factual-rules-generator

Factual-rules-generatorは、実行中のオペレーティングシステムからインストールされたソフトウェアに関するYARAルールを生成することを目的としたオープンソースプロジェクトです。

このソフトウェアの目標は、収集または取得したデジタルフォレンジック証拠に対して一連のルールを使用し、タイムリーにインストールされたソフトウェアを特定できるようにすることです。

このソフトウェアは、Windowsシステムから既知のソフトウェアをベースライン化し、他のシステムで同様のインストールを検出するためのルールセットを作成するために使用できます。

Dependencies

• pefile

• psutil

• ndjson

• python-tlsh

• PyInstaller (client.pyをclient.exeに変換するため)

• ssdeep

  • Ubuntuの場合:
    • sudo apt-get install build-essential libffi-dev python3 python3-dev python3-pip libfuzzy-dev
    • pip install ssdeep

必要なツール

ホストOSにはいくつかのツールが必要です。一部はUnix標準ツールで、その他は追加のツールです。

• xxd
• curl

Windows仮想マシンには、以下のソフトウェアのインストールが必要です。

• SDelete
• AsA (AttackSurfaceAnalyzer)

インストール

• requirements.txt で定義されたすべてのPython依存関係をインストールします。
• VMと通信するための共有フォルダを作成します。
• Windows VMをインストールします。
  • Windows VMに chocolatey をインストールします。
  • bin/OnWindows/Varclient.py を設定します。
  • PyInstaller を使用して bin/OnWindows/client.py を実行可能ファイルに変換し、スタートアップフォルダに配置します。
• 希望の設定に合わせて etc/allVariables.py を更新します。

test/ にはインストールするソフトウェアのいくつかの例 が示されています。以下の特定のフォーマットが必要です。

• まず、 chocolatey を使用してインストールするパッケージ名を : の前に選択するか、msiまたはexeファイルの場合はファイル名を選択します。
• 次に、 : の後に抽出して実行するexeの名前を指定します（拡張子なし）。
• , の後の2番目の部分は同じシステムに従い、最初に installer という単語、次に : の後にインストーラのタイプを指定します。
  • choco
  • msiexec
  • exe
• 最後に、3番目の部分として uninstaller の後に : とアンインストーラ（choco、msiexec、exeなど）を指定します。

ルールの実行と生成

• bin/Generator.py のみを実行します。 etc/allVariables.py の更新を忘れないでください（重要なステップ）。

公開YARAルールリポジトリ

• factual-rules - いくつかの非常に一般的なソフトウェアから生成されたサンプルルール。

factual rules generatorの概要

License

    Factual-rules-generator is an open source project which aims to generate YARA rules about installed software from a machine. 

    Copyright (C) 2021-2022 David Cruciani
    Copyright (C) 2021-2022 CIRCL - Computer Incident Response Center Luxembourg

    This program is free software: you can redistribute it and/or modify
    it under the terms of the GNU Affero General Public License as published by
    the Free Software Foundation, either version 3 of the License, or
    (at your option) any later version.

    This program is distributed in the hope that it will be useful,
    but WITHOUT ANY WARRANTY; without even the implied warranty of
    MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
    GNU Affero General Public License for more details.

    You should have received a copy of the GNU Affero General Public License
    along with this program.  If not, see <http://www.gnu.org/licenses/>.