IRTriage

インシデントレスポンストリアージ:

フォレンジックアナリストにとって貴重なシステム情報のスクリプト収集。 IRTriageはWinXPを除くすべてのWindowsバージョンで自動的に「管理者として実行」されます。

元のソースはMichael Ahrendtが書いたAutoitスクリプトTriage-ir v0.851でした。 残念ながらMichaelの最後の変更は2012年11月9日に投稿されました。

私はMichaelに彼のプロジェクトをフォークしたことを知らせました。 彼がソースコードのフォークを祝福してくれたことを嬉しく思います。オープンソース万歳！)

インシデント中に完全なディスクイメージが利用できない場合はどうすればよいですか？

感染または侵害された可能性のある十数台以上のシステムを調査していると想像してください。 それらのコンピュータのハードドライブのフォレンジックコピーを作成するのに2〜8時間費やせますか？ このような状況では、高速フォレンジック"Triage"が解決策です。 すべてをコピーする代わりに、いくつかのキーファイルを収集することでこの問題を解決できます。

IRTriageは以下を収集します：

• システム情報
• ネットワーク情報
• レジストリハイブ
• ディスク情報
• メモリダンプ

IRTriageの強力な機能の1つは、「Volume Shadow Copy」から情報を収集することです。これにより、多くのアンチフォレンジック手法を無効化できます。

IRTriage自体は、他のツールに依存する単なるautoitスクリプトです。例えば：

• Win32|64dd (Moonsols提供の無料版) または FDpro *(HBGaryの商用製品)
• Sysinternals Suite
• The Sleuth Kit
• Regripper
• NirSoft => MFTDump および WinPrefetchView
• md5deep および sha1deep
• CSVFileView
• 7zip
• およびいくつかのWindows組み込みコマンド。

インシデントの場合、証拠となるマシンに最小限の変更を加えたいので、IRTriageをUSBドライブにコピーすることをお勧めします。唯一の問題は、メモリダンプを計画している場合、USBドライブはコンピュータに搭載されている物理RAMより大きくする必要があることです。

GUIアプリケーションを起動すると、収集したい情報を選択できます。 各カテゴリは別々のタブにあります。 収集されたすべての情報は、[ホスト名-日付-時刻]というラベルの新しいフォルダにダンプされます。

ニュース： triage-ir v0.851からの変更点

• プロジェクト名をIRTriageに変更
• バージョン管理をv2.[YY.MM.DD]に変更し、最後の変更の識別を容易にしました。
• プロジェクトを現在利用可能なツールに更新。
• 「コマンド実行」のログエラーを修正
• "Incident Log.txt"を"IncidentLog.csv"（タブ区切り）に変更
• コンパイル時ツールフォルダを".\Compile\Tools"（スクリプトローカル）に変更
• INIファイルの開くダイアログをローカルスクリプトディレクトリで開くように修正

バージョン2016.02.24 IRTriageは、以下のWindowsバージョンと真に互換性があります：

• Windows Workstations "WIN_10", "WIN_81", "WIN_8", "WIN_7", "WIN_VISTA", "WIN_XP", "WIN_XPe",
• Windows Servers: "WIN_2016", "WIN_2012R2", "WIN_2012", "WIN_2008R2", "WIN_2008", "WIN_2003".

バージョン2016.02.26 *新しい機能の追加を開始：

*Processes()
	- tcpvcon -anc -accepteula > Process2PortMap.csv
	- tasklist /SVC /FO CSV > Processe2exeMap.csv
	- wmic /output:ProcessesCmd.csv process get Caption,Commandline,Processid,ParentProcessId,SessionId /format:csv

*SystemInfo()
	- wmic /output:InstallList.csv product get /format:csv
	- wmic /output:InstallHotfix.csv qfe get caption,csname,description,hotfixid,installedby,installedon /format:csv
	
*Prefetch
	**WinPrefetchView /Folder Prefetch /stab Prefetch.csv 
	
*Options()
	- mftdump.exe /l /m ComputerName /o ComputerName-MFT_Dump.csv $MFTcopy
	
TriageGUI()
	- CSVFileView.exe IncidentLog.csv ;チェックボックス追加：取得後にIncidentLogを表示
	- cmd.exe                         ;チェックボックス追加：取得後にIRTriageコマンドラインを開く
	

バージョン2016.03.08

• ReactOSの"cmd.exe"のカスタムコンパイル版を追加（v0.4.0ベース）
• +Linux同等のコマンドを使用可能になりました：
  • clear = cls
  • cp = copy
  • df = free
  • env = set
  • ln = mklink
  • ls = dir
  • mv = move
  • pwd = cd, chdir
  • rm = delete, del, erase
  • sleep = pause
  • uname = ver, version
  • vmstat = memory, mem

バージョン2016.03.08

• コードのクリーンアップを開始、モジュール化しやすくする試み。
• コンパイル時にHBGaryのFDpro（商用）またはMoonsolの無料版のメモリ取得ソフトウェアを使用するオプションを追加。
  • HBGaryのFDproをお持ちの場合は、それを.\Compile\Toolsフォルダに配置し、「ゼロバイト」サイズのファイルと置き換えてください。Moonsolのメモリ取得ソフトウェアに戻すには、FDpro.exeを「100バイト未満」のファイルに置き換えるだけで簡単です:-)

バージョン2016.03.10

• コードのクリーンアップを継続、未使用の関数CommandROSLOG()を削除
• $MFTのCSVへのパースを追加
• 取得完了後にIncidentLog.csvを表示する機能を追加

バージョン2016.03.11

• cmd.exeを更新
• 取得完了後にIRTriageのcmd.exeを開く機能を追加

バージョン2016.03.14

• PrefetchのCSVへのパースを追加

バージョン2016.03.24

• ツールメニューにIRTriage更新を追加（更新ボタンが混在）

バージョン2016.03.28

• IRTriage更新を修正（はい=更新をダウンロード、いいえ=更新情報を表示、キャンセル=更新をキャンセル）

バージョン2016.03.29

• Didier Stevensの新しいコマンド（privilegeとinfo）をReactOSの"cmd.exe"の最新バージョンに統合。 両方の新しいコマンドはフォレンジックアナリストにとって非常に貴重です。
• IRTriageコマンドプロセッサのソース。

バージョン2016.03.30

• ボリュームシャドウコピー機能を修正
• cmd.exe ver 4.1のマイナーアップデート

将来のアップデート・機能はこのレポートに基づきます：On-scene Triage open source forensic tool chests are they effective.