ICSpector: Microsoft ICSフォレンジックフレームワーク

Microsoft ICSフォレンジックツールフレームワークは、産業用PLCメタデータおよびプロジェクトファイルの分析を可能にするオープンソースのフォレンジックフレームワークです。
このフレームワークは、調査担当者にPLCをスキャンし、ICS環境内の不審なアーティファクトを特定する便利な方法を提供します。これは、手動チェック、自動監視タスク、または侵害されたデバイスを検出するためのインシデント対応運用に使用できます。
オープンソースツールであることにより、ICSフォレンジックツールは調査担当者が出力を確認し、特定の要件に合わせてカスタマイズすることを可能にします。

はじめに

以下の手順に従って、開発およびテスト目的でプロジェクトのコピーをローカルマシンにセットアップできます。

git clone https://github.com/microsoft/ics-forensics-tools.git

前提条件

• Python >= 3.9をインストール: https://www.python.org/downloads
• Microsoft Visual C++ 14.0をインストール。"Build Tools for Visual Studio"から入手: https://visualstudio.microsoft.com/downloads/

インストール

• Python要件をインストール

  root@kitploit:~

  pip install -r requirements.txt
  

使用方法

一般的なアプリケーション引数:

特定のプラグイン引数:

コマンドラインでの実行例

 python driver.py -s -v PluginName --ip ips.csv
 python driver.py -s -v PluginName --ip ips.csv --analyzer AnalyzerName
 python driver.py -s -v -c config.json --multiprocess

ライブラリとしてのインポート例

from forensic.client.forensic_client import ForensicClient
from forensic.interfaces.plugin import PluginConfig
forensic = ForensicClient()
plugin = PluginConfig.from_json({
    "name": "PluginName",
    "port": 123,
    "transport": "tcp",
    "addresses": [{"ip": "192.168.1.0/24"}, {"ip": "10.10.10.10"}],
    "parameters": {
    },
    "analyzers": []
})
forensic.scan([plugin])

アーキテクチャ

プラグインの追加

ローカルで開発する場合は、必ずsrcフォルダを「Sources root」としてマークしてください。

• pluginsフォルダの下にプラグイン名の新しいディレクトリを作成します。
• プラグイン名で新しいPythonファイルを作成します。
• 以下のテンプレートを使用してプラグインを作成し、'General'をプラグイン名に置き換えます。

from pathlib import Path
from forensic.interfaces.plugin import PluginInterface, PluginConfig, PluginCLI
from forensic.common.constants.constants import Transport


class GeneralCLI(PluginCLI):
    def __init__(self, folder_name):
        super().__init__(folder_name)
        self.name = "General"
        self.description = "General Plugin Description"
        self.port = 123
        self.transport = Transport.TCP

    def flags(self, parser):
        self.base_flags(parser, self.port, self.transport)
        parser.add_argument('--general', help='General additional argument', metavar="")


class General(PluginInterface):
    def __init__(self, config: PluginConfig, output_dir: Path, verbose: bool):
        super().__init__(config, output_dir, verbose)

    def connect(self, address):
        self.logger.info(f"{self.config.name} connect")

    def export(self, extracted):
        self.logger.info(f"{self.config.name} export")

• pluginsフォルダの下にある__init__.pyファイルに新しいプラグインをインポートしてください。
• PluginInterfaceを継承したクラスには'config'パラメータがあり、これを使用してPluginConfigオブジェクトで利用可能なデータ（プラグイン名、アドレス、ポート、トランスポート、パラメータ）にアクセスできます。
  必須の関数は2つ（connect, export）です。
  • connect関数は単一のIPアドレスを受け取り、デバイスから関連情報を抽出して返します。
  • export関数は__すべての__デバイスから抽出された情報を受け取り、そこからファイルにエクスポートできます。
• PluginCLIを継承したクラスでは、init関数内でこのプラグインに関連するデフォルト情報を指定する必要があります。
  必須の関数は1つ（flags）で、その中でbase_flagsを呼び出す必要があり、追加のフラグを自由に追加できます。

アナライザーの追加

• analyzersフォルダの下に、アナライザーに関連するプラグイン名の新しいディレクトリを作成します。
• アナライザー名で新しいPythonファイルを作成します。
• 以下のテンプレートを使用してプラグインを作成し、'General'をプラグイン名に置き換えます。

from pathlib import Path
from forensic.interfaces.analyzer import AnalyzerInterface, AnalyzerConfig


class General(AnalyzerInterface):
    def __init__(self, config: AnalyzerConfig, output_dir: Path, verbose: bool):
        super().__init__(config, output_dir, verbose)
        self.plugin_name = 'General'
        self.create_output_dir(self.plugin_name)

    def analyze(self):
      pass

• analyzersフォルダの下にある__init__.pyファイルに新しいアナライザーをインポートしてください。

リソースと技術データ、ソリューション:

Microsoft Defender for IoTは、エージェントレスなネットワーク層セキュリティソリューションであり、組織はIoT/OTおよび産業用制御システム（ICS）デバイスを継続的に監視し、資産を発見し、脅威を検出し、脆弱性を管理できます。オンプレミスおよびAzure接続環境の両方で利用可能です。

MSRCブログのSection 52
このツールに関するICS講義
Section 52 - 悪意のあるラダーロジックの調査 | Microsoft Defender for IoT ウェビナー - YouTube

貢献

このプロジェクトは貢献と提案を歓迎します。ほとんどの貢献には、あなたが貢献を使用する権利を当社に付与する権利があること、および実際に付与することを宣言するコントリビューターライセンス契約（CLA）への同意が必要です。詳細については、https://cla.opensource.microsoft.com をご覧ください。

プルリクエストを送信すると、CLAボットが自動的にCLAを提供する必要があるかどうかを判断し、PRを適切にデコレートします（例：ステータスチェック、コメント）。ボットからの指示に従ってください。これを一度行うだけで、当社のCLAを使用するすべてのリポジトリで有効です。

このプロジェクトはMicrosoftオープンソースの行動規範を採用しています。詳細については、行動規範FAQを参照するか、追加の質問やコメントがある場合は[email protected]にお問い合わせください。

商標

このプロジェクトには、プロジェクト、製品、またはサービスに関する商標またはロゴが含まれる場合があります。Microsoftの商標またはロゴの許可された使用は、Microsoftの商標およびブランドガイドラインに従う必要があります。このプロジェクトの修正版でのMicrosoftの商標またはロゴの使用は、混乱を引き起こしたり、Microsoftの後援を示唆したりしてはなりません。サードパーティの商標またはロゴの使用は、それぞれのサードパーティのポリシーに従います。

法的免責事項

Copyright (c) 2018 Microsoft Corporation. All rights reserved.

本ソフトウェアは「現状のまま」提供され、明示的または黙示的を問わず、商品適格性、特定目的への適合性、および非侵害に関する黙示の保証を含むがこれに限定されない、いかなる保証もありません。いかなる場合も、著作者または著作権保持者は、契約、不法行為、またはその他の行為に起因する、ソフトウェアまたはその使用もしくはその他の取引に関連する、いかなる請求、損害、またはその他の責任も負いません。