mozilla/migتحقيق رقمي جنائي موزع وفوري بسرعة السحابة
MIG هو منصة موزيلا للجراحة الاستقصائية للأجهزة الطرفية عن بُعد.
لم تعد موزيلا تحافظ على مشروع محقق موزيلا (MIG).
كما أن موزيلا لم تعد تستخدم هذا الرمز داخليًا.
نرحب باستخدام هذا الرمز كما هو دون أي ضمان. يُرجى إنشاء فرع خاص بك لمواصلة التطوير.
يمكنك إنشاء إعداد محلي فقط لـ MIG باستخدام Docker. الحاوية غير مناسبة للاستخدام الإنتاجي ولكنها تتيح لك تجربة MIG بسرعة، وتوفر بيئة حاوية واحدة تحتوي على معظم مكونات MIG.
للسحب من Docker Hub:
$ docker pull mozilla/mig
$ docker run -it mozilla/mig
أو، إذا كان لديك المصدر مستخرجًا في GOPATH، يمكنك بناء صورتك الخاصة:
$ cd $GOPATH/src/github.com/mozilla/mig
$ docker build -t mozilla/mig:latest .
$ docker run -it mozilla/mig
بمجرد الدخول إلى الحاوية، يمكنك استخدام أدوات MIG لاستعلام وكيل محلي، على النحو التالي:
mig@5345268590c8:~$ /go/bin/mig file -t all -path /usr/bin -sha2 5c1956eba492b2c3fffd8d3e43324b5c477c22727385be226119f7ffc24aad3f
1 agents will be targeted. ctrl+c to cancel. launching in 5 4 3 2 1 GO
Following action ID 7978299359234.
1 / 1 [=========================================================] 100.00% 0/s4s
100.0% done in 3.029105958s
1 sent, 1 done, 1 succeeded
ed11f485244a /usr/bin/wget [lastmodified:2016-07-05 15:32:42 +0000 UTC, mode:-rwxr-xr-x, size:419080] in search 's1'
1 agent has found results
لاستكشاف قدرات MIG، ألق نظرة على ورقة المساعدة السريعة.
يتكون MIG من وكلاء مثبتين على جميع أنظمة البنية التحتية، يمكن استعلامهم في الوقت الفعلي لفحص أنظمة الملفات، حالة الشبكة، الذاكرة، أو تكوين الأجهزة الطرفية.
تخيل أن الساعة 7 صباحًا من يوم سبت، وشخص ما أطلق للتو ثغرة أمنية حرجة لتطبيق PHP المفضل لديك. الثغرة مستغلة بالفعل وتقوم فرق الأمان بإصدار مؤشرات الاختراق (IOCs). عطلتك الأسبوعية لا تبدأ بشكل جيد، وفكرة فحص آلاف الأنظمة يدويًا لا تحسن الوضع.
MIG يمكن أن يساعد. يمكن البحث عن بصمة تطبيق PHP المعرض للثغرة (مثل md5 لملف، تعبير منتظم، أو اسم ملف فقط) عبر جميع أنظمتك باستخدام وحدة file. وبالمثل، يمكن استقصاء مؤشرات الاختراق مثل إدخالات سجل محددة، ملفات خلفية تحتوي على تجزئات md5 و sha1/2/3، عناوين IP من شبكات البوت نت، أو سلاسل بايت في ذاكرة العمليات باستخدام MIG. فجأة، أصبحت عطلتك أفضل بكثير. ومع بضعة أوامر فقط، سيتم فحص آلاف الأنظمة عن بُعد للتحقق من أنك لست معرضًا للخطر.
تم تصميم وكلاء MIG ليكونوا خفيفي الوزن، آمنين، وسهل النشر حتى تتمكن من طلب من مسؤولي الأنظمة المفضلين لديك إضافته إلى النشر الأساسي دون الخوف من تعطيل شبكة الإنتاج بأكملها. جميع المعلمات مدمجة في الوكيل أثناء التجميع، بما في ذلك قائمة الباحثين المصرح لهم وضوابط الوصول (ACLs). يتم فرض الأمان باستخدام مفاتيح PGP، وحتى إذا تم اختراق خوادم MIG، طالما أن مفاتيحنا آمنة على حاسوب الباحث المحمول، فلن يتمكن أحد من اختراق الوكلاء.
تم تصميم MIG ليكون سريعًا وغير متزامن. يستخدم AMQP لتوزيع الإجراءات على الأجهزة الطرفية، ويعتمد على قنوات Go لمنع المكونات من التوقف. يتم تخزين الإجراءات والأوامر الجارية في قاعدة بيانات Postgresql وذاكرة تخزين مؤقت على القرص، بحيث لا تعتمد موثوقية المنصة على العمليات طويلة الأمد.
السرعة مطلب قوي. معظم الإجراءات ستستغرق بضع مئات من الميلي ثوانٍ فقط للتنفيذ على الوكلاء. الإجراءات الأكبر، مثل البحث عن تجزئة في دليل كبير، يجب أن تستغرق أقل من دقيقة أو دقيقتين. بشكل عام، يكتمل الاستقصاء عادةً خلال 10 إلى 300 ثانية.
الخصوصية والأمان لهما أهمية قصوى. لا ترسل الوكلاء أبدًا بيانات أولية إلى المنصة، بل ترد فقط على الأسئلة. جميع الإجراءات موقعة بواسطة مفاتيح GPG غير مخزنة في المنصة، وبالتالي تمنع أي اختراق من السيطرة على البنية التحتية بأكملها.
MIG مبني بلغة Go ويستخدم واجهة برمجة تطبيقات REST تستقبل رسائل JSON موقعة تُوزع على الوكلاء عبر RabbitMQ وتُخزن في قاعدة بيانات Postgres.
إنه:
شاهد هذا الفيديو الذي يستغرق 10 دقائق لعرض عام ومزيد من التفاصيل مع عرض لواجهة التحكم.
تم تقديم MIG مؤخرًا في قمة SANS DFIR في أوستن، تكساس. يمكنك مشاهدة التسجيل أدناه:
انضم إلى #mig على irc.mozilla.org (استخدم عميل ويب مثل mibbit).
جميع الوثائق متاحة في دليل 'doc' وعلى http://mig.mozilla.org .
| الإمكانية | Linux | MacOS | Windows |
|---|
| فحص الملفات |  | | |
| فحص الشبكة | | | (جزئي) |
| فحص الذاكرة | | | |
| إدارة الثغرات | | (مخطط) | (مخطط) |
| تحليل السجلات | (مخطط) | (مخطط) | (مخطط) |
| تدقيق النظام | | (مخطط) | (مخطط) |