tahosprojects/Endpoint-Forensics-Splunk-Threat-Hunting

# 终端取证与威胁狩猎实验室 ## Velociraptor + Splunk Enterprise 本项目展示了使用 Velociraptor 和 Splunk Enterprise 进行终端监控、artifact 收集和威胁狩猎。托管在 AWS EC2 上的 Windows Server 2022 终端被注册到 Velociraptor 中，进行远程监控，并与 Splunk 集成以实现集中式的日志收集和分析。 本实验室的目标是通过实践获得关于终端可见性、进程分析、PowerShell 监控以及基于 SIEM 的威胁狩猎工作流的经验。 ## 展示的技能 * Endpoint Detection and Response (EDR) * Velociraptor 部署与客户端注册 * Artifact 收集与分析 * VQL (Velociraptor Query Language) * 进程层级分析 * Splunk Enterprise 管理 * Windows Event Log 分析 * PowerShell 监控 * 威胁狩猎 * Security Operations Center (SOC) 工作流 * 终端遥测调查 ## 使用的工具 | 工具 | 用途 | | --------------------------- | ----------------------------------- | | Velociraptor | 终端监控与 artifact 收集 | | Splunk Enterprise | SIEM 与日志分析 | | Splunk Universal Forwarder | Windows 日志转发 | | AWS EC2 | 远程 Windows Server 环境 | | Windows Server 2022 | 接受调查的终端 | | PowerShell | 管理与事件生成 | | VQL | 终端 artifact 查询 | ## 实验室环境 该环境包含： * 本地 Velociraptor 服务器 * AWS EC2 Windows Server 2022 终端 * Splunk Enterprise 实例 * Splunk Universal Forwarder Windows 终端被注册到 Velociraptor 中，并配置为将日志转发到 Splunk Enterprise 以进行集中分析。 ## 终端注册 Windows Server 终端已成功注册到 Velociraptor 中，并与服务器保持活动连接。  这提供了对终端活动的远程可见性，并允许直接从系统收集 forensic artifact。 ## Artifact 收集 使用 Velociraptor 执行 `Windows.System.Pslist` artifact，以从终端收集进程信息。  该 artifact 返回的信息包括： * 进程名称 * 进程 ID (PID) * 父进程 ID (PPID) * 命令行参数 * 正在运行的系统进程 这提供了终端上活动进程的基线视图。 ## 使用 VQL 进行进程层级分析 使用 Velociraptor notebook 通过 VQL 分析进程关系。  通过检查父子进程关系，来了解正常的操作系统行为并识别潜在的可疑执行链。 观察到的示例包括： * System * Registry * smss.exe * csrss.exe * wininit.exe * services.exe * lsass.exe 了解进程血脉关系是进行终端调查和威胁狩猎的一项重要技能。 ## 使用 Splunk 进行 PowerShell 威胁狩猎 PowerShell Operational 日志被转发到 Splunk 中，并使用 Event ID 4104 进行分析。 ``` sourcetype="WinEventLog:Microsoft-Windows-PowerShell/Operational" EventCode=4104 ```  Event ID 4104 捕获 PowerShell Script Block Logging，允许分析人员审查已执行的 PowerShell 命令并识别潜在的可疑活动。 在涉及恶意脚本、管理权限滥用、persistence 机制以及攻击者技术的调查中，通常会使用这种遥测数据。 ## 主要发现 * 成功将远程 Windows Server 终端注册到 Velociraptor 中。 * 使用 Windows.System.Pslist 收集终端进程 artifact。 * 使用 VQL notebook 分析进程层级。 * 将 Windows event log 转发到 Splunk Enterprise。 * 使用 Event ID 4104 查询 PowerShell Operational 日志。 * 实践了以终端为核心的威胁狩猎技术。 * 加深了对终端遥测和取证工作流的理解。 ## 核心要点 本项目增强了我对终端可见性和事件调查工作流的理解。通过将 Velociraptor 的 artifact 收集能力与 Splunk 的搜索及分析功能相结合，我获得了从 EDR 和 SIEM 双重视角识别和分析终端活动的实战经验。 最有价值的收获是了解了如何利用进程 artifact 和 PowerShell 遥测数据来调查系统活动，并支持威胁狩猎工作。 ## 仓库内容 * Velociraptor 部署截图 * Artifact 收集示例 * VQL notebook 分析 * Splunk 威胁狩猎查询 * 辅助文档与报告

标签：AI合规, Velociraptor, 数字取证, 用户态调试, 端点检测与响应, 脱壳工具, 自动化脚本