安全运维笔记


Logon Tracer windows安全日志分析

<pre><code> Logon Tracer windows安全日志分析</code></pre> <p><strong>一.前言</strong> LogonTracer是通过可视化和分析Windows Active Directory事件日志来调查恶意登录的工具。此工具将在登录相关事件中找到的主机名(或IP地址)和帐户名相关联,并将其显示为图形。这样,可以查看在哪个帐户中尝试登录以及使用哪个主机。(用于可视化分析恶意登录Windows系统的安全日志取证工具,以加强Windows系统服务器的安全。) 相关事件ID: 4624:成功登录 4625:登录失败 4768:Kerberos身份验证(TGT请求) 4769:Kerberos服务票证(ST请求) 4776:NTLM身份验证 4672:分配特殊权限 <strong>二.Docker搭建的详细过程:</strong> 1.开启docker服务:service docker start 2.拉取logontracer镜像:docker pull jpcertcc/docker-logontracer 3.运行镜像(其中LTHOSTNAME值对应修改为本地IP) docker run --detach --publish=7474:7474 --publish=7687:7687 --publish=8080:8080 -e LTHOSTNAME=192.168.233.222 jpcertcc/docker-logontracer 4.连接Neo4j数据库 浏览器访问http://[本机IP地址]:7474 访默认账号neo4j/neo4j,接着要求修改密码,输入新密码即可。 输入完密码连接成功后,在如下图的输入框中输入如下命令,点击右侧的按钮执行。 MATCH(n) OPTIONAL MATCH (n)-[r]-() DELETE n,r <img src="https://www.showdoc.com.cn/server/api/attachment/visitfile/sign/2055d800cafaf8d29dfc8d833ef22567" alt="" /> 做到这一步时,可能会遇到即使正确输入默认密码后仍一直提示账号密码错误,这时可以修改neo4j.conf配置文件,取消验证机制,该文件在conf目录下。 docker exec -it 32e0f2911d1e1 /bin/sh (其中7882c4e3dab1为容器ID号,通过docker ps -a可查看) vi conf/neo4j.conf 找到文件内容:#dbms.security.auth_enabled=false 将前面的#号去掉,修改为dbms.security.auth_enabled=false (重启镜像才生效,当前可以暂时不重启,因为下面还有需要重启的地方,到时一次重启即可。) <img src="https://www.showdoc.com.cn/server/api/attachment/visitfile/sign/c5dad0995906c9bc1faf2c7d3a335a1d" alt="" /> 5.访问LogonTracer界面 此时,通过上述4步之后LogonTracer的Docker环境已经搭建好并可以正常运行,但是,我的防火墙默认禁止转发策略,访问不了8080页面,需要修改为允许转发。 浏览器访问:<a href="http://[本机IP地址]:8080">http://[本机IP地址]:8080</a> 由于打开的页面中有2个JS文件调用的是远程网址,这2个网址由于一些原因在国内无法正常访问,所以,在通过浏览器访问首页后,点击“Upload Event Log”按钮是无反应的,那就无法上传日志文件,这就是需要解决的坑。 第一处JS: 解决办法:直接修改系统的hosts文件,手动将域名cdn.rawgit.com解析到151.139.237.11上,该网址就可以正常访问了。 执行命令:vim /etc/hosts然后在hosts文件中添加一行:151.139.237.11 cdn.rawgit.com <img src="https://www.showdoc.com.cn/server/api/attachment/visitfile/sign/36c6e2bd22105dce0e1d7bc870def9f4" alt="" /> 第二处JS: 解决方法:进入Docker镜像编辑index.html模板文件。 执行命令:docker exec -it 32e0f2911d1e /bin/sh (其中32e0f2911d1e为容器ID) 进入Docker镜像的终端内执行命令,编辑模板文件: vi /usr/local/src/LogonTracer/templates/index.html 将https://ajax.googleapis.com/ajax/libs/jquery/3.2.1/jquery.min.js修改为 <a href="https://ajax.loli.net/ajax/libs/jquery/3.2.1/jquery.min.js">https://ajax.loli.net/ajax/libs/jquery/3.2.1/jquery.min.js</a> <img src="https://www.showdoc.com.cn/server/api/attachment/visitfile/sign/484ea4d35f909bc5f21a08e72a44e95e" alt="" /> 6.重启Docker镜像 docker restart32e0f2911d1e (其中32e0f2911d1e为容器ID)</p> <p>7、再次访问LogonTracer界面 点击左侧的“UploadEvent Log”上传保存在本机的evtx格式或者XML格式的Windows安全日志文件,点击“Browse”选择日志文件,然后点击“Upload”,进行上传。这时候就完美解决了上传按钮点不了的问题了。 All Users:查看所有用户登录信息(一般登录类型3或10) SYSTEM Privileges:查看管理员账户登录信息(登录类型3) NTLM Remot Logon:查看NTLM远程登录信息(登录类型10) RDP Logon:查看RDP远程桌面登录信息(登录类型10) Network Logon:查看网络登录信息(登录类型3) Batch Logon:查看批处理登录信息(登录类型4) Service Logon:查看服务登录信息(登录类型5) Ms14-068 Exploit Failure:MS14-068漏洞利用失败信息 Logon Failure:查看登录失败信息 Detect DCsync/DCShadow:查看删除 DCsync/DCShadow信息 Add/Detect Users:查看添加/删除用户信息 Domain Check:域检查信息 Audit Policy Change:查看审计策略变更信息 2.在页面右侧,显示着用户及其重要性的等级 对于此排名,LogonTracer会对事件日志图执行网络分析,并根据每个节点的“中心性”创建排名。中心性是指示每个节点与网络中心的接近度的索引。由于被攻击帐户用于对许多主机执行登录尝试,因此它们往往具有更高的中心性。因此,通过比较中心性,可以识别可能受影响的帐户/主机。 对于每个节点,链接到主机(绿点)并带有一行账户信息(红/蓝)表示已使用主机登陆。 红色:SYSTEM权限帐户 蓝色:标准用户帐户 绿色:主机/ IP地址 3.日志筛选过滤器 在界面顶部就是日志筛选过滤器,可以根据用户名、主机名和IP地址等对日志进行筛选。</p>

页面列表

ITEM_HTML