macOSTriageCollectionScript

سكربت لجمع بيانات الفحص (Triage) لنظام macOS يستخدم sysdiagnose مع بعض الإضافات لجمع بيانات فحص مفيدة للتحقيقات.

ما الذي يجمعه السكربت؟

تشمل البيانات المجمعة:

• sysdiagnose، وهي أداة متوفرة في مجموعة متنوعة من أنظمة تشغيل macOS/iOS تقوم بجمع "معلومات تشخيصية على مستوى النظام". تُستخدم هنا بشكل أساسي لملفات السجلات والبيانات الحية التي تجمعها.
• قوائم الملفات، نظرًا لأن APFS لا يحتوي على جدول ملفات رئيسي مثل NTFS للحصول على فكرة عما يوجد على نظام الملفات، نقوم بإنشاء عدة ملفات CSV باستخدام مزيج من stat و shasum و file. يمكن استخدام البيانات المجمعة بالاقتران مع خلاصات استخبارات التهديدات لتحديد الملفات الضارة من خلال تجزئة الملفات الخاصة بها أو لتحديد الملفات الشاذة. هذه عملية مكثفة إلى حد ما، لذا يحتوي السكربت على علامة للتشغيل في وضع سريع يتم فيه استبعاد هذه الخطوة.
• يتم جمع بيانات المتصفح من Safari وChrome وFirefox لغرض استبعاد التنزيلات الضارة أو هجمات التصيد أو تحديد أي إضافات متصفح مشبوهة.
• يتم جمع سجل Bash/Zsh لتحديد النشاط المعتاد وتحديد أي حالات شاذة أو نشاط يدوي على لوحة المفاتيح.
• FSEvents، وهي مصدر سجلات متقلب لا يختلف كثيرًا عن مجلة USN على جهاز ويندوز. على الرغم من دمجها في 'system_logs.logarchive' الذي يجمعه sysdiagnose، إلا أنه يمكن استخدامها للحصول على نظرة على النشاط الأخير على نظام الملفات الذي قد لا يتم تسجيله بعد في 'system_logs.logarchive'.
• جمع السمات الموسعة يستخدم xattr و mdfind لتحديد موقع السمات وتحليلها لحفظها في قاعدة بيانات Sqlite3. يتم تحديد نوع ملف للسمة وحفظ البيانات بالنظام الست عشري (hex)، وبشكل افتراضي السمات الوحيدة التي يتم جمعها هي "kMDItemDownloadedDate" و "kMDItemWhereFroms"، ومع ذلك يمكن إضافة سمات إضافية عن طريق إلحاق مصفوفة attributes في دالة section_7.
• يتم أيضًا جمع عدة آليات للاستمرارية (Persistence) بما في ذلك LaunchAgents وLaunchDaemons وLoginItems وقواعد Emond.
• أخيرًا، يتم استخدام بعض البيانات الحية من lsof لتحديد أي ملفات أو عمليات أو اتصالات شبكة شاذة.

الاستخدام

يجب تشغيل السكربت بصلاحيات sudo للسماح بالجمع عبر sysdiagnose ومجموعة متنوعة من مواقع نظام الملفات، ولا يمكن تشغيل السكربت إلا بصلاحيات sudo. لا يملك الطرفية (Terminal) افتراضيًا الوصول إلى مجموعة متنوعة من المواقع التي سيحتاجها، لذا ستحتاج إلى تمكين "الوصول الكامل للقرص" (Full Disk Access) للطرفية. يمكن القيام بذلك في تفضيلات النظام ضمن Security & Privacy > Privacy -> Full Disk Access، ولتأكيد التغييرات انقر على القفل في أسفل يسار النافذة وأعد تشغيل جلسة الطرفية. في حالة حدوث خطأ، سيتم حفظه في أحد ملفات *.errors المقابلة لقسم من أقسام الجمع. يتم حفظ البيانات المجمعة في دليل يتبع هذا النمط 'md5 of hostname'_YYYY-MM-DD_HHMMSS/ في دليل العمل الحالي. عند انتهاء الجمع، يتم ضغط البيانات في ملف tar.gz باسم يعتمد على md5 لاسم المضيف (hostname)، ويتم تحويل اسم المضيف لمنع أي مشكلات تتعلق بالأحرف الخاصة.

علامات السكربت:

''' الوضع السريع: -q قم بتضمين هذه العلامة عند تشغيل السكربت لتخطي إنشاء قوائم الملفات. المساعدة: -h طباعة رسالة مساعدة قصيرة '''

إخلاء المسؤولية

لا يقوم هذا السكربت بإزالة البيانات التي يجمعها بعد ضغطها، وتحتوي هذه البيانات على معلومات حساسة، لذا تأكد من حذفها بشكل آمن بعد الاستخدام. يتطلب السكربت، لسهولة الاستخدام، تمكين الوصول الكامل للقرص للطرفية، ويُنصح بتعطيل هذا الوصول بعد الجمع. أخيرًا، لا ينبغي اعتبار البيانات المجمعة سليمة من الناحية الجنائية (forensically sound).

تم اختباره على macOS 10.15