usbrip (abgeleitet von „USB Ripper“, nicht „USB R.I.P.“) ist ein einfaches Forensik-Tool mit einer Befehlszeilenschnittstelle, mit dem Sie USB-Geräte-Artefakte (d. h. den USB-Ereignisverlauf) auf Linux-Maschinen verfolgen können.

Inhaltsverzeichnis:

Beschreibung
Schnellstart
Vorführung
Struktur der Systemprotokolle
Abhängigkeiten
- deb
- pip
Manuelle Installation
- Git Clone
- install.sh
Verwendung
- Aufrufsyntax
- Hilfe
Beispiele
Danksagungen & Referenzen
Stargazers-Diagramm
Post Scriptum

Beschreibung

usbrip ist ein kleines Software-Werkzeug, das Linux-Protokolldaten analysiert: journalctl-Ausgabe oder Inhalte von /var/log/syslog* (bzw. /var/log/messages*). Basierend auf den gesammelten Daten kann usbrip Tabellen mit USB-Ereignisverläufen erstellen, die folgende Spalten enthalten:

Verbunden (Datum & Uhrzeit)
Host
VID (Hersteller-ID)
PID (Produkt-ID)
Produkt
Hersteller
Seriennummer
Anschluss
Getrennt (Datum & Uhrzeit)

Darüber hinaus kann es auch:

Gesammelte Daten als JSON-Dump für die spätere Verwendung exportieren.
Eine Liste autorisierter (vertrauenswürdiger) USB-Geräte als JSON-Datei erstellen (nennen Sie sie auth.json).
Nach „Verstoßereignissen“ suchen, basierend auf auth.json: USB-Geräte entdecken, die im Verlauf vorkommen, aber nicht in der auth.json-Datei erscheinen.
**bei Installation mit dem Flag -s* Geschützte Speicher (7-Zip-Archive) erstellen, um USB-Ereignisse automatisch zu sichern und mit Hilfe des Cron-Schedulers zu sammeln.
Zusätzliche Details zu einem bestimmten USB-Gerät anhand seiner VID und/oder PID suchen.

Schnellstart

Weg 1. Installation mit pip:

~$ sudo -H python3 -m pip install -U usbrip
~$ usbrip -h

Weg 2. Installation der aktuellsten Version mit install.sh (empfohlen, zusätzliche Funktionen verfügbar):

~$ sudo apt install python3-venv p7zip-full -y
~$ git clone https://github.com/snovvcrash/usbrip && cd usbrip
~/usbrip$ sudo -H installers/install.sh
~/usbrip$ cd
~$ usbrip -h

Vorführung

Docker (*NUR DEMO!*)

~$ docker run --rm -it snovvcrash/usbrip

Struktur der Systemprotokolle

usbrip unterstützt zwei Arten von Zeitstempeln zum Parsen von Systemprotokolldateien:

Nicht modifiziert – Standard-Syslog-Struktur für GNU/Linux ("%b %d %H:%M:%S", z.B. "Jan 1 00:00:00"). Diese Art von Zeitstempel liefert keine Information über das Jahr.
Modifiziert (empfohlen) – bessere Syslog-Struktur, die hochpräzise Zeitstempel inklusive Jahren bietet ("%Y-%m-%dT%H:%M:%S.%f%z", z.B. "1970-01-01T00:00:00.000000-00:00").

Wenn journalctl installiert ist, brauchen Sie sich keine Sorgen zu machen, da es Zeitstempel automatisch umwandeln kann. Andernfalls kann die gewünschte Syslog-Struktur erreicht werden, indem das Format RSYSLOG_FileFormat in der rsyslog-Konfiguration festgelegt wird.

Kommentieren Sie die folgende Zeile in /etc/rsyslog.conf aus:

$ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat

Fügen Sie eine benutzerdefinierte .conf-Datei für usbrip hinzu:

~$ echo '$ActionFileDefaultTemplate RSYSLOG_FileFormat' | sudo tee /etc/rsyslog.d/usbrip.conf

**optional* Löschen Sie vorhandene Protokolldateien:

~$ sudo rm -f /var/log/syslog* /var/log/messages*

Starten Sie den Dienst neu:

~$ sudo systemctl restart rsyslog

Zunächst prüft usbrip, ob eine Möglichkeit besteht, Systemereignisse mit journalctl als der portabelsten Option auszugeben. Wenn nicht, sucht es nach und parst die Systemprotokolldateien /var/log/syslog* oder /var/log/messages*.

Abhängigkeiten

deb

Python3.6-Interpreter (oder neuer)
python3-venv
p7zip-full (wird vom storage-Modul verwendet)

pip

Manuelle Installation

Git Clone

Der Einfachheit halber nehmen wir an, dass alle Befehle, bei denen das Präfix ~/usbrip$ erscheint, im Verzeichnis ~/usbrip ausgeführt werden, das durch das Klonen des Git-Repositorys entsteht:

~$ git clone https://github.com/snovvcrash/usbrip
~$ cd usbrip
~/usbrip$ pwd

`install.sh`

Neben der Installation mit pip kann usbrip auch mit dem benutzerdefinierten Skript installers/install.sh installiert werden.

Bei Verwendung von install.sh werden einige zusätzliche Funktionen verfügbar:

Die virtuelle Umgebung wird automatisch erstellt.
Sie können das storage-Modul verwenden – einen Cron-Job einrichten, um USB-Ereignisse nach einem Zeitplan zu sichern (ein Beispiel für einen Cron-Job finden Sie in usbrip/cron/usbrip.cron).

⚠️ Warnung: Wenn Sie die Cron-Planung verwenden, sollten Sie die Crontab mit sudo crontab -e konfigurieren, um die Ausführung des storage update-Untermoduls als root zu erzwingen. Die Speicher-Passwörter werden in /var/opt/usbrip/usbrip.ini aufbewahrt und sind standardmäßig nur für root zugänglich.

Um usbrip mit install.sh zu installieren, verwenden Sie:

~/usbrip$ sudo -H installers/install.sh [-l/--local] [-s/--storages]
~/usbrip$ cd
~$ usbrip -h

Wenn der Schalter -l aktiviert ist, werden Python-Abhängigkeiten aus lokalen .tar-Paketen (Verzeichnis 3rdPartyTools) anstelle von PyPI gelöst.
Wenn der Schalter -s aktiviert ist, wird nicht nur das usbrip-Projekt installiert, sondern es werden auch die Liste der vertrauenswürdigen USB-Geräte, die Verlaufs- und die Verstoß-Speicher erstellt.

Nach Abschluss der Installation können Sie das Verzeichnis ~/usbrip löschen.

Pfade

Bei Installation mit install.sh verwendet usbrip die folgenden Pfade:

/opt/usbrip/ – Hauptverzeichnis des Projekts.
/var/opt/usbrip/log/ – usbrip Cron-Protokolle.
/var/opt/usbrip/storage/ – USB-Ereignisspeicher (history.7z und violations.7z, während des Installationsprozesses erstellt).
/var/opt/usbrip/trusted/ – Listen vertrauenswürdiger USB-Geräte (auth.json, während des Installationsprozesses erstellt).
/var/opt/usbrip/usbrip.ini – usbrip-Konfigurationsdatei (enthält Passwörter für 7-Zip-Speicher).
/usr/local/bin/usbrip – Symlink zum Skript /opt/usbrip/venv/bin/usbrip.

Cron

Cron-Jobs können wie folgt eingerichtet werden:

~/usbrip$ sudo crontab -l > tmpcron && echo "" >> tmpcron
~/usbrip$ cat usbrip/cron/usbrip.cron | tee -a tmpcron
~/usbrip$ sudo crontab tmpcron
~/usbrip$ rm tmpcron

`uninstall.sh`

Das Skript installers/uninstall.sh entfernt usbrip und alle Installationsartefakte von Ihrem System.

Um usbrip zu deinstallieren, verwenden Sie:

~/usbrip$ sudo installers/uninstall.sh [-a/--all]

Wenn der Schalter -a aktiviert ist, werden nicht nur das usbrip-Projektverzeichnis gelöscht, sondern auch alle Speicher und usbrip-Protokolle.

Vergessen Sie nicht, den Cron-Job zu entfernen, falls Sie einen eingerichtet haben.

Verwendung

Aufrufsyntax

# ---------- BANNER ----------

~$ usbrip banner
usbrip-Banner anzeigen.

# ---------- EVENTS ----------

~$ usbrip events history [-t | -l] [-e] [-n <ANZAHL_EREIGNISSE>] [-d <DATUM> [<DATUM> ...]] [--host <HOST> [<HOST> ...]] [--vid <VID> [<VID> ...]] [--pid <PID> [<PID> ...]] [--prod <PROD> [<PROD> ...]] [--manufact <HERSTELLER> [<HERSTELLER> ...]] [--serial <SERIENNR> [<SERIENNR> ...]] [--port <PORT> [<PORT> ...]] [-c <SPALTE> [<SPALTE> ...]] [-f <DATEI> [<DATEI> ...]] [-q] [--debug]
USB-Ereignisverlauf anzeigen.

~$ usbrip events open <DUMP.JSON> [-t | -l] [-e] [-n <ANZAHL_EREIGNISSE>] [-d <DATUM> [<DATUM> ...]] [--host <HOST> [<HOST> ...]] [--vid <VID> [<VID> ...]] [--pid <PID> [<PID> ...]] [--prod <PROD> [<PROD> ...]] [--manufact <HERSTELLER> [<HERSTELLER> ...]] [--serial <SERIENNR> [<SERIENNR> ...]] [--port <PORT> [<PORT> ...]] [-c <SPALTE> [<SPALTE> ...]] [-q] [--debug]
USB-Ereignis-Dump öffnen.

~$ sudo usbrip events genauth <AUSGABE_AUTH.JSON> [-a <ATTRIBUT> [<ATTRIBUT> ...]] [-e] [-n <ANZAHL_EREIGNISSE>] [-d <DATUM> [<DATUM> ...]] [--host <HOST> [<HOST> ...]] [--vid <VID> [<VID> ...]] [--pid <PID> [<PID> ...]] [--prod <PROD> [<PROD> ...]] [--manufact <HERSTELLER> [<HERSTELLER> ...]] [--serial <SERIENNR> [<SERIENNR> ...]] [--port <PORT> [<PORT> ...]] [-f <DATEI> [<DATEI> ...]] [-q] [--debug]
Eine Liste vertrauenswürdiger (autorisierter) USB-Geräte erstellen.

~$ sudo usbrip events violations <EINGABE_AUTH.JSON> [-a <ATTRIBUT> [<ATTRIBUT> ...]] [-t | -l] [-e] [-n <ANZAHL_EREIGNISSE>] [-d <DATUM> [<DATUM> ...]] [--host <HOST> [<HOST> ...]] [--vid <VID> [<VID> ...]] [--pid <PID> [<PID> ...]] [--prod <PROD> [<PROD> ...]] [--manufact <HERSTELLER> [<HERSTELLER> ...]] [--serial <SERIENNR> [<SERIENNR> ...]] [--port <PORT> [<PORT> ...]] [-c <SPALTE> [<SPALTE> ...]] [-f <DATEI> [<DATEI> ...]] [-q] [--debug]
USB-Verstoßereignisse basierend auf der Liste vertrauenswürdiger Geräte anzeigen.

# ---------- STORAGE ----------

~$ sudo usbrip storage list <SPEICHER_TYP> [-q] [--debug]
Inhalt des ausgewählten Speichers auflisten. SPEICHER_TYP ist entweder "history" oder "violations".

~$ sudo usbrip storage open <SPEICHER_TYP> [-t | -l] [-e] [-n <ANZAHL_EREIGNISSE>] [-d <DATUM> [<DATUM> ...]] [--host <HOST> [<HOST> ...]] [--vid <VID> [<VID> ...]] [--pid <PID> [<PID> ...]] [--prod <PROD> [<PROD> ...]] [--manufact <HERSTELLER> [<HERSTELLER> ...]] [--serial <SERIENNR> [<SERIENNR> ...]] [--port <PORT> [<PORT> ...]] [-c <SPALTE> [<SPALTE> ...]] [-q] [--debug]
Ausgewählten Speicher öffnen. Verhält sich ähnlich wie das Untermodul EVENTS OPEN.

~$ sudo usbrip storage update <SPEICHER_TYP> [EINGABE_AUTH.JSON] [-a <ATTRIBUT> [<ATTRIBUT> ...]] [-e] [-n <ANZAHL_EREIGNISSE>] [-d <DATUM> [<DATUM> ...]] [--host <HOST> [<HOST> ...]] [--vid <VID> [<VID> ...]] [--pid <PID> [<PID> ...]] [--prod <PROD> [<PROD> ...]] [--manufact <HERSTELLER> [<HERSTELLER> ...]] [--serial <SERIENNR> [<SERIENNR> ...]] [--port <PORT> [<PORT> ...]] [--lvl <KOMPRIMIERUNGSSTUFE>] [-q] [--debug]
Speicher aktualisieren – USB-Ereignisse zum bestehenden Speicher hinzufügen. KOMPRIMIERUNGSSTUFE ist eine Zahl in [0..9].

~$ sudo usbrip storage create <SPEICHER_TYP> [EINGABE_AUTH.JSON] [-a <ATTRIBUT> [<ATTRIBUT> ...]] [-e] [-n <ANZAHL_EREIGNISSE>] [-d <DATUM> [<DATUM> ...]] [--host <HOST> [<HOST> ...]] [--vid <VID> [<VID> ...]] [--pid <PID> [<PID> ...]] [--prod <PROD> [<PROD> ...]] [--manufact <HERSTELLER> [<HERSTELLER> ...]] [--serial <SERIENNR> [<SERIENNR> ...]] [--port <PORT> [<PORT> ...]] [--lvl <KOMPRIMIERUNGSSTUFE>] [-q] [--debug]
Speicher erstellen – 7-Zip-Archiv erstellen und USB-Ereignisse gemäß den ausgewählten Optionen hinzufügen.

~$ sudo usbrip storage passwd <SPEICHER_TYP> [--lvl <KOMPRIMIERUNGSSTUFE>] [-q] [--debug]
Passwort des bestehenden Speichers ändern.

# ---------- IDs ----------

~$ usbrip ids search [--vid <VID>] [--pid <PID>] [--offline] [-q] [--debug]
Zusätzliche Details zu einem bestimmten USB-Gerät anhand seiner <VID> und/oder <PID> aus der USB-ID-Datenbank abrufen.

~$ usbrip ids download [-q] [--debug]
Die USB-ID-Datenbank aktualisieren (herunterladen).

Hilfe

Um eine Liste der Modulnamen zu erhalten, verwenden Sie:

~$ usbrip -h

Um eine Liste der Untermodulnamen für ein bestimmtes Modul zu erhalten, verwenden Sie:

~$ usbrip <MODUL> -h

Um eine Liste aller Schalter für ein bestimmtes Untermodul zu erhalten, verwenden Sie:

~$ usbrip <MODUL> <UNTERMODUL> -h

Beispiele

Zeige den Ereignisverlauf aller USB-Geräte an, unterdrücke Bannerausgabe, Informationsmeldungen und Benutzerinteraktion (-q, --quiet), dargestellt als Liste (-l, --list) mit den letzten 100 Einträgen (-n ANZAHL, --number ANZAHL):
```
~$ usbrip events history -ql -n 100
```
Zeige den Ereignisverlauf der externen USB-Geräte (-e, --external, die tatsächlich getrennt wurden) an, dargestellt als Tabelle (-t, --table) mit den Spalten Verbunden, VID, PID, Getrennt und Seriennummer (-c SPALTE [SPALTE ...], --column SPALTE [SPALTE ...]), gefiltert nach Datum (, ) und PID (), wobei die Protokolle aus externen Dateien stammen (, ):

usbrip

Beliebteste