DFIR4vSphere se presentó por primera vez en el CoRI&IN 2022 (Conférence sur la réponse aux incidents et l’investigation numérique). Las diapositivas de la presentación, en francés, están disponibles aquí. También se presentó en el SANS DFIR Summit 2022; hay una grabación de la presentación disponible aquí.

Instalación y requisitos previos:

Instalación manual.

DFIR4vSphere utiliza el módulo VMware PowerCLI; por favor, instálelo antes de usar el módulo:

Una vez instalado, localice la ruta de los módulos de PowerShell con el siguiente comando:

Copie la carpeta DFIR4vSphere en una de las rutas de módulos, por ejemplo:

El módulo DFIR4vSphere está instalado; reinicie la consola de PowerShell y cargue el módulo:

A continuación, debe conectarse al vCenter que está investigando antes de iniciar la recopilación de datos:

Usar Docker para ejecutar DFIR4vSphere.

Use docker-compose para construir la imagen, ejecutar el contenedor y montar un volumen para recuperar los registros:

El módulo está listo para usar.

Recopilación de datos de Start-VC_Investigation:

Recopile los eventos VI de vCenter de los últimos 30 días:

Realice la misma recopilación con el paquete de soporte de vCenter; haga esto en caso de sospechar un compromiso en la propia appliance de vCenter. En ese caso, también debe realizar una investigación forense Linux clásica en el host de vCenter:

El parámetro LightVIEvents recopilará solo los tipos de eventos que se consideran de interés. Use esta opción si la infraestructura investigada es grande y la recopilación normal es demasiado lenta.

Con LightVIEventTypesId puede filtrar los tipos de eventos específicos que desee recopilar. Hay una lista completa de identificadores de tipo de evento disponible aquí. Por ejemplo, para recuperar solo los eventos de autenticación en el vCenter, puede ejecutar el siguiente comando:

La retención de registros predeterminada de los eventos VI es de 30 días, pero puede intentar recuperar eventos más antiguos. A veces se recuperan registros más allá de la estrategia de retención configurada.

Recopilación de datos de Start-ESXi_Investigation:

Este comando tomará como entrada un host ESXi por su nombre o recuperado con el cmdlet Get-VMHost de PowerCLI. Por ejemplo, para realizar una recopilación básica en todos los hosts ESXi conectados al vCenter:

El comando anterior generará varios archivos CSV que describen procesos en ejecución, conexiones abiertas, cuentas locales y recuperará varios ajustes de configuración...

Si también necesita recuperar los registros locales del ESXi (como shell.log o auth.log), deberá generar un paquete de soporte.

El siguiente comando recupera todos los ESXi de un clúster determinado y genera un paquete de soporte para cada hipervisor.

También puede seleccionar un host ESXi concreto y generar su paquete de soporte indicando su nombre.

Generar paquetes de soporte para todos los ESXi conectados a un vCenter puede llevar tiempo en entornos grandes.

Archivos generados:

Los archivos que genera cada función son:

• Start-VC_Investigation: Se crean un archivo de registro y cuatro archivos CSV en la carpeta raíz. Los eventos VI se encuentran en el directorio VI_Events_%VC_Name%; si recopila todos los eventos, se almacenan en una carpeta para cada día; si utiliza el parámetro LightVIEvents, se almacenan en un archivo por tipo de evento. Opcionalmente, si el parámetro VCBundle está habilitado, se genera un archivo tgz en el directorio Support_Bundles.
• Start-ESXi_Investigation: Se genera un archivo de registro en la carpeta raíz. Para cada hipervisor investigado se crea una carpeta %ESX_Name%; en esa carpeta se generan varios archivos CSV: se recopilan procesos en ejecución, servicios, conexiones abiertas... Opcionalmente, si el parámetro ESXBundle está habilitado, se genera un archivo tgz en el directorio Support_Bundles.

Al ejecutar las distintas funciones se generará una estructura de directorios similar:

Análisis de registros con Splunk:

Una vez completada la recopilación con ambas funciones, obtendrá registros de:

• Start-VC_Investigation: Los eventos VI recopilados están en formato JSON y pueden indexarse fácilmente en Splunk usando el campo JSON CreatedTime como marca de tiempo.
• Start-ESXi_Investigation: Los registros locales de ESXi recuperados en los paquetes de soporte y ubicados en el directorio /var/run/log también se pueden indexar mediante los tipos de origen disponibles en el addon de Splunk para ESXi.

Cuando los actores de amenazas cifran el vCenter:

En algunos casos de ransomware, el actor de amenazas (TA) detiene el VC y, además, puede restablecer las cuentas root locales de ESXi. En ese caso, su única opción es restaurar el vCenter desde una copia de seguridad; los ESXi comprometidos se volverán a conectar automáticamente al vCenter y, a continuación, podrá lanzar DFIR4vSphere. Para volver a acceder a los ESXi comprometidos con cuentas locales, puede realizar un restablecimiento de contraseña mediante llamadas a la API de vCenter (aquí hay un script para realizar la acción: https://www.hypervisor.fr/?p=5655).