F-Secure Lightweight Acquisition for Incident Response (FLAIR)

Dieses Dokument beschreibt den Zweck und die grundlegende Funktionsweise des FLAIR-Akquisitionsskripts.

Zweck

Bei der Untersuchung von Vorfällen in der Kundenumgebung gibt es Fälle, in denen kein EDR bereitgestellt ist, das das IR-Team nutzen kann, um Artefakte in der gesamten Umgebung zu sammeln. FLAIR wurde entwickelt, um die halbautomatische Akquisition einer Reihe wichtiger Artefakte von einem Zielhost durchzuführen. FLAIR überbrückt die Lücke zwischen der tiefen Datentiefe eines vollständigen forensischen Images des Hosts und dem gezielteren und interaktiveren Ansatz, den EDR-Lösungen bieten.

Design

FLAIR wurde auf der Grundlage der folgenden Prinzipien erstellt:

• So weit wie möglich ausschließlich native Microsoft-Windows-Tools verwenden, d. h. nur Programme, die 'integriert' im Betriebssystem sind.
• Keine Drittanbieterprogramme. D. h. nur Microsoft-signierte ausführbare Dateien reduzieren die Auswirkungen der Akquisition auf sensiblen Kundenseiten.
• Batch-Datei-Betrieb für maximale Kompatibilität und minimale Abhängigkeiten.
• Windows XP ist die minimale Plattformversion, um Sammlungen auf Systemen zu ermöglichen, die nicht mehr unterstützt werden. (z. B. IoT/ICS-Umgebungen)

Hinweise

Ja, wir verwenden immer noch MD5, und ja, uns ist die Möglichkeit von Kollisionen bewusst, aber a) es ist rechnerisch weniger aufwendig und daher schneller auszuführen b) wenn es eine Kollision gibt, sagt dir das etwas ;-)

Die Verwendung von FLAIR in mehreren Gebietsschemata bleibt gleich (Französisch, Deutsch usw.). Es sollte beachtet werden, dass die Ausgabe vieler Befehle Klartextinhalte im Gebietsschema der Maschine zurückgibt, auf der sie ausgeführt wird, wie z. B. "NETSTAT -ANO":