mozilla/migक्लाउड की गति पर वितरित और वास्तविक समय डिजिटल फोरेंसिक्स
MIG दूरस्थ एंडपॉइंट्स की जांच शल्यक्रिया के लिए Mozilla का प्लेटफॉर्म है।
Mozilla अब Mozilla InvestiGator (MIG) प्रोजेक्ट का रखरखाव नहीं कर रहा है।
Mozilla आंतरिक रूप से इस कोड का उपयोग भी नहीं कर रहा है।
आप इस कोड का उपयोग बिना किसी वारंटी के ज्यों का त्यों कर सकते हैं। कृपया विकास जारी रखने के लिए इसे fork करें।
You can spin up a local-only MIG setup using docker. The container is not suitable for production use but lets you experiment with MIG quickly, providing a single container environment that has most of the MIG components available.
To pull from Docker Hub:
$ docker pull mozilla/mig
$ docker run -it mozilla/mig
Or, if you have the source checked out in your GOPATH you can build your own image:
$ cd $GOPATH/src/github.com/mozilla/mig
$ docker build -t mozilla/mig:latest .
$ docker run -it mozilla/mig
Once inside the container, you can use the MIG tools to query a local agent, as such:
mig@5345268590c8:~$ /go/bin/mig file -t all -path /usr/bin -sha2 5c1956eba492b2c3fffd8d3e43324b5c477c22727385be226119f7ffc24aad3f
1 agents will be targeted. ctrl+c to cancel. launching in 5 4 3 2 1 GO
Following action ID 7978299359234.
1 / 1 [=========================================================] 100.00% 0/s4s
100.0% done in 3.029105958s
1 sent, 1 done, 1 succeeded
ed11f485244a /usr/bin/wget [lastmodified:2016-07-05 15:32:42 +0000 UTC, mode:-rwxr-xr-x, size:419080] in search 's1'
1 agent has found results
MIG की क्षमताओं का पता लगाने के लिए, CheatSheet पर एक नज़र डालें।
MIG उन एजेंटों से बना है जो किसी बुनियादी ढांचे के सभी सिस्टम पर स्थापित होते हैं और एंडपॉइंट्स के फ़ाइल-सिस्टम, नेटवर्क स्थिति, मेमोरी या कॉन्फ़िगरेशन की जांच करने के लिए रीयल-टाइम में क्वेरी की जा सकते हैं।
कल्पना करें कि शनिवार की सुबह 7 बजे हैं, और किसी ने आपके पसंदीदा PHP एप्लिकेशन के लिए एक गंभीर कमजोरी जारी कर दी है। यह कमजोरी पहले से ही शोषित है और सुरक्षा समूह समझौता संकेतक (IOC) जारी कर रहे हैं। आपका सप्ताहांत अच्छी शुरुआत नहीं कर रहा है, और हज़ारों सिस्टमों का मैन्युअल निरीक्षण करने का विचार इसे और बेहतर नहीं बना रहा है।
MIG मदद कर सकता है। कमजोर PHP ऐप के हस्ताक्षर (एक फ़ाइल का md5, एक regex, या सिर्फ एक फ़ाइलनाम) को file मॉड्यूल का उपयोग करके आपके सभी सिस्टमों पर खोजा जा सकता है। इसी तरह, IOC जैसे विशिष्ट लॉग प्रविष्टियाँ, md5 और sha1/2/3 हैश वाली बैकडोर फ़ाइलें, बॉटनेट से IP पते या प्रक्रिया मेमोरी में बाइट स्ट्रिंग्स को MIG का उपयोग करके जांचा जा सकता है। अचानक, आपका सप्ताहांत काफी बेहतर दिख रहा है। और केवल कुछ कमांडों के साथ, हज़ारों सिस्टमों की दूरस्थ रूप से जांच की जाएगी ताकि यह सुनिश्चित हो सके कि आप जोखिम में नहीं हैं।
MIG एजेंटों को हल्का, सुरक्षित और तैनात करने में आसान बनाने के लिए डिज़ाइन किया गया है ताकि आप अपने पसंदीदा sysadmins से इसे बेस डिप्लॉयमेंट में जोड़ने के लिए कह सकें बिना पूरे प्रोडक्शन नेटवर्क को तोड़ने के डर के। सभी पैरामीटर एजेंट में कंपाइल टाइम पर बनाए जाते हैं, जिसमें अधिकृत अन्वेषकों की सूची और ACL शामिल हैं। सुरक्षा PGP कुंजियों का उपयोग करके लागू की जाती है, और यदि MIG के सर्वर से समझौता भी हो जाता है, जब तक हमारी कुंजियाँ आपके अन्वेषक के लैपटॉप पर सुरक्षित हैं, कोई भी एजेंटों में नहीं घुस पाएगा।
MIG तेज़ और अतुल्यकालिक होने के लिए डिज़ाइन किया गया है। यह एंडपॉइंट्स पर क्रियाएँ वितरित करने के लिए AMQP का उपयोग करता है, और घटकों को ब्लॉक होने से रोकने के लिए Go चैनलों पर निर्भर करता है। चल रही क्रियाएँ और कमांड Postgresql डेटाबेस और डिस्क कैश पर संग्रहीत की जाती हैं, ताकि प्लेटफ़ॉर्म की विश्वसनीयता लंबे समय तक चलने वाली प्रक्रियाओं पर निर्भर न हो।
गति एक मजबूत आवश्यकता है। अधिकांश क्रियाओं को एजेंटों पर चलने में केवल कुछ सौ मिलीसेकंड लगेंगे। बड़ी क्रियाएँ, उदाहरण के लिए जब किसी बड़ी निर्देशिका में हैश की खोज की जाती है, तो एक या दो मिनट से कम समय में चलनी चाहिए। कुल मिलाकर, एक जांच आमतौर पर 10 से 300 सेकंड के बीच पूरी होती है।
गोपनीयता और सुरक्षा सर्वोपरि हैं। एजेंट कभी भी कच्चा डेटा प्लेटफ़ॉर्म पर वापस नहीं भेजते, बल्कि केवल प्रश्नों का उत्तर देते हैं। सभी क्रियाओं पर GPG कुंजियों द्वारा हस्ताक्षर किए जाते हैं जो प्लेटफ़ॉर्म पर संग्रहीत नहीं होती हैं, इस प्रकार समझौते को पूरे बुनियादी ढांचे पर कब्जा करने से रोका जाता है।
MIG Go में बनाया गया है और एक REST API का उपयोग करता है जो हस्ताक्षरित JSON संदेश प्राप्त करता है जो RabbitMQ के माध्यम से एजेंटों को वितरित किए जाते हैं और Postgres डेटाबेस में संग्रहीत होते हैं।
यह है:
कंसोल इंटरफ़ेस की अधिक सामान्य प्रस्तुति और एक डेमो के लिए यह 10 मिनट का वीडियो देखें।
MIG को हाल ही में ऑस्टिन, टेक्सास में SANS DFIR शिखर सम्मेलन में प्रस्तुत किया गया था। आप नीचे रिकॉर्डिंग देख सकते हैं:
#mig पर irc.mozilla.org पर शामिल हों (एक वेब क्लाइंट जैसे mibbit का उपयोग करें)।
सभी दस्तावेज़ 'doc' निर्देशिका और http://mig.mozilla.org पर उपलब्ध हैं।
| क्षमता | लिनक्स | मैक ओएस | विंडोज |
|---|
| फ़ाइल निरीक्षण |  | | |
| नेटवर्क निरीक्षण | | | (आंशिक) |
| मेमोरी निरीक्षण | | | |
| कमजोरी प्रबंधन | | (योजित) | (योजित) |
| लॉग विश्लेषण | (योजित) | (योजित) | (योजित) |
| सिस्टम ऑडिटिंग | | (योजित) | (योजित) |