Security.evtxを調査して不審なログインの日時を特定せよという問題。

Yamato Security（大和セキュリティ）の HAYABUSA を初めてCTFで使う。

C:\Users\housu_jp\Desktop\hayabusa-2.12.0-windows-64-bit>hayabusa-2.12.0-win-x64.exe csv-timeline -d C:\Users\housu_jp\Downloads\csirt_asks_you_01_58f6cd661d82e80c83f48b7db0c19e5297f0f74f

1～3は良い反応がない。
4. All alert rulesで

User Added To Local Admin Grp (2)は、ハズレ。
CSVがBOM付きではないので、面倒。(｀ヘ´) プンプン。

Logon Failure がたくさんある。
まず、 PW Guessing (3) を調べる

接続元IPアドレス、10.1.2.120と192.168.224.120があやしい

素直にLog Parserを使う

まずは、イベントID 4624 かつ接続元 10.1.2.120

C:\Program Files (x86)\Log Parser 2.2>LogParser -i evt "Select * From C:\Users\housu_jp\Downloads\csirt_asks_you_01_58f6cd661d82e80c83f48b7db0c19e5297f0f74f\Security.evtx Where EventID = 4624 AND Strings like '%10.1.2.120%'"

統計情報:
---------
処理された要素: 13876
出力された要素: 0
実行時間:       0.64 秒

次は、イベントID 4624 かつ接続元 192.168.224.120

C:\Program Files (x86)\Log Parser 2.2>LogParser -i evt "Select * From C:\Users\housu_jp\Downloads\csirt_asks_you_01_58f6cd661d82e80c83f48b7db0c19e5297f0f74f\Security.evtx Where EventID = 4624 AND Strings like '%192.168.224.120%'"
EventLog                                                                                          RecordNumber TimeGenerated       TimeWritten         EventID EventType EventTypeName       EventCategory EventCategoryName                                                                                                                         SourceName                          Strings                                                                                                                                                                                                                       ComputerName SID    Message                                                                                                                                     Data
------------------------------------------------------------------------------------------------- ------------ ------------------- ------------------- ------- --------- ------------------- ------------- ----------------------------------------------------------------------------------------------------------------------------------------- ----------------------------------- ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- ------------ ------ ------------------------------------------------------------------------------------------------------------------------------------------- ------
C:\Users\housu_jp\Downloads\csirt_asks_you_01_58f6cd661d82e80c83f48b7db0c19e5297f0f74f\Security.evtx 11874        2021-07-19 05:09:21 2021-07-19 05:09:21 4624    8         Success Audit event 12544         カテゴリ 12544 の名前がソース "Microsoft-Windows-Security-Auditing" に見つかりません。ローカルコンピュータに必要なレジストリ情報がないか、リモートコンピュー タのメッセージを表示するためのメッセージ DLL ファイルがありません。 Microsoft-Windows-Security-Auditing S-1-0-0|-|-|0x0|S-1-5-21-3590118637-3649102893-3870174881-1002|test|STELLA-PC|0x76ba89|3|NtLmSsp |NTLM|lizardface|{00000000-0000-0000-0000-000000000000}|-|NTLM V2|128|0x0|-|192.168.224.120|0|%%1833|-|-|-|%%1843|0x0|%%1843 stella-pc    <NULL> イベント ID 4624 (ソース "Microsoft-Windows-Security-Auditing") の説明が見つかりません。ローカルコンピュータはレジストリ情報またはリモートコンピュータからメッセージを表示するためにメッセージ DLL ファイルを必要としています。 <NULL>

統計情報:
---------
処理された要素: 13876
出力された要素: 1
実行時間:       0.60 秒

ログインは１件だけ

これが正解でした。

速い。