घटना प्रतिक्रिया के लिए F-Secure लाइटवेट अधिग्रहण (FLAIR)

यह दस्तावेज़ FLAIR अधिग्रहण स्क्रिप्ट के उद्देश्य और बुनियादी संचालन का वर्णन करता है।

उद्देश्य

क्लाइंट एस्टेट पर घटनाओं की जांच के दौरान, कई बार ऐसे अवसर आते हैं जब कोई EDR तैनात नहीं होता जिसका उपयोग IR टीम एस्टेट भर में कलाकृतियों (artefacts) को एकत्र करने के लिए कर सके। FLAIR को लक्षित होस्ट से कई प्रमुख कलाकृतियों के अर्ध-स्वचालित अधिग्रहण को करने के लिए बनाया गया था। FLAIR होस्ट की पूर्ण फोरेंसिक छवि से उपलब्ध डेटा के गहरे स्तर और EDR समाधानों द्वारा प्रस्तुत अधिक लक्षित और इंटरैक्टिव दृष्टिकोण के बीच की खाई को पाटता है।

डिज़ाइन

FLAIR निम्नलिखित सिद्धांतों के आधार पर बनाया गया था:

जहाँ तक व्यावहारिक हो, केवल Microsoft Windows सिस्टम के लिए मूल (native) टूलिंग का उपयोग करें। अर्थात केवल वे प्रोग्राम जो OS में 'निर्मित' (built-in) हैं
कोई तृतीय-पक्ष प्रोग्राम नहीं। अर्थात केवल Microsoft-हस्ताक्षरित निष्पादन योग्य (executables) संवेदनशील क्लाइंट साइटों पर अधिग्रहण चलाने के प्रभाव को कम करेंगे।
अधिकतम संगतता और न्यूनतम निर्भरता के लिए बैच फ़ाइल संचालन।
Windows XP न्यूनतम प्लेटफ़ॉर्म संस्करण है ताकि उन सिस्टमों पर संग्रह हो सके जो समर्थन से बाहर हैं। (अर्थात IoT/ICS वातावरण)

नोट्स

हाँ, हम अभी भी MD5 का उपयोग करते हैं और हमें टकराव (collision) की संभावना के बारे में पता है लेकिन a) यह संगणनात्मक रूप से कम खर्चीला है, इसलिए चलाने में तेज़ है b) यदि टकराव होता है तो यह आपको कुछ बताता है ;-)

कई लोकेल (French, German आदि) पर FLAIR का उपयोग समान रहता है, यह ध्यान दिया जाना चाहिए कि कई कमांडों का आउटपुट उस मशीन के लोकेल में सादा पाठ (plain text) सामग्री लौटाएगा जिस पर यह चल रहा है जैसे "NETSTAT -ANO":

French

Connexions actives

  Proto  Adresse locale         Adresse distante       État
  TCP    0.0.0.0:25             0.0.0.0:0              LISTENING       5788

German

Aktive Verbindungen

  Proto  Lokale Adresse         Remoteadresse          Status           PID
  TCP    0.0.0.0:25             0.0.0.0:0              ABH™REN         4552

जबकि नाम और स्थिति फ़ील्ड लक्ष्य के लोकेल को दर्शाते हैं, सापेक्ष स्थिति समान रहती है। फिर भी गैर-अंग्रेज़ी लक्ष्यों को संसाधित करते समय यह विचार करने योग्य बात है।

संचालन

'FLAIR.cmd' को या तो बाहरी स्टोरेज डिवाइस (अर्थात USB ड्राइव) से या मैप किए गए नेटवर्क ड्राइव से निष्पादित करें।

कई मामलों में प्रोसेसिंग में 30 मिनट से अधिक समय लग सकता है क्योंकि बहुत सारी फ़ाइलों की जांच की जाती है।

विश्लेषण

उपयोग किए गए कमांडों का आउटपुट, अधिकतर, सादा पाठ के रूप में लौटाया जाता है, इसलिए सामान्य IoCs की जांच के लिए Yara नियमों का उपयोग एक सरल समाधान प्रदान करता है।

जब कई होस्टों पर काम कर रहे हों तो Elastic search, Logstash और Kibana (ELK Stack) का उपयोग, प्रत्येक डेटा प्रकार के लिए आयात नियम बनाने का ओवरहेड पूरा हो जाने के बाद, कई होस्टों की प्रोसेसिंग को अधिक कुशल बना सकता है।

FLAIR