84 lines
3.1 KiB
Markdown
84 lines
3.1 KiB
Markdown
# Lagotto
|
||
Aiming to be the world's greatest Windows event log analysis tool!
|
||
|
||
世界一のWindowsイベントログ解析ツールを目指しています！
|
||
|
||
|
||
# Platforms
|
||
Lagottoは下記のプラットフォーム上で実行できます。
|
||
* Windows
|
||
* Linux
|
||
* macOS
|
||
|
||
# Downloads
|
||
[Releases](https://github.com/Yamato-Security/YamatoEventAnalyzer/releases)からコンパイル済みの実行ファイルをダウンロードできます。
|
||
|
||
# Usage
|
||
## Commnad line option
|
||
````
|
||
USAGE:
|
||
lagotto.exe [FLAGS] [OPTIONS]
|
||
|
||
FLAGS:
|
||
--credits Prints credits
|
||
-h, --help Prints help information
|
||
--rfc-2822 Output date and time in RFC 2822 format. Example: Mon, 07 Aug 2006 12:34:56 -0600
|
||
--slack Slack notification
|
||
-s, --statistics Prints statistics for event logs
|
||
-u, --utc Output time in UTC format(default: local time)
|
||
-V, --version Prints version information
|
||
|
||
OPTIONS:
|
||
--csv-timeline <CSV_TIMELINE> Csv output timeline
|
||
-d, --directory <DIRECTORY> Event log files directory
|
||
-f, --filepath <FILEPATH> Event file path
|
||
--human-readable-timeline <HUMAN_READABLE_TIMELINE> Human readable timeline
|
||
-l, --lang <LANG> Output language
|
||
-t, --threadnum <NUM> Thread number
|
||
````
|
||
|
||
## Usage examples
|
||
* Windowsイベントログを一つ指定する
|
||
````
|
||
lagotto.exe --filepath=eventlog.evtx
|
||
````
|
||
|
||
* Windowsイベントログが格納されているフォルダを指定する
|
||
````
|
||
lagotto.exe --directory=.\evtx
|
||
````
|
||
|
||
* 結果をCSVファイルに出力する。
|
||
````
|
||
lagotto.exe --directory=.\evtx --csv-timeline lagotto.csv
|
||
````
|
||
|
||
# Rule files
|
||
LagottoではWindowsEventログを検知するルールをYAML形式で定義します。
|
||
|
||
ルールの記載方法については[RULEFILE.md](./doc/RULEFILE.md)を参照してください。
|
||
|
||
ルールファイルはrulesフォルダ内に設置します。
|
||
rulesフォルダには組み込みルールファイルも設置されていますので、参考にしてください。
|
||
|
||
# How to compile from source files
|
||
下記のコマンドでビルドできます。
|
||
|
||
````
|
||
cargo build
|
||
````
|
||
|
||
# How to notify to Slack channel
|
||
|
||
Slackチャンネルへの通知にはSlackでのWEBHOOKURLの設定と実行マシンの環境変数(WEBHOOKURL、CHANNEL)への追加が必要です。
|
||
|
||
1. 通知先のSlackのワークスペースに対して「Incoming Webhook」をSlackに追加してください。
|
||
2. 「チャンネルへの投稿」で投稿するチャンネルを選択し 「Incoming Webhookインテグレーションの追加」をクリックします。
|
||
3. 遷移後のぺージの「Webhook URL」の内容(https:hooks.slack.com/services/xxx...)を環境変数の`WEBHOOK_URL` に代入してください。
|
||
4. 投入するchannelを#付きで環境変数の`CHANNEL`に代入してください。
|
||
5. 以下のコマンドで実行をするとCHANNELで指定したチャンネルに検知情報の通知が送付されます。
|
||
|
||
````
|
||
lagotto.exe --slack
|
||
````
|