，用于将 EVTX 或 JSONL 文件上传到 Epagneul 进行分析。

功能

• 自动在 Epagneul 后端创建文件夹。
• 验证并上传 EVTX 或 JSONL 文件。
• 支持单个文件或文件夹上传。

用法

使用以下命令运行该工具：

python upload.py --input-path <文件或文件夹路径> --folder-name <文件夹名称> --console-url <控制台URL> [--console-port <端口>]

参数

• --input-path：包含 EVTX 或 JSONL 文件的文件或文件夹路径。
• --folder-name：要在 Epagneul 中创建的文件夹名称。
• --console-url：Epagneul 后端的基 URL（例如 http://127.0.0.1）。
• --console-port：Epagneul 后端的端口（默认：6327）。

待办事项

• 更好的 SID 关联
• 添加边提示
• 标签传播算法
• PageRank
• 添加缺失的事件 ID（sysmon）
• 正确转换已知的 SID / 安全主体等
• 隐马尔可夫链
• 显示登录时间线 / 至少一个摘要图表
• 查看：https://github.com/ahmedkhlief/APT-Hunter
• 从 ELK / splunk 导入数据
• 使用 Louvain 算法检测社区
• 记录使用过滤器 3,4648,4624,4625,4672,4768,4769,4771,4776,4728,4732,4756 的 evtx 过滤方法

已知错误

• 边上的 count 值不会根据所选时间线更新

参考资料：

• https://adsecurity.org/wp-content/uploads/2017/04/2017-BSidesCharm-DetectingtheElusive-ActiveDirectoryThreatHunting-Final.pdf
• https://github.com/JPCERTCC/LogonTracer

构建工具

• Vue.js - 使用的 Web 框架
• Cytoscape.js - 用于图形可视化和分析的库
• d3 - 用于显示时间线
• neo4j - 后端数据库
• evtx - Windows XML EventLog 格式的解析器

作者

• jurelou - 初始工作 - jurelou