factual-rules-generator

Factual-rules-generator एक ओपन सोर्स प्रोजेक्ट है जिसका उद्देश्य चल रहे ऑपरेटिंग सिस्टम से इंस्टॉल किए गए सॉफ़्टवेयर के बारे में YARA नियम उत्पन्न करना है।

सॉफ़्टवेयर का लक्ष्य एकत्रित या अधिग्रहित डिजिटल फोरेंसिक साक्ष्यों के विरुद्ध नियमों के एक सेट का उपयोग करने और समय पर इंस्टॉल किए गए सॉफ़्टवेयर को खोजने में सक्षम होना है।

सॉफ़्टवेयर का उपयोग विंडोज सिस्टम से ज्ञात सॉफ़्टवेयर को बेसलाइन करने और अन्य सिस्टम पर समान इंस्टॉलेशन खोजने के लिए नियमों का एक सेट बनाने के लिए किया जा सकता है।

निर्भरताएँ

• pefile

• psutil

• ndjson

• python-tlsh

• PyInstaller (client.py को client.exe में बदलने के लिए)

• ssdeep

  • Ubuntu पर:
    • sudo apt-get install build-essential libffi-dev python3 python3-dev python3-pip libfuzzy-dev
    • pip install ssdeep

उपकरण आवश्यकताएँ

होस्ट ऑपरेटिंग सिस्टम पर कुछ उपकरण आवश्यक हैं, कुछ यूनिक्स मानक उपकरण हैं और कुछ अतिरिक्त:

• xxd
• curl

विंडोज वर्चुअल मशीन के लिए, निम्नलिखित सॉफ़्टवेयर स्थापित होना आवश्यक है:

• SDelete
• AsA (AttackSurfaceAnalyzer)

स्थापना

• requirements.txt में परिभाषित सभी Python निर्भरताएँ स्थापित करें
• VM के साथ संचार करने के लिए एक साझा फ़ोल्डर बनाएँ
• एक विंडोज VM स्थापित करें
  • विंडोज VM पर chocolatey स्थापित करें
  • bin/OnWindows/Varclient.py को पूरा करें
  • PyInstaller के साथ bin/OnWindows/client.py को एक निष्पादन योग्य फ़ाइल में बदलें और स्टार्टअप फ़ोल्डर में रखें
• अपनी वांछित कॉन्फ़िगरेशन से मेल खाने के लिए etc/allVariables.py को अपडेट करें

test/ में स्थापित करने के लिए सॉफ़्टवेयर के कुछ उदाहरण दिए गए हैं, निम्नलिखित विशिष्ट प्रारूप की आवश्यकता है:

• पहले, : से पहले chocolatey का उपयोग करके स्थापित करने के लिए पैकेजों का नाम चुनें, या msi या exe फ़ाइल के मामले में फ़ाइल का नाम चुनें।
• दूसरा, : के बाद निकालने और चलाने के लिए exe का नाम है (बिना एक्सटेंशन के)।
• , के बाद दूसरा भाग उसी प्रणाली का अनुसरण करता है जिसमें पहले installer शब्द और फिर : के बाद इंस्टॉलर का प्रकार:
  • choco
  • msiexec
  • exe
• अंत में, तीसरा भाग, uninstaller के बाद : और अनइंस्टॉलर जैसे choco, msiexec या exe

नियम चलाएँ और उत्पन्न करें

• bin/Generator.py चलाने के लिए एकमात्र स्क्रिप्ट है, etc/allVariables.py को अपडेट करना न भूलें (महत्वपूर्ण कदम)।

सार्वजनिक YARA नियम भंडार

• factual-rules - कुछ बहुत सामान्य सॉफ़्टवेयर से उत्पन्न नमूना नियम।

factual rules जनरेटर का अवलोकन

लाइसेंस

    Factual-rules-generator is an open source project which aims to generate YARA rules about installed software from a machine. 

    Copyright (C) 2021-2022 David Cruciani
    Copyright (C) 2021-2022 CIRCL - Computer Incident Response Center Luxembourg

    This program is free software: you can redistribute it and/or modify
    it under the terms of the GNU Affero General Public License as published by
    the Free Software Foundation, either version 3 of the License, or
    (at your option) any later version.

    This program is distributed in the hope that it will be useful,
    but WITHOUT ANY WARRANTY; without even the implied warranty of
    MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
    GNU Affero General Public License for more details.

    You should have received a copy of the GNU Affero General Public License
    along with this program.  If not, see <http://www.gnu.org/licenses/>.