開源登入事件分析工具：LogonTracer

Jason Cheng 2019.10.13 瀏覽 3,576 次

本文目錄

方案介紹
安裝方式
主要功能
結論
參考資料

在大多數的企業網路中，Windows 電腦是數量佔比最多的作業系統，而為了集中管理這些 Windows 電腦，會採用 Active Directory 服務進行集中化管理，而 Active Directory 當中的網域控制站也兼負了帳號密碼驗證的重要任務。

由於惡意軟體與網路攻擊層出不窮，經常會發生對 Windows 主機進行暴力帳密猜測的攻擊，若有啟用安全性稽核，這些事件都在 Windows 的事件記錄中，可以進行分析。

不過由事件檢視器分析是一件痛苦又麻煩的事，因此前面我們也介紹過使用 Graylog 搭配相關的 Dashboard 進行快速的總覽觀看與數據圖表，可以快速知道問題帳號、主機。然而在某些時候，需要的是將多種事件繪製成有關聯性的圖表，Graylog 就力有未逮了。

方案介紹

還好開源方案中仍然讓我們發現了一款相當好用的開源工具，它是一款在 BlackHat 2018 大會上出現的好工具，名為 LogonTracer。

它能夠為我們做到幾項功能：

純 Web 化操作介面
支援 Windows，可匯入 evtx 或 xml 格式的事件記錄
自動產生 User 與 Host 的排行榜
可以依據記錄繪製圖表，提供 Grid、Cose、Circle、Tree 四種類型
可以快速選擇要查閱的類別，例如登入失敗、遠端桌面登入、新增或刪除帳戶...等
可以用 Username、IPAddress、Hostname 為條件篩選
可以匯出為 CSV、JSON、PNG、JPEG 四種格式
可以將事件以時間軸搭配表格方式呈現，方便比對
以不同顏色標示帳號屬性

在事件方面，它會取出以下類型進行分析：

4624: 登入成功
4625: 登入失敗
4768: Kerberos 驗證 (TGT Request)
4769: Kerberos 服務票證 (ST Request)
4776: NTLM 驗證
4672: 特殊權限指派

下圖是官網上所呈現的一張範例圖，可以將帳戶、主機與關聯性一次清楚的呈現，相當易讀。

安裝方式

LogonTracer 有兩種安裝方式，一種是傳統的套件一個一個安裝起來，另一個是使用已經打包好的 Docker 容器套件執行，可依據需求選擇。

由於這個系統是在需要分析時才使用，因此我個人會選用 Docker 容器方式，節省大量安裝時間，本文以 Ubuntu 18.04 為例。

安裝 Docker

apt update
apt install apt-transport-https ca-certificates curl software-properties-common
curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo apt-key add -
add-apt-repository "deb [arch=amd64] https://download.docker.com/linux/ubuntu bionic stable"
apt update
apt install docker-ce

安裝完成以後，可以用 systemctl status docker 指令確認是否正確執行中。

安裝 LogonTracer 容器

docker pull jpcertcc/docker-logontracer
docker run --detach --publish=7474:7474 --publish=7687:7687 --publish=8080:8080 -e LTHOSTNAME=0.0.0.0 jpcertcc/docker-logontracer

至此安裝完成，終究還是用 Docker 方式輕鬆又寫意啊。~~可惜這樣就不能貼一堆安裝套件的指令混字數了。(誤)~~

最後請以瀏覽器打開 http://ip:8080 ，即可進入使用頁面。