Meerkat

Meerkat PowerShell मॉड्यूल का एक संग्रह है जो Windows-आधारित एंडपॉइंट्स पर पूर्व-तैनात एजेंट की आवश्यकता के बिना आर्टिफैक्ट संग्रह और टोही के लिए डिज़ाइन किया गया है। उपयोग के मामलों में घटना प्रतिक्रिया ट्राइएज, खतरे की खोज, बेसलाइन निगरानी, स्नैपशॉट तुलना, और अधिक शामिल हैं।

आर्टिफैक्ट्स

होस्ट जानकारी	नेट एडेप्टर	प्रक्रियाएँ*	सेवाएँ	फ़ाइलें
ऑडिट नीति	विंडोज फ़ायरवॉल नियम	DLLs*	स्थानीय उपयोगकर्ता	ADS
डिस्क	पोर्ट	स्ट्रिंग्स*	स्थानीय समूह	रिसाइकल बिन
हॉटफिक्सेस	ARP	हैंडल*	अनुसूचित कार्य	होस्ट्स फ़ाइल
TPM	DNS	EnvVars	ऑटोरन्स	प्रमाणपत्र
सॉफ़्टवेयर	नेट रूट्स	सत्र	बिटलॉकर	सेलेक्ट रजिस्ट्री
हार्डवेयर	शेयर	डोमेन जानकारी	डिफ़ेंडर	ईवेंट लॉग
ड्राइवर		USBHistory	ईवेंट लॉग मेटाडेटा	लॉगिन विफलताओं से संबंधित ईवेंट
				उपयोगकर्ता/समूह प्रबंधन से संबंधित ईवेंट
				ईवेंट लॉग मेटाडेटा

• अपनी पसंद के SIEM का उपयोग करके इन्जेस्ट करें (Check out the SIEM Repository!)

---

अनुक्रमणिका

• त्वरित प्रारंभ
• उपयोग
• विश्लेषण
• समस्या निवारण
• स्क्रीनशॉट्स
• समान परियोजनाएँ

---

त्वरित प्रारंभ

आवश्यकताएँ

• 'स्कैनिंग' डिवाइस पर Powershell 5.0 या उससे ऊपर की आवश्यकता है।
• लक्ष्य प्रणालियों पर Powershell 3.0 या उच्चतर की आवश्यकता है। आप 'Get-CIMinstance' के उदाहरणों को 'Get-WMIObject' से बदलकर इसे PowerShell 2.0 के साथ और अधिक पिछड़ा संगत बना सकते हैं।
• WinRM एक्सेस की आवश्यकता है।

Git के साथ इंस्टॉल करें

कमांड या PowerShell कंसोल में, निम्नलिखित टाइप करें...

git clone "https://github.com/TonyPhipps/Meerkat" "C:\Program Files\WindowsPowerShell\Modules\Meerkat"

अपडेट करने के लिए...

cd C:\Program Files\WindowsPowerShell\Modules\Meerkat
git pull

PowerShell के साथ इंस्टॉल करें

इसे PowerShell कंसोल में कॉपी/पेस्ट करें

$Modules = "C:\Program Files\WindowsPowerShell\Modules\"
New-Item -ItemType Directory $Modules\Meerkat\ -force
Invoke-WebRequest https://github.com/TonyPhipps/Meerkat/archive/master.zip -OutFile $Modules\master.zip
Expand-Archive $Modules\master.zip -DestinationPath $Modules
Copy-Item $Modules\Meerkat-master\* $Modules\Meerkat\ -Force -Recurse
Remove-Item  $Modules\Meerkat-master -Recurse -Force

अपडेट करने के लिए, बस कमांड का वही ब्लॉक फिर से चलाएँ।

फ़ंक्शन का उपयोग .psm1 फ़ाइल खोलकर और उसकी संपूर्ण सामग्री को PowerSell कंसोल में कॉपी-पेस्ट करके भी किया जा सकता है।

Meerkat चलाएँ

यह कमांड परिणामों को C:\Users\YourName\Meerkat\ पर आउटपुट करेगा

Invoke-Meerkat

नोट: निम्नलिखित मॉड्यूल प्रशासनिक विशेषाधिकारों के साथ नहीं चलाए जाने पर परिणाम नहीं लौटाएँगे

• AuditPolicy
• Drivers
• EventsLoginFailures
• Hotfixes
• RegistryMRU
• Registry
• Processes
• RecycleBin

विश्लेषण

विश्लेषण पद्धतियाँ और तकनीकें Wiki पेजों पर प्रदान की गई हैं।

समस्या निवारण

Powershell मॉड्यूल स्थापित करना

यदि आपका सिस्टम आपके उपयोगकर्ता प्रोफ़ाइल में स्वचालित रूप से मॉड्यूल लोड नहीं करता है, तो आपको मॉड्यूल को मैन्युअल रूप से आयात करने की आवश्यकता हो सकती है।

Import-Module C:\Program Files\WindowsPowerShell\Modules\Meerkat\Meerkat.psm1

यह अनुशंसा की जाती है कि वास्तविक समस्या कहाँ स्थित है, इसका पता लगाने में सहायता के लिए निम्नलिखित दृष्टिकोण अपनाया जाए।

परीक्षण 1 – क्या Meerkat स्थानीय रूप से काम करता है?

• Meerkat को स्थानीय सिस्टम के विरुद्ध परीक्षण करें
  • Invoke-Meerkat

परीक्षण 2 – क्या रिमोट स्कैनिंग काम करती है?

नोट: यह परीक्षण एक खाते से करें जिसके पास लक्ष्य सिस्टम पर स्थानीय व्यवस्थापक अधिकार हों।

• Meerkat को एक रिमोट Windows सिस्टम के विरुद्ध परीक्षण करें
  • Invoke-Meerkat -Computer RemoteName

परीक्षण 3 – क्या आप शेड्यूल टास्क और MSA बना सकते हैं?

• Meerkat से संबंधित किसी भी मौजूदा शेड्यूल टास्क को हटाएँ
• Meerkat से संबंधित किसी भी MSA को हटाएँ
• Schedule-Meerkat.ps1 फ़ाइल कॉन्फ़िगर करें, फिर इसे चलाएँ।