MacOS ThreatTrack v2.0

macOSシステム向けの強化されたセキュリティ情報収集ツールで、高度な脅威検出機能を備えています。

説明

MacOSThreatTrackは、macOSシステム上の悪意のあるアクティビティをプロアクティブに検出するために設計された、包括的なbashベースのセキュリティ偵察ツールです。この拡張バージョンは、広範なシステム情報収集、脅威検出機能、デジタルフォレンジックデータ収集を提供します。

Venator-Swift に触発され、追加のセキュリティ機能で拡張されています。

特徴

🔍 拡張情報収集

• システム情報: ホスト名、UUID、macOSバージョン、カーネルバージョン、プロセッサ情報、メモリ、ディスク情報、ネットワークインターフェース、稼働時間、起動時間、タイムゾーン
• ユーザーデータ: 管理者ステータス付きのユーザーリスト、環境変数、最終ログイン情報
• プロセス分析: 実行中プロセス、不審なプロセス、高CPUプロセス、ネットワークプロセス
• ネットワーク情報: アクティブな接続、リッスンポート、ARPテーブル、ルーティングテーブル、DNSサーバー
• セキュリティステータス: SIPステータス、GateKeeperステータス、FileVaultステータス、ファイアウォールステータス、自動アップデート

🛡️ セキュリティと脅威検出

• 脅威指標: 不審なプロセス、接続、ファイル、ネットワークアクティビティ
• ファイルシステム分析: 最近のファイル、不審なファイル、大容量ファイル、隠しファイル
• システムログ: エラーログ、認証ログ、直近1時間のネットワークログ
• ブラウザデータ: SafariとChromeのブックマーク、拡張機能の分析

📊 出力形式

• JSON出力: 自動分析と統合のための構造化データ
• テキスト出力: 手動レビューのための人間が読める形式
• ファイルエクスポート: 結果を指定したファイルに保存

🔧 拡張機能

• エラーハンドリング: 堅牢なエラーハンドリングとログ記録
• 詳細ログ: デバッグと分析のための詳細なログ記録
• モジュール設計: 整理された保守可能なコード構造
• コマンドラインオプション: 多様なオプションによる柔軟な実行

インストールと使用方法

ワンライナー実行

curl https://raw.githubusercontent.com/ab2pentest/MacOSThreatTrack/main/MacOSThreatTrack.sh | bash

ローカル実行

chmod +x MacOSThreatTrack.sh
./MacOSThreatTrack.sh [OPTIONS]

コマンドラインオプション

Usage: MacOSThreatTrack.sh [OPTIONS]

Options:
  -j, --json          Output in JSON format (default)
  -t, --text          Output in text format
  -o, --output FILE   Save output to file
  -v, --verbose       Enable verbose logging
  -h, --help          Show help message

Examples:
  ./MacOSThreatTrack.sh                  # Run with default JSON output
  ./MacOSThreatTrack.sh -t               # Run with text output
  ./MacOSThreatTrack.sh -o report.json   # Save JSON output to file
  ./MacOSThreatTrack.sh -v -t            # Run with verbose logging and text output

収集される情報

システム情報

• ホスト名、UUID、macOSバージョン、カーネルバージョン
• プロセッサ情報、メモリ詳細、ディスク情報
• ネットワークインターフェース、稼働時間、起動時間、タイムゾーン
• FileVaultステータス、ファイアウォールステータス

ユーザーとセキュリティデータ

• 管理者ステータスとUUID付きのユーザーリスト
• 最終ログイン情報
• 環境変数
• セキュリティステータス（SIP、GateKeeper、FileVault、ファイアウォール）

プロセスとネットワーク分析

• すべての実行中プロセス
• 不審なプロセス（nc、netcat、curl、wgetなど）
• 高CPUプロセス
• アクティブなネットワーク接続
• リッスンポート
• ARPテーブルとルーティング情報
• DNSサーバー設定

コマンド履歴とシェルデータ

• 全ユーザーのZshおよびBashコマンド履歴
• シェル起動スクリプト（.bash_profile、.bashrc、.profile、.zshrc）
• 最近のコマンドアクティビティ

システムサービスとアプリケーション

• Launch Daemons および Agents
• 定期スクリプト
• Cronジョブ
• インストール済みアプリケーション
• インストール履歴
• マニフェストファイル付きのChrome拡張機能

デジタルフォレンジックデータ

• 最近のファイル（過去7日間）
• 不審なファイル（.exe、.bat、.cmd、.scr）
• 大容量ファイル（100MB以上）
• 隠しファイル
• システムログ（エラー、認証、ネットワーク）
• ブラウザのブックマーク（Safari、Chrome）

脅威検出

• 不審なプロセスと接続
• 不審なファイルとネットワークアクティビティ
• 侵害の指標
• 最近のネットワークアクティビティパターン

JSON出力構造

{
  "metadata": {
    "tool": "MacOSThreatTrack",
    "version": "2.0",
    "timestamp": "2024-01-01T12:00:00Z",
    "hostname": "MacBook-Pro",
    "user": "admin"
  },
  "data": {
    "system_info": { ... },
    "users": { ... },
    "processes": { ... },
    "network": { ... },
    "security": { ... },
    "command_history": { ... },
    "shell_scripts": { ... },
    "system_services": { ... },
    "applications": { ... },
    "file_system": { ... },
    "system_logs": { ... },
    "browser_data": { ... },
    "threat_indicators": { ... }
  }
}

ユースケース

• セキュリティ評価: 包括的なシステムセキュリティ評価
• インシデント対応: セキュリティインシデント発生時の迅速な情報収集
• 脅威ハンティング: 悪意のあるアクティビティのプロアクティブな検出
• デジタルフォレンジック: 証拠の収集と分析
• コンプライアンス監査: セキュリティ態勢の評価
• システム監視: ベースラインの確立と変更検出

必要条件

• macOSシステム
• Bashシェル
• 標準的なmacOSユーティリティ（system_profiler, sw_vers, sysctl など）
• 一部の機能にはsudo権限が必要な場合があります

コントリビューション

コントリビューションは歓迎します！問題、機能リクエスト、プルリクエストを自由に送信してください。

ライセンス

このプロジェクトはオープンソースであり、MITライセンスの下で利用可能です。