withsecureopensource/chainsawBusca y rastrea rápidamente a través de artefactos forenses de Windows
Chainsaw proporciona una potente capacidad de 'primera respuesta' para identificar rápidamente amenazas dentro de artefactos forenses de Windows, como los registros de eventos y el archivo MFT. Chainsaw ofrece un método genérico y rápido de búsqueda a través de registros de eventos por palabras clave, y mediante la identificación de amenazas utilizando soporte integrado para reglas de detección Sigma, y a través de reglas de detección personalizadas de Chainsaw.
Se puede encontrar información ampliada en la Wiki de esta herramienta: https://github.com/WithSecureLabs/chainsaw/wiki
En WithSecure Countercept, ingerimos una amplia gama de fuentes de telemetría desde los endpoints a través de nuestro agente EDR para proporcionar nuestro servicio gestionado de detección y respuesta. Sin embargo, hay circunstancias en las que necesitamos analizar rápidamente artefactos forenses que no han sido capturados por nuestro EDR, un ejemplo común siendo investigaciones de respuesta a incidentes en un entorno donde nuestro EDR no estaba instalado en el momento del compromiso. Chainsaw fue creado para proporcionar a nuestros cazadores de amenazas y consultores de respuesta a incidentes una herramienta para realizar un triaje rápido de artefactos forenses en estas circunstancias.
Los registros de eventos de Windows proporcionan una rica fuente de información forense para la caza de amenazas y las investigaciones de respuesta a incidentes. Desafortunadamente, procesar y buscar a través de los registros de eventos puede ser un proceso lento y que consume mucho tiempo, y en la mayoría de los casos requiere la sobrecarga de infraestructura circundante – como un stack ELK o una instancia de Splunk – para cazar eficientemente a través de los datos de registro y aplicar lógica de detección. Esta sobrecarga a menudo significa que los equipos azules no pueden realizar un triaje rápido de los registros de eventos de Windows para proporcionar la dirección y las conclusiones necesarias para avanzar en sus investigaciones. Chainsaw resuelve el problema ya que permite la búsqueda y caza rápidas a través de los registros de eventos de Windows.
En el momento de escribir esto, hay muy pocas herramientas de código abierto e independientes que proporcionen un método simple y rápido de triaje de registros de eventos de Windows, identificando elementos interesantes dentro de los registros y aplicando un formato de regla de lógica de detección (como Sigma) para detectar signos de actividad maliciosa. En nuestras pruebas, las herramientas que existían tenían dificultades para aplicar eficientemente la lógica de detección a grandes volúmenes de registros de eventos, lo que las hacía inadecuadas para escenarios donde se requiere un triaje rápido.
Usando los parámetros --sigma y --mapping puedes especificar un directorio que contenga un subconjunto de reglas de detección SIGMA (o simplemente todo el repositorio git de SIGMA) y chainsaw cargará, convertirá y ejecutará automáticamente estas reglas contra los registros de eventos proporcionados. El archivo de mapeo le indica a chainsaw qué campos en los registros de eventos usar para la coincidencia de reglas. Por defecto, Chainsaw soporta una amplia gama de tipos de registros de eventos, incluyendo pero no limitado a:
| Tipo de evento | ID de evento |
|---|---|
| Creación de proceso (Sysmon) | 1 |
| Conexiones de red (Sysmon) | 3 |
| Cargas de imágenes (Sysmon) | 7 |
| Creación de archivos (Sysmon) | 11 |
| Eventos de registro (Sysmon) | 13 |
| Bloques de script de Powershell | 4104 |
| Creación de proceso | 4688 |
| Creación de tarea programada | 4698 |
| Creación de servicio | 7045 |
Consulta el archivo de mapeo para la lista completa de campos que se utilizan para la detección de reglas, y siéntete libre de extenderlo según tus necesidades.
Además de soportar reglas sigma, Chainsaw también soporta un formato de regla personalizado. En el repositorio encontrarás un directorio rules que contiene varias reglas de Chainsaw que permiten a los usuarios:
Con el lanzamiento de Chainsaw v2, decidimos ya no incluir los repositorios Sigma Rules y EVTX-Attack-Samples como submódulos de Chainsaw. Recomendamos que clones estos repositorios por separado para asegurarte de tener las últimas versiones.
Si aún necesitas un paquete todo en uno que contenga el binario de Chainsaw, las reglas Sigma y registros de eventos de ejemplo, puedes descargarlo desde la sección de releases de este repositorio de GitHub. En esta sección de releases también encontrarás versiones precompiladas solo del binario de Chainsaw para varias plataformas y arquitecturas.
Si quieres compilar Chainsaw tú mismo, puedes clonar el repositorio de Chainsaw:
git clone https://github.com/WithSecureLabs/chainsaw.git
