(黃獻德) Hsien-De Huang | E-Mail:TonTon (at) TWMAN.ORG | TonTon (痛痛)
Malware Analysis Network in Taiwan (MiT) | 惡意程式分析網在台灣 (抬丸郎)
Deep Learning (深度學習), Malware Analysis (惡意程式分析), Ontology (知識本體)
Android Reverse Engineering (Android 逆向工程), Type-2 Fuzzy Logic (第二型模糊邏輯)

ONE PIECE (海賊王)

ONE PIECE (海賊王)

2013年8月24日

Dump Windows Event Log to Analyze Malicious Behavioral

嗯 ! 延續昨天那篇以及裡面所提到的

Detect & Compare if system files have modified by md5deep & ssdeep

過去我的作法都是採用 AIDE 或者是一度打算直接用 notify 等工具來 " 即時 " 監控 分析端
但是仔細的評估後 ... 似乎沒那麼大必要性 ... 會增加分析端的安裝問題 ...
因為那樣做就得要 server 端 安裝 samba 以及 開網芳等動作 !
就這樣找到了 " Windows 2000 資源套件工具的系統管理工作 " 這個頁面 ( http://support.microsoft.com/kb/927229 ) 裡所講的 傾印事件記錄檔 (dumpel.exe): 傾印事件記錄檔是一個命令列工具,將本機系統或遠端系統事件記錄檔傾印至 tab 分隔的文字檔。這個工具也可用來篩選或排除特定事件類型。PS: 裡面很多工具我想可以好好多加利用一下 !


下載後請安裝它 ... 安裝完之後就像 PSTools 一樣可以單獨拿出來使用 ....


主要會用到的就是

-f:指定匯出後的檔案名稱
-l:選擇要匯出那種 log ( system, application, security )
-s:指定電腦
-r:這個我不太會用,不過試了一下跟 -e 可搭配
-e:這可以指定 log ID

C:\>C:\dumpel.exe -f %USERDOMAIN%_%computername%.txt -l system

C:\>C:\dumpel.exe -f %USERDOMAIN%_%computername%_security.txt -l security
Dump successfully completed.

C:\>C:\dumpel.exe -f %USERDOMAIN%_%computername%_application.txt -l application
Dump successfully completed.


這邊還有一篇類似的文章:Windows eventlog 集中管理 (http://bigcandy.blog.ithome.com.tw/post/2158/158866)

最後就是一樣要再靠自己來好好 Parse 一下啦 !!!!