WELA
v1.0.0 alpha release
Windows Event Log Analyzer) มีจุดมุ่งหมายที่จะเป็น Swiss Army Knife สำหรับบันทึกเหตุการณ์ Windows ปัจจุบันฟังก์ชั่นที่ยิ่งใหญ่ที่สุดของ Wela คือการสร้างไทม์ไลน์การวิเคราะห์ที่ง่ายต่อการวิเคราะห์เพื่อช่วยในการตอบสนองทางนิติเวชและการตอบสนองของเหตุการณ์ เครื่องกำเนิดไทม์ไลน์การเข้าสู่ระบบของ Wela จะรวบรวมเฉพาะข้อมูลที่เป็นประโยชน์ในรายการบันทึกการเข้าสู่ระบบหลายรายการ (4624, 4634, 4647, 4672, 4776) เป็นเหตุการณ์เดียวดำเนินการลดข้อมูลโดยไม่สนใจเสียงรบกวนประมาณ 90%
ทดสอบบน Windows PowerShell 5.1 แต่อาจใช้งานได้กับเวอร์ชันก่อนหน้า น่าเสียดายที่มันจะไม่ทำงานกับ PowerShell Core เนื่องจากไม่มีฟังก์ชั่นในตัวเพื่ออ่านบันทึกเหตุการณ์ Windows
** หมายเหตุ: ** การปฏิบัติตามกฎซิกม่าครั้งสุดท้ายใน Wela คือกรกฎาคม 2021 หากคุณต้องการใช้กฎซิกม่าล่าสุดสำหรับการตรวจจับ EVTX โปรดใช้ Hayabusa **
ในขณะนี้โปรดใช้ Windows PowerShell 5.1 คุณจะต้องใช้การเข้าถึงผู้ดูแลระบบในท้องถิ่นสำหรับการวิเคราะห์สด
Analysis Source (Specify one):
- LiveAnalysis : Creates a timeline based on the live host ' s log
-LogFile <path-to-logfile> : Creates a timelime from an offline .evtx file
-LogDirectory <path-to-logfiles> (Warning: not fully implemented.) : Analyze offline .evtx files
-RemoteLiveAnalysis : Creates a timeline based on the remote host ' s log
Analysis Type (Specify one):
- AnalyzeNTLM_UsageBasic : Returns basic NTLM usage based on the NTLM Operational log
- AnalyzeNTLM_UsageDetailed : Returns detailed NTLM usage based on the NTLM Operational log
- SecurityEventID_Statistics : Output event ID statistics
- EasyToReadSecurityLogonTimeline : Output essy to read event ID statics
- SecurityLogonTimeline : Output a condensed timeline of user logons based on the Security log
- SecurityAuthenticationSummary : Output a summary of authentication events for each logon type based on the Security log
Analysis Options:
- StartTimeline " <YYYY-MM-DD HH:MM:SS> " : Specify the start of the timeline
- EndTimeline " <YYYY-MM-DD HH:MM:SS> " : Specify the end of the timeline
- LogonTimeline Analysis Options:
- IsDC : Specify if the logs are from a DC
Output Types ( Default : Standard Output):
- SaveOutput < outputfile - path > : Output results to a text file
- OutputCSV : Outputs to CSV
- OutputGUI : Outputs to the Out-GridView GUI
General Output Options:
- USDateFormat : Output the dates in MM - DD - YYYY format ( Default : YYYY - MM - DD)
- EuropeDateFormat : Output the dates in DD - MM - YYYY format ( Default : YYYY - MM - DD)
- UTC : Output in UTC time ( default is the local timezone)
- Japanese : Output in Japanese
- LogonTimeline Output Options:
- HideTimezone : Hides the timezone
- ShowLogonID : Show logon IDs
Other:
- ShowContributors : Show the contributors
- QuietLogo : Do not display the WELA logo. / WELA.ps1 - LogFile .Security.evtx - SecurityEventID_Statistics.WELA.ps1 - LogFile .Security.evtx - SecurityLogonTimeline - OutputGUI - UTC.WELA.ps1 - LogFile .DC1 - NTLM - Operational.evtx - AnalyzeNTLM_UsageBasic.WELA.ps1 - LiveAnalysis - SecurityAuthenticationSummary
เราจะรักรูปแบบใด ๆ ของการมีส่วนร่วม คำขอแบบดึงเป็นคำขอที่ดีที่สุด แต่มีการร้องขอคุณสมบัติแจ้งให้เราทราบถึงข้อบกพร่อง ฯลฯ ... ยินดีต้อนรับเช่นกัน
