cyb3rfox/aurora-incident-responseIncident Response Dokumentation leicht gemacht. Entwickelt von Incident Respondern für Incident Responder.
Dokumentation zur Incident Response leicht gemacht. Entwickelt von Incident Respondern für Incident Responder. Aurora bringt die „Spreadsheet of Doom“ aus dem SANS FOR508-Kurs auf die nächste Stufe. Nachdem ich viele Fälle geleitet und so vielen Studenten beigebracht habe, Incident Response richtig zu betreiben, wurde mir klar, dass viele Schwierigkeiten haben, den Überblick über alle Erkenntnisse zu behalten. Das hindert sie nicht nur daran zu sehen, was sie bereits haben, sondern noch weniger, was ihnen fehlt.
Es ist für den Einsatz in kleinen und großen Incident-Response-Untersuchungen gedacht, um Erkenntnisse und Aufgaben zu verfolgen, die Berichterstellung zu erleichtern und generell die Kontrolle zu behalten. Die aktuelle Version wurde bereits mehrfach im Einsatz getestet. Ich werde weiterhin Fehler beheben und Funktionen hinzufügen, aber bitte bedenken Sie, dass es sich um ein Freizeitprojekt handelt. Jede Hilfe ist willkommen.
Laterale Bewegung
Visuelle Zeitleiste
Sie können die aktuelle Version von Aurora Incident Response von der Releases Page herunterladen. Aurora Incident Response ist für MacOS, Windows und Linux verfügbar. Wir arbeiten daran, es auch für iPads und Android-Tablets verfügbar zu machen.
Hier ein Video zur Verwendung von Aurora:
Wenn Sie beitragen möchten, sind Sie herzlich eingeladen. Ich würde mich sehr freuen, wenn das Tool wächst. Die gesamte Anwendung basiert auf Electron und ist in reinem Javascript und HTML geschrieben. Obwohl ich technisch gesehen auch node.js-Module für Funktionen wie Webdav hätte verwenden können, habe ich darauf verzichtet. Der Grund ist, dass node-Module nicht ohne Weiteres funktionieren, wenn der Code für IOS und Android auf Phonegap migriert wird. Die gute Nachricht ist, dass die Einrichtung Ihrer Entwicklungsumgebung sehr schnell geht. Ich persönlich verwende Webstorm, aber es sollte mit so ziemlich jeder IDE funktionieren.
Wie in der Beschreibung erwähnt, basiert Aurora Incident Response auf Electron, was Multiplattform-Kompatibilität ermöglicht. Sie können Ihre Toolchain ganz einfach wie folgt installieren.
Installieren Sie zunächst node.js. Folgen Sie den Links zur Download-Seite.
Wenn nodejs installiert ist, klonen Sie das [Aurora Github Repository](git clone https://github.com/cyb3rfox/Aurora-Incident-Response) (oder forken Sie es zuerst, wenn Sie beitragen möchten).
git clone https://github.com/cyb3rfox/Aurora-Incident-Response
cd Aurora-Incident-Response/src
Jetzt müssen Sie Electron mit node installieren. Aurora ist derzeit für die Ausführung mit electron 4.0.6 konfiguriert.
npm install [email protected]
Sie können den Code nun durch Aufruf von:
node_modules/.bin/electron .
ausführen.
Das ist schnell, oder?
Die folgenden Punkte stehen bereits auf der Roadmap. Bitte erstellen Sie einfach ein neues Issue oder senden Sie eine Nachricht auf Twitter, wenn Sie Vorschläge für Verbesserungen haben.
Sie können die geplanten Funktionen für die nächsten Versionen unter Projekte einsehen.
Zum Erstellen und Cross-Builden verwende ich electron-packager.
npm install electron-packager
Build für Windows:
./node_modules/.bin/electron-packager . Aurora --asar --prune --platform=win32 --electron-version=4.0.6 --arch=x64 --icon=icon/aurora.ico --out=release-builds --ignore "node_modules/.bin"
Build für MacOS:
./node_modules/.bin/electron-packager ./src Aurora --overwrite --platform=darwin --arch=x64 --icon=icon/aurora.icns --prune=true --out=release-builds
Build für Linux:
./node_modules/.bin/electron-packager . Aurora --asar --prune --platform=linux --electron-version=4.0.6 --arch=x64 --icon=icon/aurora.ico --out=release-builds --ignore "node_modules/.bin"
Dieser Abschnitt beschreibt die verschiedenen Quellcodedateien. Vorerst muss ich diesen Abschnitt kurz halten. Ich habe versucht, den Code so gut wie möglich zu kommentieren. Wenn Sie Fragen haben, melden Sie sich einfach. Wenn Sie mich bei der Entwicklung des Tools unterstützen möchten, gibt es einen Slack-Kanal zur Kommunikation. Schreiben Sie mir eine Nachricht, dann lade ich Sie ein.
main.jsElectron-Apps unterscheiden zwischen einem Hauptprozess (Hintergrund) und einem Renderprozess (Chromium-Browserfenster). Diese Datei steuert den Hauptprozess. Für Aurora müssen Sie in der Regel nur dorthin gehen, wenn Sie die Javascript-Konsole im Aurora-Fenster aktivieren möchten. Kommentieren Sie einfach die folgende Zeile aus:
win.webContents.openDevTools()
Das Zweite, was dort behandelt wird, ist das automatische Speichern und Entsperren beim Beenden des Programms. Dazu teilen der Haupt- und der Renderprozess eine globale Variable namens global.Dirty.is_dirty, die dem Hauptprozess signalisiert, ob er sofort beenden kann oder ob die Datei vor dem Beenden bereinigt werden muss.
Es ist eigentlich ein sehr ähnliches Konzept wie das NTFS-Dirty-Bit.
index.htmlDies ist die Hauptdatei von Aurora, die alle Skripte und Stylesheets zusammenführt. Sie initialisiert auch die GUI. Darüber hinaus hat sie keine Funktionalität.
gui_definitions.jsIch habe versucht, Code und Design so gut wie möglich zu trennen. Diese Datei enthält alle Defintions-JSONs für die w2ui-GUI. Es gibt noch etwas Code für die Renderer, die bestimmte Spalten formatieren. Es machte keinen Sinn, sie woanders zu platzieren.
controller.jsDer Controller injiziert die Handler-Funktionen für GUI-Ereignisse. Wenn also ein Button gedrückt wird oder ein anderes Ereignis eintritt, behandelt controller.js, was passiert.
gui_functions.jsHin und wieder passieren Operationen, die etwas in der GUI ändern. Das könnte z. B. sein, alle Datenfelder schreibgeschützt zu machen, wenn Sie die Sperre nicht haben, oder einfach ein Popup zu öffnen. Alle diese Funktionen befinden sich in dieser Datei, die eine reine JSON-Datei ist.
data.jsWährend die tatsächlichen Daten in den w2ui-Datenstrukturen gespeichert werden, müssen sie für das Speichern und einige andere Operationen in unser Format gebracht werden.
Transformationen dieser Art sowie die gesamte Logik zum Speichern und Öffnen von Dateien befinden sich hier.
data_template.jsDiese Datei enthält Vorlagen für das interne Datenformat dieser Version. Die aktuelle Formatversion ist 3.
misp.jsCode für die MISP-Integration.
virustotal.jsCode für die VT-Integration.
settings.jsEinstellungen für verschiedene Bibliotheken. Definiert derzeit nur das Zeitfeldformat für w2ui.
helper_functions.jsKleine Hilfsfunktionen, die nirgendwo anders hinpassen.
import.jsBehandelt CSV-Importe.
exports.jsBehandelt CSV-Exporte.
Aurora ist unter der Apache 2 Lizenz lizenziert.
Projekte wie dieses können nur realisiert werden, weil viele Menschen Tausende von Stunden in das Schreiben cooler Bibliotheken und anderer Software investiert haben. Andere haben professionelle UI-Elemente beigesteuert. Vielen Dank für all Ihre großartige Arbeit. Insbesondere habe ich Aurora auf Basis der folgenden Abhängigkeiten erstellt:
Neben der unglaublichen Menge an Arbeit, die Menschen in diese Projekte investiert haben, braucht man auch andere Unterstützung. Code zu schreiben ist einfach, aber daraus ein Tool zu machen, das in der Realität funktioniert, hängt von einer enormen Menge an Erfahrung vieler Incident Responder ab. Hier möchte ich insbesondere die Mitglieder meines IR-Teams erwähnen, die ihr Wissen beigesteuert und beim Testen des Tools in realen Fällen geholfen haben:
Auch wenn dies ein Neben- und Wochenendprojekt ist, ist es dennoch gut zu wissen, dass mein Arbeitgeber Infoguard AG mich in jeder erdenklichen Weise unterstützt. Besonderer Dank geht an:
Die folgenden Personen haben Änderungen beigetragen, die einen signifikanten Einfluss auf das Tool haben: