APT-Hunter 是一款用于 Windows 事件日志的威胁搜寻工具，由 Purple Team Minds 开发，用于检测隐藏在 Windows 事件日志海洋中的 APT 活动，从而缩短发现可疑活动的时间。APT-Hunter 使用预定义的检测规则，并专注于统计数据以发现异常，这在入侵评估中非常有效。生成的输出带有时间线，可直接从 Excel、Timeline Explorer、Timesketch 等工具进行分析
分析 EVTX 文件，您可以提供包含日志或单个文件的目录，APT 猎人将检测日志的类型。python3 APT-Hunter.py -p /opt/wineventlogs/ -o Project1 -allreport添加时间框架以关注特定时间线：python3 APT-Hunter.py -p /opt/wineventlogs/ -o Project1 -allreport -start 2022-04-03 -end 2022-04-05T20:56使用字符串或正则表达式进行搜索：python3 APT-Hunter.py -hunt "psexec" -p /opt/wineventlogs/ -o Project2python3 APT-Hunter.py -huntfile "(psexec|psexesvc)" -p /opt/wineventlogs/ -o Project2使用包含正则表达式列表的文件进行搜索：python3 APT-Hunter.py -huntfile "huntfile.txt)" -p /opt/wineventlogs/ -o Project2使用 sigma 规则进行狩猎：python3 APT-Hunter.py -sigma -rules rules.json -p /opt/wineventlogs/ -o Project2
下载链接
原文始发于微信公众号（贝雷帽SEC）：【蓝队】一款用于 Windows 事件日志的威胁搜索工具
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论