MIG: Mozilla InvestiGator

MIGは、リモートエンドポイントの調査分析のためのMozillaのプラットフォームです。

⚠️ 非推奨のお知らせ ⚠️

Mozillaは、Mozilla InvestiGator (MIG) プロジェクトのメンテナンスを終了しました。

Mozillaは、このコードを内部で使用することもなくなりました。

このコードは無保証でそのままご利用いただけます。開発を継続するにはフォークしてください。

Dockerによるクイックスタート

Dockerを使用してローカル専用のMIG環境を立ち上げることができます。このコンテナは本番環境には適していませんが、ほとんどのMIGコンポーネントが含まれた単一のコンテナ環境を提供し、MIGをすぐに試すことができます。

Docker Hubからプルするには：

$ docker pull mozilla/mig
$ docker run -it mozilla/mig

または、ソースをGOPATHにチェックアウトしている場合は、独自のイメージをビルドできます：

$ cd $GOPATH/src/github.com/mozilla/mig
$ docker build -t mozilla/mig:latest .
$ docker run -it mozilla/mig

コンテナ内に入ったら、MIGツールを使用してローカルエージェントにクエリを実行できます。例：

mig@5345268590c8:~$ /go/bin/mig file -t all -path /usr/bin -sha2 5c1956eba492b2c3fffd8d3e43324b5c477c22727385be226119f7ffc24aad3f
1 agents will be targeted. ctrl+c to cancel. launching in 5 4 3 2 1 GO
Following action ID 7978299359234.
 1 / 1 [=========================================================] 100.00% 0/s4s
100.0% done in 3.029105958s
1 sent, 1 done, 1 succeeded
ed11f485244a /usr/bin/wget [lastmodified:2016-07-05 15:32:42 +0000 UTC, mode:-rwxr-xr-x, size:419080] in search 's1'
1 agent has found results

MIGの機能を探索するには、チートシートを参照してください。

これは何ですか？

MIGは、インフラストラクチャ内のすべてのシステムにインストールされたエージェントで構成されており、エンドポイントのファイルシステム、ネットワーク状態、メモリ、または構成を調査するためにリアルタイムでクエリを実行できます。

土曜の朝7時を想像してみてください。誰かがあなたのお気に入りのPHPアプリケーションに深刻な脆弱性を公開したところです。その脆弱性はすでに悪用され、セキュリティグループは侵害指標（IOC）を公開しています。あなたの週末は良いスタートを切れず、何千ものシステムを手動で検査しなければならないという考えは、状況をさらに悪化させます。

MIGが役立ちます。脆弱なPHPアプリのシグネチャ（ファイルのMD5、正規表現、または単なるファイル名）は、file モジュールを使用してすべてのシステムで検索できます。同様に、特定のログエントリ、MD5やSHA1/2/3ハッシュを持つバックドアファイル、ボットネットのIPアドレス、プロセスメモリ内のバイト文字列などのIOCも、MIGを使用して調査できます。すると、あなたの週末はずっと良くなります。そして、わずか数コマンドで、何千ものシステムをリモート調査し、リスクがないことを確認できます。

MIGコマンドラインデモ

MIGエージェントは、軽量で安全、かつデプロイが簡単になるように設計されており、お気に入りのシステム管理者にベースデプロイメントに追加してもらい、本番ネットワーク全体を壊す心配はありません。すべてのパラメータはコンパイル時にエージェントに組み込まれ、承認された調査者のリストとACLも含まれます。セキュリティはPGPキーを使用して強化されており、MIGのサーバーが侵害されたとしても、キーが調査者のラップトップ上で安全に保たれている限り、誰もエージェントに侵入することはできません。

MIGは高速かつ非同期になるように設計されています。アクションをエンドポイントに配布するためにAMQPを使用し、Goのチャネルに依存してコンポーネントのブロッキングを防ぎます。実行中のアクションとコマンドはPostgreSQLデータベースとディスクキャッシュに保存されるため、プラットフォームの信頼性は長時間実行されるプロセスに依存しません。

速度は重要な要件です。ほとんどのアクションはエージェント上で数百ミリ秒しかかかりません。大きなディレクトリ内のハッシュを検索するような大規模なアクションでも、1、2分以内に完了します。全体として、調査は通常10秒から300秒の間で完了します。

プライバシーとセキュリティは最優先です。エージェントは決して生データをプラットフォームに送り返さず、質問にのみ回答します。すべてのアクションはプラットフォームに保存されていないGPGキーで署名されるため、侵害が発生してもインフラストラクチャ全体を乗っ取られることはありません。

テクノロジー

MIGはGoで構築されており、署名付きJSONメッセージを受信するREST APIを使用し、RabbitMQを介してエージェントに配布され、Postgresデータベースに保存されます。

特徴：

大規模分散で高速。
デプロイが簡単でクロスプラットフォーム。
OpenPGPを使用して保護。
エンドポイントから生データを取得しないことでプライバシーを尊重。

コンソールインターフェースの一般的なプレゼンテーションとデモについては、この10分間のビデオをご覧ください。

MIG YouTubeビデオ

MIGは最近、テキサス州オースティンで開催されたSANS DFIRサミットで発表されました。以下の録画をご覧ください：

MIG @ DFIR Summit 2015

ディスカッション

#mig に参加してください irc.mozilla.org（mibbit などのウェブクライアントを使用）。

ドキュメント

すべてのドキュメントは 'doc' ディレクトリと http://mig.mozilla.org で入手できます。

ファイル検査
ネットワーク検査			(部分対応)
メモリ検査
脆弱性管理		(計画中)	(計画中)
ログ分析	(計画中)	(計画中)	(計画中)
システム監査		(計画中)	(計画中)

mig

人気