DeepBlueCLI分析Windows系统日志

1、简介

1.1 简介

DeepBlueCLI - 通过 Windows 事件日志进行威胁搜寻的 PowerShell 模块

https://github.com/sans-blue-team/DeepBlueCLI

1.2 功能

• 可疑账户行为

• 用户创建

• 用户添加到本地/全局/通用组

• 密码猜测（多次登录失败，一个账号）

• 通过登录失败进行密码喷洒（多次登录失败，多个帐户）

• 通过显式凭据进行密码喷洒

• Bloodhound（分配给具有多个安全 ID 的同一帐户的管理员权限）

• 命令行/Sysmon/PowerShell 审计

• 长命令行

• 正则表达式搜索

• 混淆命令

• 通过 WMIC 或 PsExec 启动的 PowerShell

• PowerShell Net.WebClient 下载字符串

• 压缩/Base64 编码命令（带自动解压/解码）

• 未签名的 EXE 或 DLL

• 服务审计

• 可疑的服务创建

• 服务创建错误

• 停止/启动 Windows 事件日志服务（潜在的事件日志操作）

• Mimikatz

• lsadump::sam

• EMET 和 Applocker 块

2、使用方法

2.1 本地日志分析

1.设置执行安全策略

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser

2.分析本地安全日志

.DeepBlue.ps1 -log security
或者
.DeepBlue.ps1

3.分析本地系统日志

.DeepBlue.ps1 -log system

2.2 日志文件分析

.DeepBlue.ps1 .evtxnew-user-security.evtx

3、使用样例

3.1 查看事件日志

.DeepBlue.ps1 .evtxdisablestop-eventlog.evtx

3.2 Metasploit 原生安全日志

.DeepBlue.ps1 .evtxmetasploit-psexec-native-target-security.evtx

3.3 Metasploit 原生系统日志

.DeepBlue.ps1 .evtxmetasploit-psexec-native-target-system.evtx

3.4 Metasploit PowerShell 安全日志

.DeepBlue.ps1 .evtxmetasploit-psexec-powershell-target-security.evtx

3.5 Metasploit PowerShell 目标（系统）

.DeepBlue.ps1 .evtxmetasploit-psexec-powershell-target-system.evtx

3.6 mimikatz lsadump::sam

.DeepBlue.ps1 .evtxmimikatz-privesc-hashdump.evtx

3.7 创建新用户

.DeepBlue.ps1 .evtxnew-user-security.evtx

3.8 编码混淆

.DeepBlue.ps1 .evtxPowershell-Invoke-Obfuscation-encoding-menu.evtx

3.9 字符串混淆

.DeepBlue.ps1 .evtxPowershell-Invoke-Obfuscation-string-menu.evtx

3.10 密码破解

.DeepBlue.ps1 .evtxsmb-password-guessing-security.evtx

3.11 密码喷射攻击

.DeepBlue.ps1 .evtxpassword-spray.evtx

3.12 PowerSploit 安全日志

.DeepBlue.ps1 .evtxpowersploit-security.evtx

3.13 PowerSploit 系统日志

.DeepBlue.ps1 .evtxpowersploit-system.evtx

3.14 PS攻击

.DeepBlue.ps1 .evtxpsattack-security.evtx

3.15 用户添加到管理员组

.DeepBlue.ps1 .evtxnew-user-security.evtx

原文始发于微信公众号（安全孺子牛）：DeepBlueCLI分析Windows系统日志