Ini adalah alat baru yang baru-baru ini saya pelajari sebagai hasil dari pembaruan ke TANPA SEC504 – salah satu kelas yang saya ajar untuk institut SANS. Karena saya tertarik pada ini tidak hanya dari perspektif pengajaran tetapi lebih dari perspektif pembelajaran dan ingin menggunakannya di lingkungan saya sendiri, saya memutuskan untuk melihat ini melalui posting blog.
Menurut deskripsi dari halaman GitHub alat “LogonTracer adalah alat untuk menyelidiki masuk berbahaya dengan memvisualisasikan dan menganalisis log peristiwa Direktori Aktif Windows. Alat ini mengaitkan nama host (atau alamat IP) dan nama akun yang ditemukan di peristiwa terkait masuk dan menampilkannya sebagai grafik. Dengan cara ini, dimungkinkan untuk melihat di mana upaya login akun terjadi dan host mana yang digunakan.
Alat ini dapat memvisualisasikan id peristiwa berikut yang terkait dengan logon Windows berdasarkan penelitian ini.
4624: Login berhasil
4625: Kegagalan masuk
4768: Otentikasi Kerberos (Permintaan TGT)
4769: Tiket Layanan Kerberos (Permintaan ST)
4776: Otentikasi NTLM
4672: Tetapkan hak istimewa”
Untuk instalasi ini, saya menggunakan Ubuntu 18 seperti yang ditunjukkan di bawah ini:
[email protected]:~# lsb_release --all No LSB modules are available. Distributor ID: Ubuntu Description: Ubuntu 18.04.1 LTS Release: 18.04 Codename: bionic
Mari kita instal dulu Java 8
sudo add-apt-repository ppa:webupd8team/java sudo apt-get update sudo apt-get install oracle-java8-installer
Instal Neo4j Community Edition dengan terlebih dahulu menambahkan repositorinya:
wget -O - https://debian.neo4j.org/neotechnology.gpg.key | sudo apt-key add - echo 'deb https://debian.neo4j.org/repo stable/' | sudo tee /etc/apt/sources.list.d/neo4j.list sudo apt-get update
Sekarang mari kita instal neo4j:
sudo apt-get install neo4j
Sekarang setelah neo4j terinstal, mari buat dua perubahan konfigurasi cepat. Temukan dua baris berikut:
#dbms.connector.bolt.listen_address=:7687 #dbms.connector.https.listen_address=192.168.0.4:7473
Bagi saya, saya menentukan antarmuka yang saya ingin neo4j dengarkan dan dengan demikian saya membuat perubahan berikut:
dbms.connector.bolt.listen_address=0.0.0.0:7687 dbms.connector.https.listen_address=192.168.0.4:7473
Catatan di atas, saya juga menghapus komentar “#” dari dua baris ini
Langkah selanjutnya … restart neo4j menggunakan systemctl
Jika selanjutnya kita melakukan “netstat -nltp”, kita melihat host mendengarkan pada dua port di atas.
[email protected]:/tmp# netstat -nltp Active Internet connections (only servers) Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name .... tcp6 0 0 :::7687 :::* LISTEN 24537/java tcp6 0 0 192.168.0.4:7473 :::* LISTEN 24537/java tcp6 0 0 192.168.0.4:7474 :::* LISTEN 24537/java ....
Selanjutnya, sambungkan ke server di http://192.168.0.4:7474 dan login ke UI untuk neo4j.
Menggunakan kredensial default nama pengguna “neo4j” dan kata sandi “neo4j”, saya dapat mengotentikasi dan kemudian diminta untuk mengubah kata sandi saya. Saya juga menambahkan pengguna “securitynik” dengan kata sandi “Testing1”. Setelah kata sandi saya diubah, langkah selanjutnya adalah mengkloning LogonTracer
git clone https://github.com/JPCERTCC/LogonTracer.git
Setelah selesai kloning, berikut ini dieksekusi:
Melihat file persyaratan sebelum kita menginstal, kita melihat:
[email protected]:~$ cat LogonTracer/requirements.txt numpy py2neo==3.1.2 python-evtx lxml changefinder flask hmmlearn scikit-learn==0.19.2
Sekarang kita tahu apa yang coba dipasang, mari kita lanjutkan
pip3 install -r LogonTracer/requirements.txt
Pastikan Anda telah menginstal “python3-pip”. Jika tidak, lari
apt-get install python3-pip
Jika semuanya berjalan dengan baik, saya kira saya akan melihat Anda di posting berikutnya.
Referensi:
https://github.com/JPCERTCC/LogonTracer
https://github.com/JPCERTCC/LogonTracer/wiki/for-linux
https://blogs.jpcert.or.jp/en/2017/11/visualise-event-logs-to-identify-compromised-accounts—logontracer-.html
https://Gist.github.com/nepobef/0f378ded038b35324e0106fcff79303c
http://debian.neo4j.org/
https://www.first.org/resources/papers/conf2016/FIRST-2016-105.pdf
https://neo4j.com/docs/operations-manual/current/installation/linux/debian/?_ga=2.249168388.2041192375.1507250087-893468657.1507250087
https://neo4j.com/docs/operations-manual/current/installation/linux/debian/
http://debian.neo4j.org/?_ga=2.45025828.1204700703.1550717522-969713451.1550717522
https://neo4j.com/docs/operations-manual/current/installation/linux/tarball/
