F-Secure Lightweight Acquisition for Incident Response (FLAIR)

Ce document décrit l'objectif et le fonctionnement de base du script d'acquisition FLAIR.

Objectif

Lors des investigations d'incidents sur le parc client, il arrive qu'aucun EDR ne soit déployé et que l'équipe d'IR ne puisse pas l'utiliser pour collecter des artefacts sur l'ensemble du parc. FLAIR a été créé pour effectuer l'acquisition semi-automatisée d'un certain nombre d'artefacts clés depuis un hôte cible. FLAIR comble le fossé entre le niveau de données approfondi disponible à partir d'une image forensique complète de l'hôte et l'approche plus ciblée et interactive proposée par les solutions EDR.

Conception

FLAIR a été créé sur la base des principes suivants :

• Dans la mesure du possible, n'utiliser que des outils natifs des systèmes Microsoft Windows, c'est-à-dire uniquement des programmes « intégrés » au système d'exploitation.
• Aucun programme tiers, c'est-à-dire uniquement des exécutables signés par Microsoft, afin de réduire l'impact de l'exécution de l'acquisition sur des sites clients sensibles.
• Fonctionnement par fichier batch pour une compatibilité maximale et un minimum de dépendances.
• Windows XP est la version de plateforme minimale pour permettre les collectes sur des systèmes hors support (par exemple, environnements IoT/ICS).

Remarques

Oui, nous utilisons toujours MD5 et nous sommes conscients de la possibilité de collision, mais a) c'est moins coûteux en calcul, donc plus rapide à exécuter b) s'il y a une collision, cela vous apprend quelque chose ;-)

L'utilisation de FLAIR sur plusieurs locales reste la même (français, allemand, etc.). Il convient de noter que la sortie de nombreuses commandes renverra du contenu en texte brut dans la langue de la machine sur laquelle elle s'exécute, comme « NETSTAT -ANO » :