WELA

Wela（Windows Event Log Analyzer）ゑ羅

[英語] | [日本語]

---

Windowsイベントログアナライザー）は、Windowsイベントログのスイスアーミーナイフになることを目指しています。現在、Welaの最大の機能は、高速な法医学とインシデント対応を支援するために、簡単に分析できるログオンタイムラインを作成することです。 Welaのログオンタイムラインジェネレーターは、複数のログオンログエントリ（4624、4634、4647、4672、4776）の有用な情報のみを単一のイベントに慰め、ノイズの約90％を無視してデータ削減を実行し、読み取れたデータ（HEXステータスコードなど）を人間の読み取り可能な形式に変換します。

Windows PowerShell 5.1でテストされていますが、以前のバージョンでは動作する場合があります。残念ながら、Windowsイベントログを読み取る機能が組み込まれていないため、PowerShell Coreでは機能しません。

特徴

**注：** Welaの最後のSigmaルールコンプライアンスは2021年7月です。EVTX検出に最新のSigmaルールを使用する場合は、Hayabusaを使用してください。**

• PowerShellで書かれているので、読みやすくカスタマイズしやすいです。
• 高速フォレンジックログオンタイムラインジェネレーター
  • 横方向の動き、システムの使用、疑わしいログオン、脆弱なプロトコルの使用などを検出します...
  • ログオンイベントの90％+ノイズリダクション
  • ログオンの経過時間を計算します
  • GUI分析
  • ログオンタイプの概要
• ライブ分析とオフライン分析
• 日本のサポート
• イベントID統計
• タイムラインエクスプローラーなどで分析するためのCSVへの出力...
• NTLMを無効にする前に、NTLMの使用を分析します
• シグマルール
• カスタム攻撃検出ルール
• リモート分析
• ログオン統計

使用法

現時点では、Windows PowerShell 5.1を使用してください。ライブ分析にはローカル管理者アクセスが必要です。

    Analysis Source (Specify one):
        - LiveAnalysis : Creates a timeline based on the live host ' s log
        -LogFile <path-to-logfile> : Creates a timelime from an offline .evtx file
        -LogDirectory <path-to-logfiles> (Warning: not fully implemented.) : Analyze offline .evtx files
        -RemoteLiveAnalysis : Creates a timeline based on the remote host ' s log

    Analysis Type (Specify one):
        - AnalyzeNTLM_UsageBasic : Returns basic NTLM usage based on the NTLM Operational log
        - AnalyzeNTLM_UsageDetailed : Returns detailed NTLM usage based on the NTLM Operational log
        - SecurityEventID_Statistics : Output event ID statistics
        - EasyToReadSecurityLogonTimeline : Output essy to read event ID statics
        - SecurityLogonTimeline : Output a condensed timeline of user logons based on the Security log
        - SecurityAuthenticationSummary : Output a summary of authentication events for each logon type based on the Security log

    Analysis Options:
        - StartTimeline " <YYYY-MM-DD HH:MM:SS> " : Specify the start of the timeline
        - EndTimeline " <YYYY-MM-DD HH:MM:SS> " : Specify the end of the timeline

    - LogonTimeline Analysis Options:
        - IsDC : Specify if the logs are from a DC

    Output Types ( Default : Standard Output):
        - SaveOutput < outputfile - path > : Output results to a text file
        - OutputCSV : Outputs to CSV
        - OutputGUI : Outputs to the Out-GridView GUI

    General Output Options:
        - USDateFormat : Output the dates in MM - DD - YYYY format ( Default : YYYY - MM - DD)
        - EuropeDateFormat : Output the dates in DD - MM - YYYY format ( Default : YYYY - MM - DD)
        - UTC : Output in UTC time ( default is the local timezone)
        - Japanese : Output in Japanese

    - LogonTimeline Output Options:
        - HideTimezone : Hides the timezone
        - ShowLogonID : Show logon IDs

    Other:
        - ShowContributors : Show the contributors
        - QuietLogo : Do not display the WELA logo

便利なオプション

イベントID統計を表示して、どのようなイベントがあるかを把握するには、

. / WELA.ps1 - LogFile .Security.evtx - SecurityEventID_Statistics

UTC時間にGUIに出力されたオフライン分析を介してタイムラインを作成します。

.WELA.ps1 - LogFile .Security.evtx - SecurityLogonTimeline - OutputGUI - UTC

NTLM使用ログを分析してから、NTLM使用量を無効にする前に：

.WELA.ps1 - LogFile .DC1 - NTLM - Operational.evtx - AnalyzeNTLM_UsageBasic

ライブマシンのセキュリティログオン統計：

.WELA.ps1 - LiveAnalysis - SecurityAuthenticationSummary

スクリーンショット

ログオンタイムラインGUI：

人間の読み取り可能なタイムライン：

ログオンタイプ統計：

イベントID統計：

ログオンタイプの概要：

NTLM認証分析：

関連するWindowsイベントログの脅威狩猟プロジェクト

• Apt -Hunter -Pythonで記述された攻撃検出ツール。
• Chainsaw-さびに記載されているSigmaベースの攻撃検出ツール。
• DeepBluecli- PowerShellで記述された攻撃検出ツール。
• EVTX攻撃サンプル-EVTX攻撃サンプルイベントログファイル。
• Hayabusa-ヤマトセキュリティによるシグマベースの攻撃検出と高速フォレンジックタイムラインジェネレーター。
• DeepbluecliのRustyBlue Rust Port。
• Sigma-ジェネリックSiemルール。
• so-import-evtx-evtxファイルをセキュリティオニオンにインポートします。
• ジルコライト - Pythonで書かれたSigmaベースの攻撃検出ツール。

貢献

あらゆる形の貢献が大好きです。プルリクエストは最良ですが、機能リクエスト、バグなどを通知することも大歓迎です。