cado-security/rip_rawRip Raw は、侵害されたLinuxシステムのメモリを分析するための小さなツールです。
Rip Rawは、侵害されたLinuxシステムのメモリを分析するための小さなツールです。目的はBulk Extractorと似ていますが、特にLinuxシステムのメモリダンプからシステムログを抽出することに重点を置いています。これにより、プロファイルを生成することなくシステムを分析できます。
これは、プロファイルを使用してより構造化されたメモリ分析を実行するRekallやVolatilityなどのツールの代替にはなりません。
Rip Rawは、メモリダンプなどのRaw Binaryを取得し、以下を使用してファイルとログをカービングします。
テキスト/バイナリの境界
ファイルヘッダとファイルマジック
ログエントリ
その後、それらをzipファイルにまとめ、Cado ResponseやSplunk（以下の例）などの他のツールによる二次処理を行います。
例えば、暗号通貨マイニングワームに感染したAmazon EKS（Elastic Kubernetes Service）システムのメモリをキャプチャした後、rip_rawで処理しました：
python3 rip_raw.py -f eks-node-ncat-capture.mem
そして、Rip Rawが出力する大きなログのzipファイルは、Cado Response（下記）などのツールで表示できます。このメモリイメージから約 36500のログイベント が抽出され、画像や実行ファイルなどの多数のバイナリも抽出されました。
またはSplunk：
クラウドインシデントレスポンスとランサムウェアに関するウェビナーを2月1日火曜日に開催します @ https://www.brighttalk.com/webcast/19071/527346
侵害されたAmazon Kubernetesシステムの分析におけるRip Rawの例をトークで紹介しています @ https://offers.cadosecurity.com/cloud-and-kubernetes-memory-forensics
侵害されたAmazon EKSなどのKubernetesシステムへの対応方法に関するプレイブックのPDFコピーをダウンロードできます @ https://offers.cadosecurity.com/the-ultimate-guide-to-docker-and-kubernetes-incident-response