LogonTracer

软件介绍

LogonTracer 是日本 JPCERT/CC 在 GitHub 上发布的开源工具，用于通过可视化和分析 Windows 事件日志来调查恶意登录。它把日志里的主机和账户建立关联，以图的形式呈现，方便判断某个账户在哪些主机上发生过登录行为。

核心功能

• 日志导入：可导入 EVTX、XML 格式的日志，也支持从 Elasticsearch 读取。
• 关系图：把主机与账户之间的关系存入 Neo4j 图数据库，并以图形方式展示。
• 分析方法：提供时间线、PageRank、隐马尔可夫模型和 ChangeFinder 等分析，并支持 Sigma 规则扫描。
• AI 辅助：2.0 版本加入了可选的、基于 OpenAI 模型的辅助分析，需要自备 OpenAI API 密钥。

支持平台与系统要求

它是 Python 编写的 Web 应用，需要 Python 3.9 或更高版本（推荐 3.12）和 Neo4j 5.x，依赖包见项目中的 requirements.txt。项目提供 Docker、Docker Compose 以及配合 nginx 或 Elastic Stack 的部署方式。

适用人群或使用场景

适合安全运维和应急响应人员，在怀疑 Active Directory 环境出现横向移动或异常登录时，用它梳理账户与主机之间的登录关系。

版本与授权

项目采用 BSD 3-Clause 许可证。GitHub 发布页显示最新版本为 v2.0.0；站内收录的 1.5.4 是较早的版本。