circl/factual-rules-generator実行中のOS上のインストール済みソフトウェアからYARAルールを生成し、既知のソフトウェアをベースライン化して、デジタルフォレンジック証拠全体で類似のインストールを検出します。
Factual-rules-generatorは、実行中のオペレーティングシステムからインストールされたソフトウェアに関するYARAルールを生成することを目的としたオープンソースプロジェクトです。
このソフトウェアの目標は、収集または取得したデジタルフォレンジック証拠に対して一連のルールを使用し、タイムリーにインストールされたソフトウェアを特定できるようにすることです。
このソフトウェアは、Windowsシステムから既知のソフトウェアをベースライン化し、他のシステムで同様のインストールを検出するためのルールセットを作成するために使用できます。
pefile
psutil
ndjson
python-tlsh
PyInstaller (client.pyをclient.exeに変換するため)
ssdeep
sudo apt-get install build-essential libffi-dev python3 python3-dev python3-pip libfuzzy-devpip install ssdeepホストOSにはいくつかのツールが必要です。一部はUnix標準ツールで、その他は追加のツールです。
Windows仮想マシンには、以下のソフトウェアのインストールが必要です。
bin/OnWindows/Varclient.py を設定します。bin/OnWindows/client.py を実行可能ファイルに変換し、スタートアップフォルダに配置します。etc/allVariables.py を更新します。test/ にはインストールするソフトウェアのいくつかの例 が示されています。以下の特定のフォーマットが必要です。
: の前に選択するか、msiまたはexeファイルの場合はファイル名を選択します。: の後に抽出して実行するexeの名前を指定します（拡張子なし）。, の後の2番目の部分は同じシステムに従い、最初に installer という単語、次に : の後にインストーラのタイプを指定します。
uninstaller の後に : とアンインストーラ（choco、msiexec、exeなど）を指定します。bin/Generator.py のみを実行します。 etc/allVariables.py の更新を忘れないでください（重要なステップ）。
Factual-rules-generator is an open source project which aims to generate YARA rules about installed software from a machine.
Copyright (C) 2021-2022 David Cruciani
Copyright (C) 2021-2022 CIRCL - Computer Incident Response Center Luxembourg
This program is free software: you can redistribute it and/or modify
it under the terms of the GNU Affero General Public License as published by
the Free Software Foundation, either version 3 of the License, or
(at your option) any later version.
This program is distributed in the hope that it will be useful,
but WITHOUT ANY WARRANTY; without even the implied warranty of
MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE. See the
GNU Affero General Public License for more details.
You should have received a copy of the GNU Affero General Public License
along with this program. If not, see <http://www.gnu.org/licenses/>.