文章总结： LogonTracer是一款开源的WindowsAD登录日志可视化工具，通过图形化展示和AI分析帮助检测异常登录行为和潜在威胁。v2.0版本集成AI引擎，可自动完成威胁检测和MITREATT&CK战术映射。
综合评分： 85
文章分类： 安全工具,漏洞分析,AI安全,二进制安全,WEB安全
LogonTracer – 可视化分析Windows AD登录日志的威胁检测工具
原创
DATA
DATA
黑白之道
2026年9月25日 08:30
韩国
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
导语：LogonTracer 由日本 JPCERT/CC 开发，通过将 Windows 登录事件日志以图形化方式呈现，帮助安全人员快速定位异常登录行为和潜在威胁账户。
工具背景
LogonTracer 是一款专注于 Windows Active Directory 事件日志可视化的开源安全工具，由 JPCERT 协调中心（JPCERT/CC）开发维护。它通过关联登录事件中的主机名、IP 地址和账户名，将枯燥的 EVTX 日志转化为直观的交互式关系图谱，让恶意登录行为无所遁形。
v2.0 版本集成了 OpenAI GPT 模型驱动的 AI 分析引擎，可自动完成威胁检测、MITRE ATT&CK 战术映射，并能将分析结果转化为可部署的 Sigma 检测规则。
核心能力
- 图形化日志分析：将 Windows 登录事件（4624/4625/4768/4769 等）以节点-关系图形式展示，清晰呈现账户与主机间的登录轨迹
- AI 威胁检测：集成 GPT 大模型，自动解读查询结果、生成风险评估并映射 MITRE ATT&CK 战术分类
- 自主 LLM 代理：AI 代理自动生成 Cypher 查询语句，对 Neo4j 图数据库进行迭代威胁发现
- Sigma 规则扫描：内置 SigmaHQ 完整规则集，支持 EVTX 文件上传时自动扫描或手动触发重扫描
- 多语言 AI 响应：AI 分析结果支持英语、日语、法语三种语言输出
- 时序事件展示：按时间线呈现事件日志，还原完整攻击路径
- PageRank 异常检测：使用 PageRank、HMM 和 ChangeFinder 算法自动识别恶意主机和异常账户
- Docker 一键部署：提供官方 Docker 镜像和 docker-compose 配置，快速搭建分析环境
- 多案例管理：Neo4j 企业版支持多个独立调查案例，分离存储于不同数据库
截图展示
系统要求
| 项目 | 要求 |
| — | — |
| Python | 3.9+（推荐 3.12） |
| 数据库 | Neo4j 5.x（Community 或 Enterprise） |
| AI 功能 | OpenAI API Key（可选） |
| 依赖 | Flask / Neo4j Python Driver / scikit-learn / pySigma 等 |
| 部署方式 | 源码安装 / Docker / Docker Compose |
安装示例：
git clone https://github.com/JPCERTCC/LogonTracer.git
cd LogonTracer
pip3 install -r requirements.txt
# 配置 Neo4j 连接信息 vi config/config.yml
python3 logontracer.py --run
# 访问 http://localhost:8080
Docker 部署：
docker run \
--detach \
--publish=7474:7474 --publish=7687:7687 --publish=8080:8080 \
-e LTHOSTNAME=<IP Address> \
jpcertcc/docker-logontracer
工具仓库（官方 GitHub）：
- https://github.com/JPCERTCC/LogonTracer
👇 点击阅读原文，访问我的网站
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：黑白之道 DATA
DATA《LogonTracer – 可视化分析Windows AD登录日志的威胁检测工具》