-o, --output <FILE>
        Sets output file name [default: ABDULRHMAN-PC.zip]

-l, --log-level <LEVEL>
        Sets the log level [default: info] [possible values: trace, debug, info, error]

-f, --log-file <FILE>
        Sets the log file name [default: fennec.log]

-u, --upload-artifact <CONFIG>...
        Upload configuration string. Supported Protocols:
        * s3 : Upload artifact package to S3 bucket (ex. minio)
            * Format :
        s3://<ACCESS_KEY>:<SECRET_ACCESS_KEY>@(http|https)://<HOSTNAME>:<PORT>/<BUCKET_NAME>:<PATH>
            * Example (minio): s3://minioadmin:minioadmin@http://192.168.100.190:9000/fennec:/
        * aws3 : Upload artifact package to AWS S3 bucket
            * Format : aws3://<ACCESS_KEY>:<SECRET_ACCESS_KEY>@<AWS_REGOIN>.<BUCKET_NAME>:<PATH>
            * Example: aws3://AKIAXXX:[email protected]:/
        * scp : Upload artifact package to a server using SCP protocol
            * Format : scp://<USERNAME>:<PASSWORD>@<HOSTNAME>:<PORT>:<PATH>
            * Example: scp://testusername:[email protected]:22:/dev/shm

-q, --quiet
        Do not print logs to stdout

-t, --timeout <SEC>
        Sets osquery queries timeout in seconds [default: 60]

-h, --help
        Print help information

    --non-root
        Run Fennec with non root permisions. This isn't recommended, most artifacts require root
        permissions

    --osquery-path <PATH>
        Sets osquery path, if osquery is embedded it will be writen to this path otherwise the
        path will be used to spawn osquery instance (Embedded : true) [default: ./osqueryd]

    --output-format <FORMAT>
        Sets output format [default: jsonl] [possible values: jsonl, csv, kjson]

    --show-config
        Show the embedded configuration file

    --show-embedded
        Show the embedded files metadata

-V, --version
        Print version information

* `-c`, `--config` : Usar el archivo de configuración especificado en lugar de la configuración incrustada
* `-f`, `--log-file` : Cambiar el nombre predeterminado del archivo de registro (predeterminado: `fennec.log`)
* `-h`, `--help` : Imprimir mensaje de ayuda
* `-l`, `--log-level` : Cambiar el nivel de registro predeterminado (predeterminado: `info`)
* `-o`, `--output` : Cambiar el nombre de archivo de salida predeterminado para el archivo zip (predeterminado: `{HOSTNAME}.zip`, donde hostname es el nombre del host de la máquina evaluado en tiempo de ejecución)
* `--osquery-path` : Ruta al ejecutable de osquery. Este valor se usará según estas condiciones:
  * Si el binario de osquery está incrustado en `fennec`, se extraerá y volcará en `--osquery-path`
  * Si osquery no está incrustado en `fennec`, se usará el binario de osquery en la ruta `--osquery-path`
* `--output-format` : Elegir el formato de salida. Formatos admitidos:
  * jsonl : Objetos JSON separados por nueva línea (predeterminado)
  * csv: Valores separados por comas
  * kjson: Use este formato si desea cargar el archivo resultante en la plataforma de análisis [Kuiper](https://github.com/DFIRKuiper/Kuiper).
* `-q`, `--quiet` : No imprimir registros en `stdout`
* `--non-root`: Ejecutar Fennec con permisos de no root. Por defecto, Fennec requiere permisos `root` y saldrá con un mensaje de error si no es root.
* `--show-config` : Imprimir la configuración incrustada y luego salir
* `--show-embedded` : Mostrar archivos incrustados
* `-t`, `--timeout` : Establece el tiempo de espera en segundos para cada osquery en el tipo de artefacto de consulta
* `-u`, `--upload-artifact` : Cargar paquete de artefactos a un servidor remoto. Protocolos admitidos:
  * `s3` : Cargar paquete de artefactos a un bucket S3
    * `Formato` : s3://<ACCESS_KEY>:<SECRET_ACCESS_KEY>@(http|https)://<HOSTNAME>:<PORT>/<BUCKET_NAME>:<PATH>
    * `Ejemplo`: s3://minioadmin:minioadmin@http://192.168.100.190:9000/fennec:/
  * `aws3` : Cargar paquete de artefactos a un bucket de AWS S3
    * `Formato` : aws3://<ACCESS_KEY>:<SECRET_ACCESS_KEY>@<AWS_REGOIN>.<BUCKET_NAME>:<PATH>
    * `Ejemplo`: aws3://AKIAXXXXXXXXXXXXXXXXX:[email protected]:/
  * `scp` : Cargar paquete de artefactos a un servidor usando protocolo SCP
      * `Formato` : scp://`<USERNAME>`:`<PASSWORD>`@`<HOSTNAME>`:`<PORT>`:`<PATH>`
      * `Ejemplo`: scp://testusername:[email protected]:22:/dev/shm
* `-V`, `--version` : Imprimir la versión de `fennec` y luego salir

## Compilar con dependencias 👨‍💻

fennec depende de `osquery` para ejecutar los artefactos de tipo `query`. El directorio llamado `deps` contiene el archivo que se incrustará en el binario dependiendo del SO y la arquitectura de destino. Antes de compilar, siga los pasos a continuación:

* Modificar el archivo de configuración `deps/<TARGET_OS>/fennec.yaml` según sea necesario

* Construir el binario usando uno de los siguientes comandos:

  * enlazado dinámicamente:  ```bash
  cargo build --release

o agregue lo siguiente a la sección `args` en la configuración:```yaml
args:
  - "--output-format"
  - "kjson"

luego suba el archivo zip resultante a Kuiper, a continuación se muestra un ejemplo:

![kuiper_example](https://assets.kitploit.com/production/public/readmes/5116/8dd59147b5c77e04c01a7cd6d577c977a8f0ebf07053c0502ddeca5172f1a532.gif)

## Configuración🔨

Por defecto, la configuración en la ruta `deps/<TARGET_OS>/fennec.yaml` se incrustará en el ejecutable durante la compilación. La configuración está en formato YAML y tiene dos secciones:

### Args

contiene una lista de argumentos que se pasarán al ejecutable como argumentos de línea de comandos, a continuación se muestra un ejemplo de la sección `args` que establecerá el formato de salida a `jsonl` y el nombre del archivo de registro a `fennec.log`:```yaml
args:
- "--output-format"
- "jsonl"
- "--log-file"
- "fennec.log"
...

#### Tipos de artefacto: Recopilación

Este tipo de artefacto recopila archivos/carpetas especificados en el campo **paths**. El siguiente es un ejemplo de este tipo de artefacto que recopila registros del sistema:```yaml
artifacts:
  - name: logs
    type: collection
    description: "Collect system logs"
    paths:
      - '/var/log/**/*'
...

Este tipo de artefacto ejecutará los comandos en la lista `commands` y analizará la salida `stdout` utilizando la expresión regular especificada en el campo `regex`. Tenga en cuenta que la expresión regular solo se procesará en el flujo `stdout` y no en `stderr`. Además, el campo `regex` es opcional. Aquí hay un ejemplo de los resultados tanto usando el campo `regex` como sin él:
##### Sin el campo `regex````json
{
  "line": 0,
  "stdout": "root     pts/1                         2023-09-12T17:13:28+03:00 - 2023-09-12T17:13:28+03:00  (00:00)"
}

#### Tipos de Artefacto: Parse

Este tipo de artefacto proporciona la capacidad de analizar archivos de texto usando regex y devolver los datos en un formato estructurado. El siguiente ejemplo analiza los registros de acceso de nginx y devuelve los resultados en un formato estructurado:```yaml
artifcats:
  - name: nginx_access
    type: parse
    description: "Nginx access logs"
    paths:
      - /var/log/nginx/access.*
    regex: '(?P<c_ip>[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}) - (?P<remote_user>[^ ]+) \[(?P<time>[0-9]{2}/[a-zA-Z]{3}/[0-9]{4}:[0-9]{2}:[0-9]{2}:[0-9]{2} \+[0-9]{4})\] "(?P<method>[A-Z]+)?[ ]?(?P<uri>.*?)[ ]?(HTTP/(?P<http_prot>[0-9\.]+))?" (?P<status_code>[0-9]{3}) (?P<body_bytes_sent>[0-9]+) "(?P<referer>.*?)" "(?P<user_agent>.*?)"'

* registro analizado  ```json
{
  "c_ip": "192.168.133.70",
  "remote_user": "-",
  "time": "23/Jan/2022:19:14:37 +0000",
  "method": "GET",
  "uri": "/blog/",
  "http_prot": "1.1",
  "status_code": "200",
  "body_bytes_sent": "2497",
  "referer": "https://u0041.co/",
  "user_agent": "Mozilla/5.0 (X11; Linux x86_64; rv:78.0) Gecko/20100101 Firefox/78.0",
  "full_path": "/var/log/nginx/access.log.9.gz"
}

* registro original```verilog
192.168.133.70 - - [23/Jan/2022:19:14:37 +0000] "GET /blog/ HTTP/1.1" 200 2497 "https://u0041.co/" "Mozilla/5.0 (X11; Linux x86_64; rv:78.0) Gecko/20100101 Firefox/78.0"

Para cambiar el nombre del campo `time` a `@timestamp`, agregamos la siguiente configuración de maps a las configuraciones del artefacto:```yaml
artifcats:
  - name: nginx_access
    type: parse
    description: "Nginx access logs"
    paths:
      - /var/log/nginx/access.*
    regex: '(?P<c_ip>[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}) - (?P<remote_user>[^ ]+) \[(?P<time>[0-9]{2}/[a-zA-Z]{3}/[0-9]{4}:[0-9]{2}:[0-9]{2}:[0-9]{2} \+[0-9]{4})\] "(?P<method>[A-Z]+)?[ ]?(?P<uri>.*?)[ ]?(HTTP/(?P<http_prot>[0-9\.]+))?" (?P<status_code>[0-9]{3}) (?P<body_bytes_sent>[0-9]+) "(?P<referer>.*?)" "(?P<user_agent>.*?)"'
    maps:
    - from: time		#change field name from
      to: '@timestamp'	# to this name

#### Modificadores

modificadores proporciona procesamiento posterior al valor de campo de los resultados del artefacto. Por ejemplo, reformateando fecha y hora. Continuando con el ejemplo anterior, podemos cambiar el formato de fecha y hora en el campo `@timestamp` al formato `%Y-%m-%d %H:%M:%S`. Podemos agregar lo siguiente a las configuraciones del artefacto para lograr eso:```yaml
artifacts:
  - name: nginx_access
    type: parse
    description: "Nginx access logs"
    paths:
      - /var/log/nginx/access.*
    regex: '(?P<c_ip>[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}) - (?P<remote_user>[^ ]+) \[(?P<time>[0-9]{2}/[a-zA-Z]{3}/[0-9]{4}:[0-9]{2}:[0-9]{2}:[0-9]{2} \+[0-9]{4})\] "(?P<method>[A-Z]+)?[ ]?(?P<uri>.*?)[ ]?(HTTP/(?P<http_prot>[0-9\.]+))?" (?P<status_code>[0-9]{3}) (?P<body_bytes_sent>[0-9]+) "(?P<referer>.*?)" "(?P<user_agent>.*?)"'
    maps:
    - from: time
      to: "@timestamp"
      modifier: 
        name: datetime_to_iso
        parameters:
          input_time_format: '%d/%b/%Y:%H:%M:%S %z'
          output_time_format: '%Y-%m-%d %H:%M:%S'

Los modificadores disponibles son:

| Nombre                     | Detalles                                                     | input_time_format                      | output_time_format                                           |
| ------------------------ | ------------------------------------------------------------ | -------------------------------------- | ------------------------------------------------------------ |
| epoch_to_iso             | Convierte la marca de tiempo epoch a un formato de fecha y hora personalizado      | N/A                                    | especificar el formato de fecha y hora de salida , el valor predeterminado es `%Y-%m-%d %H:%M:%S` |
| datetime_to_iso          | Reformatear la fecha y hora del formato `input_time_format` al formato `output_time_format` | especificar el formato de entrada de fecha y hora | especificar el formato de salida de fecha y hora , el valor predeterminado es `%Y-%m-%d %H:%M:%S` |
| time_without_year_to_iso | Formatear la fecha y hora sin datos de año del formato `input_time_format` al formato `output_time_format` | especificar el formato de entrada de fecha y hora | especificar el formato de salida de fecha y hora , el valor predeterminado es `%Y-%m-%d %H:%M:%S` |
| to_int | Convertir datos de cadena (como tipos de artefacto `command` y `parse`) a enteros (`i64` i.e. entero de 64 bits con signo). Esto es útil con campos como el tamaño de archivo para poder hacer comprobaciones como `size < 1024` utilizando la plataforma de datos de nuestra elección | N/A | N/A |

El modificador `time_without_year_to_iso` funciona de la siguiente manera:

* Agregar el año actual y luego verificar si el tiempo de análisis < tiempo actual, si es así, entonces es el tiempo correcto
* de lo contrario, es el año anterior

Este modificador asume que los registros son para **SOLO** un año, use este modificador con precaución