withsecurelabs/flairScript batch leggero per l'acquisizione semi-automatizzata dei principali artefatti forensi da host Windows, utilizzando esclusivamente strumenti nativi del sistema operativo per supportare l'incident response e il triage.
Questo documento descrive lo scopo e il funzionamento di base dello script di acquisizione FLAIR.
Durante le indagini su incidenti nel parco clienti, ci sono occasioni in cui non è implementato alcun EDR di cui il team di IR possa avvalersi per raccogliere artefatti nell'intero parco. FLAIR è stato creato per eseguire l'acquisizione semi-automatizzata di una serie di artefatti chiave da un host target. FLAIR colma il divario tra il livello profondo di dati disponibile da un'immagine forense completa dell'host e l'approccio più mirato e interattivo offerto dalle soluzioni EDR.
FLAIR è stato creato sulla base dei seguenti principi:
Sì, usiamo ancora MD5 e sì, siamo consapevoli della possibilità di collisioni, ma a) è computazionalmente meno costoso, quindi più veloce da eseguire b) se c'è una collisione, allora questo ti dice qualcosa ;-)
L'uso di FLAIR su più lingue rimane lo stesso (francese, tedesco, ecc.), va notato che l'output di molti comandi restituirà contenuto di testo semplice nella lingua della macchina su cui viene eseguito, come "NETSTAT -ANO":
Francese
Connexions actives
Proto Adresse locale Adresse distante État
TCP 0.0.0.0:25 0.0.0.0:0 LISTENING 5788
Tedesco
Aktive Verbindungen
Proto Lokale Adresse Remoteadresse Status PID
TCP 0.0.0.0:25 0.0.0.0:0 ABH™REN 4552
Sebbene i nomi e i campi di stato riflettano la lingua del target, la posizione relativa rimane la stessa. Tuttavia, durante l'elaborazione di target non in inglese è qualcosa da considerare.
Eseguire 'FLAIR.cmd' da un dispositivo di archiviazione esterno (es. un'unità USB) o da un'unità di rete mappata.
L'elaborazione può richiedere oltre 30 minuti in molti casi poiché viene esaminato un MUCCHIO di file.
L'output dei comandi utilizzati viene restituito come testo semplice, per lo più, quindi l'uso delle regole Yara fornisce una soluzione semplice per verificare gli IoC comuni.
Quando si opera su più host, l'uso di Elastic search, Logstash e Kibana (ELK Stack) può rendere più efficiente l'elaborazione di più host una volta completato il lavoro di creazione delle regole di importazione per ciascun tipo di dato.