WELA

Wela (анализатор журнала Windows Event) ゑ羅

[ Английский ] | [日本語]

---

Analyzer журнала событий Windows) - стать швейцарским армейским ножом для журналов событий Windows. В настоящее время величайшая функциональность Wela-это создание простого для анализа временной шкалы, чтобы помочь в быстрой криминалистике и реагировании на инциденты. Генератор временной шкалы входа в Wela будет консолировать только полезную информацию в нескольких записях журнала журнала (4624, 4634, 4647, 4672, 4776) в отдельные события, выполняют снижение данных, игнорируя около 90% от шума и преобразует любые трудные данные для чтения данных (такие как коды Hex Statest) в чтение человеческого формата.

Протестировано на Windows PowerShell 5.1, но может работать с предыдущими версиями. К сожалению, он не будет работать с PowerShell Core, так как нет встроенных функций для чтения журналов событий Windows.

Функции

** Примечания: ** Последнее соответствие правила сигмы в Веле - июль 2021 года. Если вы хотите использовать последние правила Sigma для обнаружения EVTX, используйте Hayabusa. **

• Написано в PowerShell, так что легко читать и настроить.
• Быстрый генератор временной шкалы Fast Forensics
  • Обнаружение бокового движения, использования системы, подозрительных логонов, использования уязвимых протоколов и т. Д.
  • 90%+ снижение шума для событий входа в систему
  • Рассчитайте время, истекло
  • Анализ графического интерфейса
  • Краткое изложение типа входа
• Живой анализ и анализ офлайн
• Японская поддержка
• Статистика идентификатора события
• Вывод в CSV для анализа в Timeline Explorer и т. Д.
• Проанализируйте использование NTLM, прежде чем отключить NTLM
• Сигма Правила
• Пользовательские правила обнаружения атак
• Отдаленный анализ
• Статистика входа в систему

Использование

На данный момент, пожалуйста, используйте Windows PowerShell 5.1. Вам понадобится доступ местного администратора для анализа в прямом эфире.

    Analysis Source (Specify one):
        - LiveAnalysis : Creates a timeline based on the live host ' s log
        -LogFile <path-to-logfile> : Creates a timelime from an offline .evtx file
        -LogDirectory <path-to-logfiles> (Warning: not fully implemented.) : Analyze offline .evtx files
        -RemoteLiveAnalysis : Creates a timeline based on the remote host ' s log

    Analysis Type (Specify one):
        - AnalyzeNTLM_UsageBasic : Returns basic NTLM usage based on the NTLM Operational log
        - AnalyzeNTLM_UsageDetailed : Returns detailed NTLM usage based on the NTLM Operational log
        - SecurityEventID_Statistics : Output event ID statistics
        - EasyToReadSecurityLogonTimeline : Output essy to read event ID statics
        - SecurityLogonTimeline : Output a condensed timeline of user logons based on the Security log
        - SecurityAuthenticationSummary : Output a summary of authentication events for each logon type based on the Security log

    Analysis Options:
        - StartTimeline " <YYYY-MM-DD HH:MM:SS> " : Specify the start of the timeline
        - EndTimeline " <YYYY-MM-DD HH:MM:SS> " : Specify the end of the timeline

    - LogonTimeline Analysis Options:
        - IsDC : Specify if the logs are from a DC

    Output Types ( Default : Standard Output):
        - SaveOutput < outputfile - path > : Output results to a text file
        - OutputCSV : Outputs to CSV
        - OutputGUI : Outputs to the Out-GridView GUI

    General Output Options:
        - USDateFormat : Output the dates in MM - DD - YYYY format ( Default : YYYY - MM - DD)
        - EuropeDateFormat : Output the dates in DD - MM - YYYY format ( Default : YYYY - MM - DD)
        - UTC : Output in UTC time ( default is the local timezone)
        - Japanese : Output in Japanese

    - LogonTimeline Output Options:
        - HideTimezone : Hides the timezone
        - ShowLogonID : Show logon IDs

    Other:
        - ShowContributors : Show the contributors
        - QuietLogo : Do not display the WELA logo

Полезные варианты

Показать статистику идентификатора события, чтобы понять, какие события есть:

. / WELA.ps1 - LogFile .Security.evtx - SecurityEventID_Statistics

Создайте временную шкалу с помощью автономного анализа, выведенного в графический интерфейс во время UTC:

.WELA.ps1 - LogFile .Security.evtx - SecurityLogonTimeline - OutputGUI - UTC

Проанализируйте операционные журналы NTLM для использования NTLM, прежде чем отключить его:

.WELA.ps1 - LogFile .DC1 - NTLM - Operational.evtx - AnalyzeNTLM_UsageBasic

Статистика входа в систему безопасности на живой машине:

.WELA.ps1 - LiveAnalysis - SecurityAuthenticationSummary

Скриншоты

Вход с графическим интерфейсом графического интерфейса:

Человеческая читабельная временная шкала:

Вход в систему статистики:

Статистика идентификатора события:

Краткое изложение типа входа:

Анализ аутентификации NTLM:

Связанные проекты охоты на угрозы для событий Windows

• Апт -охотник - инструмент обнаружения атаки, написанный на Python.
• Бензопила - инструмент обнаружения атаки на основе сигмы, написанный в ржавчине.
• DeepBluecli - Инструмент обнаружения атаки, написанный в PowerShell.
• EVTX Attack Samples - EVTX Attack Sample Files File.
• Hayabusa - обнаружение атаки на основе Sigma и быстрый генератор временной шкалы криминалистики от Yamato Security.
• Rustyblue Rust Port Deepbluecli.
• Сигма - общие правила SIEM.
• SO-IMPORT-EVTX-Импорт файлов EVTX в безопасную лук.
• Цирколит - инструмент обнаружения атаки на основе сигмы, написанный на Python.

Вклад

Мы хотели бы любой формы внесения. Запросы на тягу являются лучшими, но запросами функций, уведомляющие нас о ошибках и т. Д. Также очень желанные.