cyb3rfox/aurora-incident-responseインシデント対応のドキュメント作成を簡単に。インシデントレスポンダーによって開発され、インシデントレスポンダーのために。
インシデントレスポンスのドキュメント作成を簡単に。インシデントレスポンダーによってインシデントレスポンダーのために開発されました。 Aurora は、SANS FOR508 クラスで使用される「Spreadsheet of Doom」を次のレベルに引き上げます。多くのケースを指揮し、多くの学生に正しい IR の方法を教えてきた私は、多くの人がすべての調査結果の管理に苦労していることに気付きました。それは、既に得ているものを見ることを妨げるだけでなく、何を見落としているかを把握することもさらに困難にしています。
これは、大小のインシデントレスポンス調査において、調査結果やタスクを追跡し、レポート作成を容易にし、全般的に常に優位に立つために使用することを意図しています。現在のバージョンは複数回の実戦テストを経ています。今後もバグ修正と機能追加を続けていきますが、これは余暇時間のプロジェクトであることをご了承ください。そのため、いかなる助けも歓迎します。
横展開
視覚的タイムライン
Aurora Incident Response の最新リリースは リリースページ からダウンロードできます。 Aurora Incident Response は MacOS、Windows、Linux で利用可能です。iPad および Android タブレットでも利用できるように取り組んでいます。
Aurora の使用方法に関するビデオはこちら：
貢献したい方は、ぜひそうしてください。このツールが成長するのをぜひ見たいです。アプリケーション全体は Electron ベースで構築されており、プレーンな Javascript と HTML で記述されています。技術的には Webdav などの機能に node.js モジュールを使用することもできましたが、私は控えました。その理由は、node モジュールはコードを IOS や Android 用に PhoneGap に移行する際に、そのままでは動作しないからです。良いニュースは、開発環境のセットアップが非常に迅速であることです。私は個人的に Webstorm を使用していますが、ほとんどの IDE で動作するはずです。
説明で述べたように、Aurora Incident Response はマルチプラットフォーム対応を可能にする Electron 上に構築されています。以下の方法でツールチェーンを簡単にインストールできます。
まずは node.js をインストールしてください。ダウンロードページ のリンクに従ってください。
nodejs がインストールされたら、[Aurora Github リポジトリ](git clone https://github.com/cyb3rfox/Aurora-Incident-Response) をチェックアウトしてください（貢献したい場合は最初にフォークしてください）。
git clone https://github.com/cyb3rfox/Aurora-Incident-Response
cd Aurora-Incident-Response/src
次に、node を使用して Electron をインストールする必要があります。現在、Aurora は electron 4.0.6 で動作するように設定されています。
npm install [email protected]
以下のようにしてコードを実行できます：
node_modules/.bin/electron .
速いでしょう？
以下の項目はすでにロードマップに含まれています。新しい改善の提案がある場合は、新しい Issue を投稿するか、Twitter でメッセージを送ってください。
今後のリリースで計画されている機能は プロジェクト で確認できます。
ビルドおよびクロスビルドには electron-packager を使用します。
npm install electron-packager
Windows 用ビルド：
./node_modules/.bin/electron-packager . Aurora --asar --prune --platform=win32 --electron-version=4.0.6 --arch=x64 --icon=icon/aurora.ico --out=release-builds --ignore "node_modules/.bin"
MacOS 用ビルド：
./node_modules/.bin/electron-packager ./src Aurora --overwrite --platform=darwin --arch=x64 --icon=icon/aurora.icns --prune=true --out=release-builds
Linux 用ビルド：
./node_modules/.bin/electron-packager . Aurora --asar --prune --platform=linux --electron-version=4.0.6 --arch=x64 --icon=icon/aurora.ico --out=release-builds --ignore "node_modules/.bin"
このセクションでは、さまざまなソースコードファイルについて説明します。今のところ、このセクションは簡潔にしておく必要があります。コード内でできる限りコメントを残すようにしました。質問があれば、気軽に連絡してください。ツールの開発に参加したい場合は、Slack チャンネルでコミュニケーションを取ることができます。メモを送ってください。招待します。
main.jsElectron アプリは、メイン（バックグラウンド）プロセスとレンダラープロセス（Chromium ブラウザウィンドウ）を区別します。このファイルはメインプロセスを制御します。Aurora では、通常、Aurora ウィンドウで Javascript コンソールを有効にしたい場合にのみ、このファイルを参照する必要があります。次の行のコメントを解除してください：
win.webContents.openDevTools()
そこで処理される2つ目のことは、プログラム終了時の自動保存とロック解除です。そのために、メインプロセスとレンダラープロセスは global.Dirty.is_dirty というグローバル変数を共有しており、これはメインプロセスにすぐに終了できるか、それとも終了前にファイルを sanitize する必要があるかを通知するために使用されます。これは実際には NTFS のダーティビットと非常によく似た概念です。
index.html`これは、すべてのスクリプトとスタイルシートをまとめるメインの Aurora ファイルです。また、GUI を初期化します。それ以外に機能はありません。
gui_definitions.jsコードとデザインを可能な限り分離するように努めました。このファイルには、w2ui GUI のすべての定義 JSON が含まれています。特定の列をフォーマットするレンダラーのコードも一部残っています。それらを他の場所に配置するのは意味がありませんでした。
controller.jsコントローラーは GUI イベントのハンドリング関数を注入します。そのため、ボタンが押されたり、その他必要なイベントが発生したりすると、controller.js が何が起こるかを処理します。
gui_functions.js時折、GUI 内で何かを変更する操作が発生します。例えば、ロックを持っていないときにすべてのデータフィールドを読み取り専用にしたり、単にポップアップを開いたりすることです。これらの関数はすべて、プレーンな JSON ファイルであるこのファイルに配置されています。
data.js実際のデータは w2ui データ構造に保存されますが、保存やその他の操作のために、それを独自のフォーマットに変換する必要があります。このような変換と、ファイルの保存および開くに関するすべてのロジックはここにあります。
data_template.jsこれは、そのバージョンの内部データ形式のテンプレートを保持します。現在のフォーマットバージョンは 3 です。
misp.jsMISP 統合のコード。
virustotal.jsVT 統合のコード。
settings.jsさまざまなライブラリの設定。現在は w2ui の時刻フィールド形式のみを定義しています。
helper_functions.js他のどこにも当てはまらない小さなヘルパー関数。
import.jsCSV インポートを処理します
exports.jsCSV エクスポートを処理します
Aurora は Apache 2 ライセンスの下でライセンスされています。
このようなプロジェクトは、多くの人々が素晴らしいライブラリやその他のソフトウェアを書くために数千時間を投資したからこそ実現できます。また、プロフェッショナルな UI アイテムを提供してくれる人もいます。皆さんの素晴らしい仕事に感謝します。具体的には、Aurora は以下の依存関係に基づいて構築されています：
これらのプロジェクトに人々が注いだ膨大な作業に加えて、他のサポートも必要です。コードを書くのは簡単ですが、現実に機能するツールにするには、多くのインシデントレスポンダーからの膨大な経験が必要です。ここでは特に、知識を提供し、実際のケースでツールのテストを支援してくれた私の IR チームのメンバーに言及したいと思います：
これはサイドプロジェクトであり週末プロジェクトですが、雇用主である Infoguard AG が可能な限りサポートしてくれていることを知っておくと良いでしょう。特に以下に感謝します：
以下の人々は、ツールに大きな影響を与える変更を提供しました：