-o, --output <FILE>
        Sets output file name [default: ABDULRHMAN-PC.zip]

-l, --log-level <LEVEL>
        Sets the log level [default: info] [possible values: trace, debug, info, error]

-f, --log-file <FILE>
        Sets the log file name [default: fennec.log]

-u, --upload-artifact <CONFIG>...
        Upload configuration string. Supported Protocols:
        * s3 : Upload artifact package to S3 bucket (ex. minio)
            * Format :
        s3://<ACCESS_KEY>:<SECRET_ACCESS_KEY>@(http|https)://<HOSTNAME>:<PORT>/<BUCKET_NAME>:<PATH>
            * Example (minio): s3://minioadmin:minioadmin@http://192.168.100.190:9000/fennec:/
        * aws3 : Upload artifact package to AWS S3 bucket
            * Format : aws3://<ACCESS_KEY>:<SECRET_ACCESS_KEY>@<AWS_REGOIN>.<BUCKET_NAME>:<PATH>
            * Example: aws3://AKIAXXX:[email protected]:/
        * scp : Upload artifact package to a server using SCP protocol
            * Format : scp://<USERNAME>:<PASSWORD>@<HOSTNAME>:<PORT>:<PATH>
            * Example: scp://testusername:[email protected]:22:/dev/shm

-q, --quiet
        Do not print logs to stdout

-t, --timeout <SEC>
        Sets osquery queries timeout in seconds [default: 60]

-h, --help
        Print help information

    --non-root
        Run Fennec with non root permisions. This isn't recommended, most artifacts require root
        permissions

    --osquery-path <PATH>
        Sets osquery path, if osquery is embedded it will be writen to this path otherwise the
        path will be used to spawn osquery instance (Embedded : true) [default: ./osqueryd]

    --output-format <FORMAT>
        Sets output format [default: jsonl] [possible values: jsonl, csv, kjson]

    --show-config
        Show the embedded configuration file

    --show-embedded
        Show the embedded files metadata

-V, --version
        Print version information

* `-c`, `--config` : Utiliser le fichier de configuration spécifié au lieu de la configuration intégrée
* `-f`, `--log-file` : Modifier le nom par défaut du fichier journal (par défaut : `fennec.log`)
* `-h`, `--help` : Afficher le message d'aide
* `-l`, `--log-level` : Modifier le niveau de journalisation par défaut (par défaut : `info`)
* `-o`, `--output` : Modifier le nom de fichier de sortie par défaut pour le fichier zip (par défaut : `{HOSTNAME}.zip`, où hostname est le nom de la machine évalué à l'exécution) 
* `--osquery-path` : Chemin vers l'exécutable osquery. Cette valeur sera utilisée selon ces conditions :
  * Si le binaire osquery est intégré dans `fennec`, alors l'extraire et le déposer dans `--osquery-path`
  * Si osquery n'est pas intégré dans `fennec`, alors utiliser le binaire osquery au chemin `--osquery-path`
* `--output-format` : Choisir le format de sortie. Formats pris en charge :
  * jsonl : Objets JSON séparés par des sauts de ligne (par défaut)
  * csv : Valeurs séparées par des virgules
  * kjson : Utiliser ce format si vous souhaitez télécharger le fichier résultant vers la plateforme d'analyse [Kuiper](https://github.com/DFIRKuiper/Kuiper).
* `-q`, `--quiet` : Ne pas afficher les journaux sur `stdout`
* `--non-root` : Exécuter Fennec avec des permissions non root. Par défaut, Fennec nécessite des permissions `root` et quittera avec un message d'erreur s'il n'est pas root.
* `--show-config` : Afficher la configuration intégrée puis quitter
* `--show-embedded` : Afficher les fichiers intégrés
* `-t`, `--timeout` : Définit le délai d'attente en secondes pour chaque osquery dans le type d'artefact de requête
* `-u`, `--upload-artifact` : Télécharger le package d'artefact vers un serveur distant. Protocoles pris en charge :
  * `s3` : Télécharger le package d'artefact vers un bucket S3
    * `Format` : s3://<ACCESS_KEY>:<SECRET_ACCESS_KEY>@(http|https)://<HOSTNAME>:<PORT>/<BUCKET_NAME>:<PATH>
    * `Exemple` : s3://minioadmin:minioadmin@http://192.168.100.190:9000/fennec:/
  * `aws3` : Télécharger le package d'artefact vers un bucket AWS S3
    * `Format` : aws3://<ACCESS_KEY>:<SECRET_ACCESS_KEY>@<AWS_REGOIN>.<BUCKET_NAME>:<PATH>
    * `Exemple` : aws3://AKIAXXXXXXXXXXXXXXXXX:[email protected]:/
  * `scp` : Télécharger le package d'artefact vers un serveur en utilisant le protocole SCP
      * `Format` : scp://`<USERNAME>`:`<PASSWORD>`@`<HOSTNAME>`:`<PORT>`:`<PATH>`
      * `Exemple` : scp://testusername:[email protected]:22:/dev/shm
* `-V`, `--version` : Afficher la version de `fennec` puis quitter

## Compiler avec les dépendances 👨‍💻

fennec dépend de `osquery` pour exécuter les artefacts de type `query`. Le répertoire appelé `deps` contient le fichier qui sera intégré dans le binaire selon le système d'exploitation et l'architecture cibles. Avant de compiler, suivez les étapes ci-dessous :

* Modifier le fichier de configuration `deps/<TARGET_OS>/fennec.yaml` selon les besoins

* Construire le binaire en utilisant l'une des commandes ci-dessous :

  * Lié dynamiquement :  ```bash
  cargo build --release

ou ajouter ce qui suit à la section `args` dans la configuration :```yaml
args:
  - "--output-format"
  - "kjson"

téléchargez ensuite le fichier zip résultant vers Kuiper, voici un exemple :

![kuiper_example](https://assets.kitploit.com/production/public/readmes/5116/8dd59147b5c77e04c01a7cd6d577c977a8f0ebf07053c0502ddeca5172f1a532.gif)

## Configuration🔨

Par défaut, la configuration située dans le chemin `deps/<TARGET_OS>/fennec.yaml` sera intégrée dans l'exécutable lors de la compilation. La configuration est au format YAML et comporte deux sections :

### Args

contient une liste d'arguments à passer à l'exécutable en tant qu'arguments de ligne de commande. Voici un exemple pour la section `args` qui définira le format de sortie sur `jsonl` et le nom du fichier journal sur `fennec.log` :```yaml
args:
- "--output-format"
- "jsonl"
- "--log-file"
- "fennec.log"
...

#### Types d'artefacts : Collection

Ce type d'artefact collecte les fichiers/dossiers spécifiés dans le champ **paths**. Voici un exemple de ce type d'artefact qui collecte les journaux système :```yaml
artifacts:
  - name: logs
    type: collection
    description: "Collect system logs"
    paths:
      - '/var/log/**/*'
...

Ce type d'artefact exécutera les commandes de la liste `commands` et analysera le `stdout` à l'aide de l'expression régulière spécifiée dans le champ `regex`. Notez que l'expression régulière ne sera traitée que sur le flux `stdout` et non sur `stderr`. De plus, le champ `regex` est facultatif. Voici un exemple des résultats avec et sans le champ `regex` :
##### Sans le champ `regex````json
{
  "line": 0,
  "stdout": "root     pts/1                         2023-09-12T17:13:28+03:00 - 2023-09-12T17:13:28+03:00  (00:00)"
}

#### Types d'artefacts : Analyse

Ce type d'artefact permet d'analyser des fichiers texte à l'aide d'expressions régulières et de renvoyer les données dans un format structuré. L'exemple ci-dessous analyse les logs d'accès nginx et renvoie les résultats dans un format structuré :```yaml
artifcats:
  - name: nginx_access
    type: parse
    description: "Nginx access logs"
    paths:
      - /var/log/nginx/access.*
    regex: '(?P<c_ip>[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}) - (?P<remote_user>[^ ]+) \[(?P<time>[0-9]{2}/[a-zA-Z]{3}/[0-9]{4}:[0-9]{2}:[0-9]{2}:[0-9]{2} \+[0-9]{4})\] "(?P<method>[A-Z]+)?[ ]?(?P<uri>.*?)[ ]?(HTTP/(?P<http_prot>[0-9\.]+))?" (?P<status_code>[0-9]{3}) (?P<body_bytes_sent>[0-9]+) "(?P<referer>.*?)" "(?P<user_agent>.*?)"'

* enregistrement analysé  ```json
{
  "c_ip": "192.168.133.70",
  "remote_user": "-",
  "time": "23/Jan/2022:19:14:37 +0000",
  "method": "GET",
  "uri": "/blog/",
  "http_prot": "1.1",
  "status_code": "200",
  "body_bytes_sent": "2497",
  "referer": "https://u0041.co/",
  "user_agent": "Mozilla/5.0 (X11; Linux x86_64; rv:78.0) Gecko/20100101 Firefox/78.0",
  "full_path": "/var/log/nginx/access.log.9.gz"
}

* enregistrement original```verilog
192.168.133.70 - - [23/Jan/2022:19:14:37 +0000] "GET /blog/ HTTP/1.1" 200 2497 "https://u0041.co/" "Mozilla/5.0 (X11; Linux x86_64; rv:78.0) Gecko/20100101 Firefox/78.0"

Pour changer le nom du champ `time` en `@timestamp`, nous ajoutons la configuration de mappage suivante aux configurations d'artefact :```yaml
artifcats:
  - name: nginx_access
    type: parse
    description: "Nginx access logs"
    paths:
      - /var/log/nginx/access.*
    regex: '(?P<c_ip>[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}) - (?P<remote_user>[^ ]+) \[(?P<time>[0-9]{2}/[a-zA-Z]{3}/[0-9]{4}:[0-9]{2}:[0-9]{2}:[0-9]{2} \+[0-9]{4})\] "(?P<method>[A-Z]+)?[ ]?(?P<uri>.*?)[ ]?(HTTP/(?P<http_prot>[0-9\.]+))?" (?P<status_code>[0-9]{3}) (?P<body_bytes_sent>[0-9]+) "(?P<referer>.*?)" "(?P<user_agent>.*?)"'
    maps:
    - from: time		#change field name from
      to: '@timestamp'	# to this name

#### Modificateurs

Les modificateurs fournissent un post-traitement sur la valeur de champ des résultats d'artefact. Par exemple, le reformatage de la date et de l'heure. Poursuivant sur l'exemple ci-dessus, nous pouvons modifier le format de date et d'heure dans le champ `@timestamp` vers le format `%Y-%m-%d %H:%M:%S`. Nous pouvons ajouter ce qui suit aux configurations d'artefact pour y parvenir :```yaml
artifacts:
  - name: nginx_access
    type: parse
    description: "Nginx access logs"
    paths:
      - /var/log/nginx/access.*
    regex: '(?P<c_ip>[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}) - (?P<remote_user>[^ ]+) \[(?P<time>[0-9]{2}/[a-zA-Z]{3}/[0-9]{4}:[0-9]{2}:[0-9]{2}:[0-9]{2} \+[0-9]{4})\] "(?P<method>[A-Z]+)?[ ]?(?P<uri>.*?)[ ]?(HTTP/(?P<http_prot>[0-9\.]+))?" (?P<status_code>[0-9]{3}) (?P<body_bytes_sent>[0-9]+) "(?P<referer>.*?)" "(?P<user_agent>.*?)"'
    maps:
    - from: time
      to: "@timestamp"
      modifier: 
        name: datetime_to_iso
        parameters:
          input_time_format: '%d/%b/%Y:%H:%M:%S %z'
          output_time_format: '%Y-%m-%d %H:%M:%S'

Les modificateurs disponibles sont :

| Nom                     | Détails                                                      | format_entrée_temps                      | format_sortie_temps                                           |
| ------------------------ | ------------------------------------------------------------ | -------------------------------------- | ------------------------------------------------------------ |
| epoch_to_iso             | Convertit un timestamp epoch en un format de date et heure personnalisé      | N/A                                    | spécifiez le format de date et heure de sortie, par défaut est `%Y-%m-%d %H:%M:%S` |
| datetime_to_iso          | Reformate la date et l'heure du format `input_time_format` vers le format `output_time_format` | spécifiez le format de date et heure d'entrée | spécifiez le format de date et heure de sortie, par défaut est `%Y-%m-%d %H:%M:%S` |
| time_without_year_to_iso | Formate la date et l'heure sans donnée d'année du format `input_time_format` vers le format `output_time_format` | spécifiez le format de date et heure d'entrée | spécifiez le format de date et heure de sortie, par défaut est `%Y-%m-%d %H:%M:%S` |
| to_int | Convertit des données string (comme les types d'artefacts `command` & `parse`) en entiers (`i64` c'est-à-dire entier 64 bits signé). Ceci est utile avec des champs comme la taille du fichier pour effectuer des vérifications comme `size < 1024` en utilisant la plateforme de données de notre choix | N/A | N/A |

Le modificateur `time_without_year_to_iso` fonctionne comme suit :

* Ajoute l'année en cours puis vérifie si le temps du parseur est inférieur au temps actuel ; si c'est le cas, alors c'est le bon moment
* sinon, il s'agit de l'année précédente

Ce modificateur suppose que les journaux concernent **UNIQUEMENT** une année, utilisez ce modificateur avec précaution