factual-rules-generator

Factual-rules-generator هو مشروع مفتوح المصدر يهدف إلى إنشاء قواعد YARA حول البرامج المثبتة من نظام تشغيل قيد التشغيل.

الهدف من البرنامج هو القدرة على استخدام مجموعة من القواعد ضد أدلة الطب الشرعي الرقمية المجمعة أو المكتسبة والعثور على البرامج المثبتة في الوقت المناسب.

يمكن استخدام البرنامج لتحديد البرامج المعروفة من نظام Windows وإنشاء مجموعة من القواعد للعثور على تثبيت مماثل على أنظمة أخرى.

المتطلبات

• pefile

• psutil

• ndjson

• python-tlsh

• PyInstaller (لتحويل client.py إلى client.exe)

• ssdeep

  • على Ubuntu:
    • sudo apt-get install build-essential libffi-dev python3 python3-dev python3-pip libfuzzy-dev
    • pip install ssdeep

متطلبات الأدوات

بعض الأدوات مطلوبة على نظام التشغيل المضيف، بعضها أدوات Unix قياسية وبعضها إضافية:

• xxd
• curl

بالنسبة للجهاز الظاهري Windows، يلزم تثبيت البرامج التالية:

• SDelete
• AsA (AttackSurfaceAnalyzer)

التثبيت

• قم بتثبيت جميع تبعيات Python المحددة في requirements.txt
• أنشئ مجلدًا مشتركًا للتواصل مع VM
• قم بتثبيت VM لنظام Windows
  • قم بتثبيت chocolatey على VM Windows
  • أكمل bin/OnWindows/Varclient.py
  • قم بتحويل bin/OnWindows/client.py إلى ملف قابل للتنفيذ باستخدام PyInstaller وضعه في مجلد بدء التشغيل
• قم بتحديث etc/allVariables.py ليتوافق مع التكوين المطلوب

في test/ توجد بعض الأمثلة للبرامج التي يمكن تثبيتها، التنسيق المحدد التالي مطلوب:

• أولاً، حدد اسم الحزم المراد تثبيتها باستخدام chocolatey قبل :، أو اسم الملف في حالة ملف msi أو exe.
• ثانياً، بعد : يوجد اسم الملف التنفيذي لاستخراجه وتشغيله (بدون امتداد).
• الجزء الثاني بعد , يتبع نفس النظام مع كلمة installer أولاً ثم : ونوع المثبت:
  • choco
  • msiexec
  • exe
• أخيراً، الجزء الثالث، uninstaller متبوعًا بـ : وبرنامج إلغاء التثبيت مثل choco أو msiexec أو exe

التشغيل وإنشاء القواعد

• bin/Generator.py هو البرنامج النصي الوحيد الذي يجب تشغيله، لا تنس تحديث etc/allVariables.py (خطوة حاسمة).

مستودع قواعد YARA العامة

• factual-rules - قواعد نموذجية تم إنشاؤها من بعض البرامج الشائعة جدًا.

نظرة عامة على مولد القواعد الواقعية

الترخيص

    Factual-rules-generator is an open source project which aims to generate YARA rules about installed software from a machine. 

    Copyright (C) 2021-2022 David Cruciani
    Copyright (C) 2021-2022 CIRCL - Computer Incident Response Center Luxembourg

    This program is free software: you can redistribute it and/or modify
    it under the terms of the GNU Affero General Public License as published by
    the Free Software Foundation, either version 3 of the License, or
    (at your option) any later version.

    This program is distributed in the hope that it will be useful,
    but WITHOUT ANY WARRANTY; without even the implied warranty of
    MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
    GNU Affero General Public License for more details.

    You should have received a copy of the GNU Affero General Public License
    along with this program.  If not, see <http://www.gnu.org/licenses/>.