Meerkat

Meerkat هو مجموعة من وحدات PowerShell المصممة لجمع القطع الأثرية والاستطلاع لنقاط النهاية المستندة إلى Windows دون الحاجة إلى وكيل منشور مسبقًا. تشمل حالات الاستخدام فرز الاستجابة للحوادث، صيد التهديدات، مراقبة الأساس، مقارنات اللقطات، والمزيد.

القطع الأثرية

معلومات المضيف	محولات الشبكة	العمليات*	الخدمات	الملفات
سياسة التدقيق	قواعد جدار الحماية لنظام Windows	مكتبات DLL*	المستخدمون المحليون	ADS
الأقراص	المنافذ	السلاسل النصية*	المجموعات المحلية	سلة المحذوفات
التصحيحات	ARP	المقابض*	المهام المجدولة	ملف المضيفين
TPM	DNS	متغيرات البيئة	التشغيل التلقائي	الشهادات
البرامج	مسارات الشبكة	الجلسات	Bitlocker	تحديد السجل
العتاد	المشاركات	معلومات المجال	Defender	سجلات الأحداث
برامج التشغيل		سجل USB	بيانات سجلات الأحداث	الأحداث المتعلقة بفشل تسجيل الدخول
				الأحداث المتعلقة بإدارة المستخدم/المجموعة
				بيانات سجلات الأحداث

• استخدم نظام SIEM المفضل لديك (تحقق من مستودع SIEM!)

---

الفهرس

• البداية السريعة
• الاستخدام
• التحليل
• استكشاف الأخطاء وإصلاحها
• لقطات الشاشة
• المشاريع المماثلة

---

البداية السريعة

المتطلبات

• يتطلب Powershell 5.0 أو أعلى على جهاز "المسح".
• يتطلب Powershell 3.0 أو أعلى على الأنظمة المستهدفة. يمكنك جعل هذا متوافقًا للخلف أكثر مع PowerShell 2.0 عن طريق استبدال حالات "Get-CIMinstance" بـ "Get-WMIObject".
• يتطلب الوصول إلى WinRM.

التثبيت باستخدام Git

في وحدة تحكم الأوامر أو PowerShell، اكتب ما يلي...

git clone "https://github.com/TonyPhipps/Meerkat" "C:\Program Files\WindowsPowerShell\Modules\Meerkat"

للتحديث...

cd C:\Program Files\WindowsPowerShell\Modules\Meerkat
git pull

التثبيت باستخدام PowerShell

انسخ/الصق هذا في وحدة تحكم PowerShell

$Modules = "C:\Program Files\WindowsPowerShell\Modules\"
New-Item -ItemType Directory $Modules\Meerkat\ -force
Invoke-WebRequest https://github.com/TonyPhipps/Meerkat/archive/master.zip -OutFile $Modules\master.zip
Expand-Archive $Modules\master.zip -DestinationPath $Modules
Copy-Item $Modules\Meerkat-master\* $Modules\Meerkat\ -Force -Recurse
Remove-Item  $Modules\Meerkat-master -Recurse -Force

للتحديث، ما عليك سوى تشغيل نفس مجموعة الأوامر مرة أخرى.

يمكن أيضًا استخدام الوظائف عن طريق فتح ملف .psm1 ونسخ محتوياته بالكامل ولصقها في وحدة تحكم PowerShell.

تشغيل Meerkat

سيقوم هذا الأمر بإخراج النتائج إلى C:\Users\YourName\Meerkat\

Invoke-Meerkat

ملاحظة: لن تعود الوحدات التالية بنتائج إذا لم يتم تشغيلها بامتيازات إدارية

• AuditPolicy
• Drivers
• EventsLoginFailures
• Hotfixes
• RegistryMRU
• Registry
• Processes
• RecycleBin

التحليل

يتم توفير منهجيات وتقنيات التحليل في صفحات الويكي.

استكشاف الأخطاء وإصلاحها

تثبيت وحدة PowerShell

إذا لم يقم نظامك بتحميل الوحدات تلقائيًا في ملفك الشخصي، فقد تحتاج إلى استيراد الوحدة يدويًا.

Import-Module C:\Program Files\WindowsPowerShell\Modules\Meerkat\Meerkat.psm1

يوصى باتباع النهج التالي للمساعدة في تحديد مكان المشكلة الفعلية.

الاختبار 1 – هل يعمل Meerkat محليًا؟

• اختبر Meerkat على النظام المحلي
  • Invoke-Meerkat

الاختبار 2 – هل يعمل المسح عن بُعد؟

ملاحظة: قم بإجراء هذا الاختبار باستخدام حساب لديه حقوق المسؤول المحلي على النظام المستهدف.

• اختبر Meerkat على نظام Windows عن بُعد
  • Invoke-Meerkat -Computer RemoteName

الاختبار 3 – هل يمكنك إنشاء المهمة المجدولة وحساب MSA؟

• قم بإزالة أي مهام مجدولة موجودة متعلقة بـ Meerkat
• قم بإزالة أي حسابات MSA متعلقة بـ Meerkat
• قم بتكوين ملف Schedule-Meerkat.ps1، ثم قم بتشغيله.

الاختبار 4 – هل يعمل Meerkat-Task.ps1؟

ملاحظة: قم بإجراء هذا الاختبار باستخدام حساب لديه حقوق المسؤول المحلي على النظام المستهدف.

• قم بتكوين ملف Meerkat-Task.ps1 باستخدام # OPTION 1 (مضيف محلي)
• قم بتشغيل البرنامج النصي يدويًا.