Spyre

...ein einfacher, eigenständiger modularer host-basierter IOC-Scanner

Spyre ist ein einfacher host-basierter IOC-Scanner, der auf der YARA-Mustererkennungs-Engine und anderen Scan-Modulen basiert. Das Hauptziel dieses Projekts ist die einfache Operationalisierung von YARA-Regeln und anderen Indikatoren einer Kompromittierung.

Benutzer müssen ihre eigenen Regelsätze mitbringen. Das Repository awesome-yara bietet einen guten Überblick über die verfügbaren kostenlosen YARA-Regelsätze.

Spyre soll von Incident Respondern als Untersuchungswerkzeug eingesetzt werden. Es ist nicht dazu gedacht, sich zu einer Art Endpunktschutzdienst zu entwickeln.

Erste Schritte

Die Verwendung von Spyre ist einfach:

YARA-Signaturen hinzufügen. In der Standardkonfiguration liest Spyre YARA-Regeln für Datei- und Prozess-Scans aus filescan.yar bzw. procscan.yar. Für die Bereitstellung von Regeldateien für Spyre stehen folgende Optionen zur Verfügung (die in dieser Reihenfolge versucht werden):
1. Fügen Sie die Regeldateien zu einer ZIP-Datei hinzu und hängen Sie diese ZIP-Datei an die Binärdatei an.
2. Fügen Sie die Regeldateien zu einer ZIP-Datei hinzu, deren Basisname mit dem Basisnamen der Scanner-Binärdatei identisch ist, d.h. wenn die Spyre-Binärdatei spyre oder spyre.exe heißt, verwenden Sie spyre.zip.
3. Legen Sie die Regeldateien und die Scanner-Binärdatei in dasselbe Verzeichnis.

ZIP-Dateiinhalte können mit dem Passwort infected (AV-Industriestandard) verschlüsselt werden, um zu verhindern, dass Antivirensoftware das Regelset scannt, es als schädlichen Inhalt einstuft und den Scan verhindert.

YARA-Regeldateien können include-Anweisungen enthalten. 2. Bereitstellen, den Scanner ausführen 3. Bericht und Beweise sammeln

Konfiguration

Die Laufzeitkonfiguration erfolgt über eine optionale Datei spyre.yaml.

Wenn eine ZIP-Datei an die Spyre-Binärdatei angehängt wurde, werden Konfiguration und andere Dateien wie YARA-Regeln nur aus dieser ZIP-Datei gelesen. Andernfalls werden sie aus dem Verzeichnis gelesen, in dem sich die Binärdatei befindet.

Siehe das Unterverzeichnis example-configuration/ für ein Beispiel.

Globale Konfiguration

hostname / Kommandozeilenschalter --set-hostname: Legt den Hostnamen explizit fest, der in der Logdatei und im Bericht verwendet wird. Dies ist normalerweise nicht erforderlich.
max-file-size / Kommandozeilenschalter --max-file-size: Maximale Größe für Dateien, die mit aufwändigen Dateiscanmodulen wie YARA gescannt werden sollen. Standard: 32 MB
proc-ignore-names / Kommandozeilenschalter --proc-ignore: Namen von Prozessen, die nicht mit Prozessspeicher-Scanmodulen gescannt werden.
paths / Kommandozeilenschalter --path: Pfade, die mit Dateiscanmodulen gescannt werden sollen. Standard: / (Unix) oder alle Festplatten (Windows).
report / Kommandozeilenschalter --report: Legt ein oder mehrere Berichtsziele fest. Standard: spyre_${hostname}_${time}.log im aktuellen Arbeitsverzeichnis im Klartextformat. Ein anderes Ausgabeformat kann durch Anhängen von angegeben werden.

Modulspezifische Konfiguration

Derzeit gibt es drei Bereiche, für die Scanmodule implementiert werden können: Systemprüfungen, Datei-Scans und Prozess-Scans.

Nachfolgend sind die derzeit implementierten Module und unterstützten Konfigurationsparameter aufgeführt.

system
- eventobj (Windows)
  - iocs
- registry (Windows)
  - iocs
- winkernelobj (Windows)
  - iocs
  - conficker, boolean: Sollen dynamische (host-/prozessbasierte) Conficker-IOCs zur IOC-Liste hinzugefügt werden? (Standard: false)
- findwindow (Windows)
  - iocs
file
- yara
  - rule-files

Bitte lesen Sie die Beispielkonfigurationsdatei example-spyre.yaml für Hinweise, wie Indikatoren einer Kompromittierung für jedes Modul beschrieben werden.

Hinweise zu YARA-Regeln

YARA ist mit Standardeinstellungen konfiguriert, plus den folgenden expliziten Schaltern (vgl. 3rdparty.mk):

--disable-magic
--disable-cuckoo
--enable-dotnet
--enable-macho
--enable-dex

Für Datei-Scans sind die folgenden Variablen definiert:

filename,
filepath,
extension,
filetype (wird derzeit beim Scannen nicht gefüllt)

Für Prozess-Scans sind die Variablen pid und executable definiert.

Die Metavariable spyre_collect_limit kann verwendet werden, um die Anzahl der von übereinstimmenden Dateien gesammelten Schreibvorgänge zu begrenzen oder das Sammeln von Dateien insgesamt zu unterbinden. Dies kann nützlich sein, um die Größe von Beweispaketen zu begrenzen und die Sammlung sensibler Informationen zu vermeiden.

Erstellen

Spyre kann für 32-Bit- und 64-Bit-Linux- und Windows-Ziele erstellt werden.

Debian Buster (10.x) und später

Auf einem Debian/Buster-System (oder einem chroot), in dem die folgenden Pakete installiert wurden:

make
gcc
gcc-multilib
gcc-mingw-w64
autoconf
automake
libtool
pkg-config
wget
patch
sed
golang-$VERSION-go, z.B. golang-1.8-go. Das Makefile wählt automatisch die neueste Version aus, sofern GOROOT nicht gesetzt wurde.
git-core
ca-certificates
zip

Dies beschreibt die Build-Umgebung, die regelmäßig über CI getestet wird.

Fedora 30 und später

Der gleiche Build wurde auch erfolgreich auf Fedora 30 mit den folgenden installierten Paketen getestet:

make
gcc
mingw{32,64}-gcc
mingw{32,64}-winpthreads-static
autoconf
automake
libtool
pkgconf-pkg-config
wget
patch
sed
golang
git-core
ca-certificates
zip

Sobald alles installiert ist, geben Sie einfach make ein. Dadurch sollten Archive für musl-libc, openssl, yara heruntergeladen, diese erstellt und dann spyre erstellt werden.

Die reinen spyre-Binärdateien werden in _build/<triplet>/ erstellt.

Durch Ausführen von make release wird eine ZIP-Datei erstellt, die diese Binärdateien für alle unterstützten Architekturen enthält.

Erstellen von Binärdateien kompatibel mit alten Windows XP, Windows Server 2003

Die Kompatibilität mit diesen Systemen wurde mit Go 1.11 entfernt, daher wird eine Go 1.10-Toolchain benötigt. Da Go 1.10 keine Go-Module unterstützt, müssen Go-Abhängigkeiten von Drittanbietern vorgehalten werden: Verwenden Sie eine neuere Go-Version dafür (einfach go vendor ausführen) und setzen Sie GOROOT so, dass es auf die Go 1.10-Toolchain zeigt, bevor Sie make ausführen.

macOS

Derzeit wird Cross-Compiling nicht unterstützt.

GCC von Xcode
Build-Abhängigkeiten von Homebrew:
- gnu-make
- autoconf
- automake
- libtool
- pkg-config
- wget
- gpatch
- gnu-sed
- gnu-tar
- go
- git
- ca-certificates
- zip

Das systemeigene make ist zu alt, weil Apple beschlossen hat, allergisch auf GPLv3 zu reagieren. gmake von Homebrew funktioniert einwandfrei.

Programmierung

Siehe HACKING.md

Urheberrecht

Lizenz

Dieses Programm ist freie Software: Sie können es unter den Bedingungen der GNU Lesser General Public License, wie von der Free Software Foundation veröffentlicht, entweder Version 3 der Lizenz oder (nach Ihrer Wahl) jeder späteren Version weiterverbreiten und/oder modifizieren.

Siehe die LICENSE-Datei für den vollständigen Lizenztext.

spyre

Beliebteste