Aurora Incident Response

Dokumentation zur Incident Response leicht gemacht. Entwickelt von Incident Respondern für Incident Responder. Aurora bringt die „Spreadsheet of Doom“ aus dem SANS FOR508-Kurs auf die nächste Stufe. Nachdem ich viele Fälle geleitet und so vielen Studenten beigebracht habe, Incident Response richtig zu betreiben, wurde mir klar, dass viele Schwierigkeiten haben, den Überblick über alle Erkenntnisse zu behalten. Das hindert sie nicht nur daran zu sehen, was sie bereits haben, sondern noch weniger, was ihnen fehlt.

Es ist für den Einsatz in kleinen und großen Incident-Response-Untersuchungen gedacht, um Erkenntnisse und Aufgaben zu verfolgen, die Berichterstellung zu erleichtern und generell die Kontrolle zu behalten. Die aktuelle Version wurde bereits mehrfach im Einsatz getestet. Ich werde weiterhin Fehler beheben und Funktionen hinzufügen, aber bitte bedenken Sie, dass es sich um ein Freizeitprojekt handelt. Jede Hilfe ist willkommen.

Laterale Bewegung Visuelle Zeitleiste

1 Download & Installation

Sie können die aktuelle Version von Aurora Incident Response von der Releases Page herunterladen. Aurora Incident Response ist für MacOS, Windows und Linux verfügbar. Wir arbeiten daran, es auch für iPads und Android-Tablets verfügbar zu machen.

Hier ein Video zur Verwendung von Aurora:

2 Entwicklung

Wenn Sie beitragen möchten, sind Sie herzlich eingeladen. Ich würde mich sehr freuen, wenn das Tool wächst. Die gesamte Anwendung basiert auf Electron und ist in reinem Javascript und HTML geschrieben. Obwohl ich technisch gesehen auch node.js-Module für Funktionen wie Webdav hätte verwenden können, habe ich darauf verzichtet. Der Grund ist, dass node-Module nicht ohne Weiteres funktionieren, wenn der Code für IOS und Android auf Phonegap migriert wird. Die gute Nachricht ist, dass die Einrichtung Ihrer Entwicklungsumgebung sehr schnell geht. Ich persönlich verwende Webstorm, aber es sollte mit so ziemlich jeder IDE funktionieren.

2.1 Einrichtung Ihrer Build-Umgebung

Wie in der Beschreibung erwähnt, basiert Aurora Incident Response auf Electron, was Multiplattform-Kompatibilität ermöglicht. Sie können Ihre Toolchain ganz einfach wie folgt installieren.

Installieren Sie zunächst node.js. Folgen Sie den Links zur Download-Seite.

Wenn nodejs installiert ist, klonen Sie das [Aurora Github Repository](git clone https://github.com/cyb3rfox/Aurora-Incident-Response) (oder forken Sie es zuerst, wenn Sie beitragen möchten).

git clone https://github.com/cyb3rfox/Aurora-Incident-Response

cd Aurora-Incident-Response/src

Jetzt müssen Sie Electron mit node installieren. Aurora ist derzeit für die Ausführung mit electron 4.0.6 konfiguriert.

npm install [email protected]

Sie können den Code nun durch Aufruf von:

node_modules/.bin/electron .

ausführen.

Das ist schnell, oder?

2.2 Roadmap

Die folgenden Punkte stehen bereits auf der Roadmap. Bitte erstellen Sie einfach ein neues Issue oder senden Sie eine Nachricht auf Twitter, wenn Sie Vorschläge für Verbesserungen haben.

Sie können die geplanten Funktionen für die nächsten Versionen unter Projekte einsehen.

2.3 Ausführbare Dateien für den Vertrieb erstellen

Zum Erstellen und Cross-Builden verwende ich electron-packager.

npm install electron-packager

Build für Windows:

./node_modules/.bin/electron-packager . Aurora --asar --prune --platform=win32 --electron-version=4.0.6 --arch=x64 --icon=icon/aurora.ico --out=release-builds --ignore "node_modules/.bin"

Build für MacOS:

./node_modules/.bin/electron-packager ./src Aurora --overwrite --platform=darwin --arch=x64 --icon=icon/aurora.icns --prune=true --out=release-builds

Build für Linux:

./node_modules/.bin/electron-packager . Aurora --asar --prune --platform=linux --electron-version=4.0.6 --arch=x64 --icon=icon/aurora.ico --out=release-builds --ignore "node_modules/.bin"

2.4 Quellcode-Navigator

Dieser Abschnitt beschreibt die verschiedenen Quellcodedateien. Vorerst muss ich diesen Abschnitt kurz halten. Ich habe versucht, den Code so gut wie möglich zu kommentieren. Wenn Sie Fragen haben, melden Sie sich einfach. Wenn Sie mich bei der Entwicklung des Tools unterstützen möchten, gibt es einen Slack-Kanal zur Kommunikation. Schreiben Sie mir eine Nachricht, dann lade ich Sie ein.

2.4.1 main.js

Electron-Apps unterscheiden zwischen einem Hauptprozess (Hintergrund) und einem Renderprozess (Chromium-Browserfenster). Diese Datei steuert den Hauptprozess. Für Aurora müssen Sie in der Regel nur dorthin gehen, wenn Sie die Javascript-Konsole im Aurora-Fenster aktivieren möchten. Kommentieren Sie einfach die folgende Zeile aus:

win.webContents.openDevTools()

Das Zweite, was dort behandelt wird, ist das automatische Speichern und Entsperren beim Beenden des Programms. Dazu teilen der Haupt- und der Renderprozess eine globale Variable namens global.Dirty.is_dirty, die dem Hauptprozess signalisiert, ob er sofort beenden kann oder ob die Datei vor dem Beenden bereinigt werden muss. Es ist eigentlich ein sehr ähnliches Konzept wie das NTFS-Dirty-Bit.

2.4.2 index.html

Dies ist die Hauptdatei von Aurora, die alle Skripte und Stylesheets zusammenführt. Sie initialisiert auch die GUI. Darüber hinaus hat sie keine Funktionalität.

2.4.3 gui_definitions.js

Ich habe versucht, Code und Design so gut wie möglich zu trennen. Diese Datei enthält alle Defintions-JSONs für die w2ui-GUI. Es gibt noch etwas Code für die Renderer, die bestimmte Spalten formatieren. Es machte keinen Sinn, sie woanders zu platzieren.

2.4.4 controller.js

Der Controller injiziert die Handler-Funktionen für GUI-Ereignisse. Wenn also ein Button gedrückt wird oder ein anderes Ereignis eintritt, behandelt controller.js, was passiert.

2.4.5 gui_functions.js

Hin und wieder passieren Operationen, die etwas in der GUI ändern. Das könnte z. B. sein, alle Datenfelder schreibgeschützt zu machen, wenn Sie die Sperre nicht haben, oder einfach ein Popup zu öffnen. Alle diese Funktionen befinden sich in dieser Datei, die eine reine JSON-Datei ist.

2.4.6 data.js

Während die tatsächlichen Daten in den w2ui-Datenstrukturen gespeichert werden, müssen sie für das Speichern und einige andere Operationen in unser Format gebracht werden. Transformationen dieser Art sowie die gesamte Logik zum Speichern und Öffnen von Dateien befinden sich hier.

2.4.7 data_template.js

Diese Datei enthält Vorlagen für das interne Datenformat dieser Version. Die aktuelle Formatversion ist 3.

2.4.8 misp.js

Code für die MISP-Integration.

2.4.9 virustotal.js

Code für die VT-Integration.

2.4.10 settings.js

Einstellungen für verschiedene Bibliotheken. Definiert derzeit nur das Zeitfeldformat für w2ui.

2.4.11 helper_functions.js

Kleine Hilfsfunktionen, die nirgendwo anders hinpassen.

2.4.12 import.js

Behandelt CSV-Importe.

2.4.13 exports.js

Behandelt CSV-Exporte.

3 Lizenzierung

Aurora ist unter der Apache 2 Lizenz lizenziert.