cado-security/varcVolatile Artifact Collector はシステムから揮発性データのスナップショットを収集します。システム上で何が起きているかを把握でき、特にセキュリティインシデントの調査時に有用です。
varcはシステムから揮発性データのスナップショットを収集します。 システムで何が起こっているかを把握し、セキュリティインシデントの調査時に特に有用です。
ZIPファイルを作成し、システムで何が起こっているかを理解するためのさまざまなデータを含みます：
以下の環境で正常に実行されています：
「Releases」タブにあるキャプチャ例をチェックして、驚くべきデータをご覧ください！ 以下のスクリーンレコーディングは、Dockerコンテナ（左）からの収集と、XmrigをデプロイしたAWS Lambda関数内で実行した出力（右）を示しています。
揮発性の順序に従い、プロセスメモリを最初に収集します。varcやシステム内で実行される他のツールはシステムのメモリに影響を与えることに注意してください。
Windows、Linux、OSX用のコンパイル済みバイナリはReleasesタブにあります。 実行するだけで出力を含むZIPが作成されます。 一部のデータにアクセスするには、昇格された権限（Linuxではsudoまたはroot）で実行する必要があります。
usage: varc [-h] [--skip-memory] [--skip-open] [--dump-extract] ...
optional arguments:
-h, --help show this help message and exit
--skip-memory Skip collecting process memory, which can be slow
--skip-open Skip collecting open files, which can be slow
--dump-extract Extract process memory dumps, which can be slow
pipからインストール：
pip3 install varc
または、このリポジトリをクローンしてからインストール：
python3 setup.py install
次のように呼び出します：
from varc import acquire_system
output_file_path = acquire_system().zip_path
varcは揮発性データの取得と分析を大幅に簡素化します。 アドホックに手動で使用することもできますが、セキュリティ検出への応答として自動デプロイに最適です。 varcの出力は、可能な限り標準的なJSON形式で、他のツールで簡単に利用できるように設計されています。
典型的なパイプラインは次のようになります：
OSXでは現在プロセスメモリの収集はサポートされていません。
Ptraceカーネルケイパビリティが有効になっていないLinuxシステムでvarcを実行すると、空のメモリファイルが生成されます。 それでも詳細なシステム出力は取得できます。
例えば、弊社のテストでは：
すべてのデータは、他のコミュニティツールで簡単に処理できるように、オープンでプロプライエタリでない形式で保存されています。
無料ツールのCado Community Editionは、このZIPを喜んで解析し、JSONデータテーブルを意図したとおりに表示します。
商用ツールのCado Responseは、Cado Hostを介してシステムから静的データと揮発性データの両方を自動的にキャプチャすることも可能にします。APIを使用することで、SentinelOneのようなEDRやGuardDutyのようなクラウド検出ツールなど、サードパーティツールからの検出に自動的に調査・対応できます。
以下は、xmrigを実行しているLambda関数のvarc出力の例をCado Community Editionで表示したものです：
これはGPLの下でライセンスされています。このライセンスがユースケースに合わない場合はご連絡ください。Apache Licenseのような非コピーレフトライセンスでの代替ライセンスを提供できる場合があります。お気軽にどうぞ！ 本ソフトウェアはGPLライセンスであり、当社の商用製品で使用されているため、コントリビューターの方には簡易な貢献者ライセンス契約（CLA）に署名をお願いしています。
プルリクエストやバグ報告を歓迎します！