Framework per la risposta agli incidenti basato su Swift per macOS, progettato per raccogliere e analizzare artefatti host, inclusi timestamp del filesystem, dati del browser, log unificati, meccanismi di persistenza e alberi dei processi, con analisi integrata e generazione di timeline.
Aftermath è un framework open-source per la risposta agli incidenti basato su Swift.
Aftermath può essere utilizzato dai difensori per raccogliere e successivamente analizzare i dati dal sistema compromesso. Aftermath può essere distribuito tramite un MDM (idealmente), ma può anche essere eseguito indipendentemente dalla riga di comando dell'utente infetto.
Aftermath esegue prima una serie di moduli per la raccolta. L'output verrà scritto nella posizione scelta, tramite l'opzione -o o --output, oppure, per impostazione predefinita, verrà scritto nella directory /tmp.
Una volta completata la raccolta, il file zip/archivio finale può essere prelevato dal disco dell'utente finale. Questo file può quindi essere analizzato utilizzando l'argomento --analyze puntato al file di archivio. I risultati verranno scritti nella directory /tmp. L'amministratore può quindi decomprimere quella directory di analisi e visualizzare una vista analizzata dei database raccolti localmente, una cronologia dei file con le date di creazione, ultimo accesso e ultima modifica (se disponibili), e una sequenza di eventi che include i metadati dei file, le modifiche al database e le informazioni del browser per potenzialmente rintracciare il vettore di infezione.
Per compilare Aftermath localmente, clonalo dal repository
git clone https://github.com/jamf/aftermath.git
Entra nella directory di Aftermath con cd
cd <path_to_aftermath_directory>
Compila usando Xcode
xcodebuild -scheme "aftermath"
Entra nella cartella Release con cd
cd build/Release
Esegui aftermath
sudo ./aftermath
Aftermath deve essere eseguito come root e deve avere accesso completo al disco (FDA) per funzionare. L'FDA può essere concesso all'applicazione Terminal in cui è in esecuzione.
L'uso predefinito di Aftermath esegue
sudo ./aftermath
Per specificare determinate opzioni
sudo ./aftermath [option1] [option2]
Esempi
sudo ./aftermath -o /Users/user/Desktop --deep
sudo ./aftermath --analyze <path_to_collection_zip>
Gli utenti hanno la possibilità di passare ad Aftermath un file di testo con predicati di unified log utilizzando gli argomenti --logs o -l. Il file passato ad Aftermath deve essere un file di testo e ogni predicato deve essere separato da un carattere di nuova riga. Inoltre, ogni elemento sarà un oggetto dizionario. La chiave nel dizionario sarà quello che l'utente desidera chiamare questo predicato. Ad esempio, se si desidera vedere tutti gli eventi di login, si creerà un predicato e lo si chiamerà login_events.
login_events: processImagePath contains "loginwindow" and eventMessage contains "com.apple.sessionDidLogin
tcc: process == "tccd"
Poiché eslogger e tcpdump vengono eseguiti su thread aggiuntivi e l'obiettivo è raccogliere quanti più dati possibile da essi, essi terminano quando aftermath termina. Per questo motivo, l'ultima riga del file json di eslogger o del file pcap generato da tcpdump potrebbe essere troncata.
È disponibile un Aftermath.pkg nella sezione Releases. Questo pkg è firmato e notarizzato. Installerà il binario aftermath in /usr/local/bin/. Questo sarebbe il modo ideale per distribuire tramite MDM. Poiché è installato in bin, puoi quindi eseguire aftermath come
sudo aftermath [option1] [option2]
Per disinstallare il binario aftermath, esegui AftermathUninstaller.pkg dalla sezione Releases. Questo disinstallerà il binario e inoltre eseguirà aftermath --cleanup per rimuovere le directory di aftermath. Se delle directory di aftermath risiedono altrove, a causa dell'uso del comando --output, è responsabilità dell'utente/amministratore rimuovere tali directory.
--analyze -> analyze the results of the Aftermath results
usage: --analyze <path_to_aftermath_collection_file>
--collect-dirs -> specify locations of (space-separated) directories to dump those raw files
usage: --collect-dirs <path_to_dir> <path_to_another_dir>
--deep or -d -> perform a deep scan of the file system for modified and accessed timestamped metadata
WARNING: This will be a time-intensive, memory-consuming scan.
--disable -> disable a set of aftermath features that may collect personal user data
Available features to disable: browsers -> collecting browser information | browser-killswitch -> force-closes browers | -> databases -> tcc & lsquarantine databases | filesystem -> walking the filesystem for timestamps | proc-info -> collecting process information via TrueTree and eslogger | slack -> slack data | ul -> unified logging modules | all -> all aforementioned options
usage: --disable browsers browser-killswitch databases filesystem proc-info slack
--disable all
--es-logs -> specify which Endpoint Security events (space-separated) to collect (defaults are: create exec mmap). To disable, see --disable es-logs
usage: --es-logs setuid unmount write
--logs -> specify an external text file with unified log predicates (as dictionary objects) to parse
usage: --logs /Users/<USER>/Desktop/myPredicates.txt
-o or --output -> specify an output location for Aftermath collection results (defaults to /tmp)
usage: -o Users/user/Desktop
--pretty -> colorize Terminal output
--cleanup -> remove Aftermath folders from default locations ("/tmp", "/var/folders/zz/)
Questo progetto sfrutta il progetto open source TrueTree, scritto e concesso in licenza da Jaron Bradley.