synacktiv/veeam-velociraptorリモートVeeamフォレンジックパイプラインを紹介する概念実証用Velociraptorアーティファクトパック。
このリポジトリには、リモートの Veeam Backup & Replication フォレンジックパイプラインの概念実証として、Velociraptor アーティファクトのコレクションが含まれています。
artifacts/ にはアーティファクト定義が含まれています。tools/ には、Windows.QEMU.ImgConvert で使用できる qemu-img.zip アーカイブが含まれています。詳細は、関連するブログ記事を参照してください: https://www.synacktiv.com/publications/using-veeam-metadata-for-efficient-extraction-of-backup-artefacts-23
Server.Import.ArtifactExchange サーバーアーティファクトをデフォルトパラメータで起動して、Artifact Exchange を Velociraptor サーバーにインポートします。これにより、次の2つの依存関係が利用可能になります:
Windows.Veeam.RestorePoints.MetadataFiles とWindows.Veeam.RestorePoints.BackupFiles。ExchangeURL パラメータに次の値を指定して Server.Import.ArtifactExchange アーティファクトを起動し、次のパックをインポートします:
https://github.com/synacktiv/veeam-velociraptor/releases/download/v0.1/veeam_velociraptor_v0.1.zipExchange.Windows.Veeam.ProcessDiskImage を変更して、抽出された各ディスクイメージで実行するアーティファクトを選択します。VQL クエリは次の形式に従う必要があります:
SELECT HostName, VMName, CreationTimeUTC, BackupFilePath, 'FULL_ARTIFACT_NAME' AS ArtifactName, *
FROM Artifact.FULL_ARTIFACT_NAME( ARTIFACT_PARAMETERS )
Exchange.Windows.Veeam.RestorePoints.MetadataFiles または Exchange.Windows.Veeam.RestorePoints.BackupFiles(非常に低速です!)を起動して、利用可能な復元ポイントを一覧表示します。
Notebook 内で WHERE 句を使用して結果をフィルタリングし、後続のステップで対象にしたい復元ポイントのみを返す WHERE 句が見つかるまで絞り込みます。
Exchange.Windows.Veeam.ProcessBackups を起動し、その Filter パラメータに適用したいフィルタ(WHERE キーワードなし)を指定します。TemporaryFolderPath に選択するパスには注意してください。このフォルダには、イメージ処理中に抽出されたバックアップデータが数百ギガバイト(場合によってはテラバイト)保存されるためです。専用ドライブを使用することをお勧めします。
このリポジトリの内容は本番環境に対応しておらず、特定の Velociraptor ワークフロー向けの概念実証としてのみ扱ってください。そのため、以下のアーティファクトは Velociraptor Artifact Exchange に提出されていません。
このリポジトリのアーティファクトは、Exchange.Windows.Veeam.ProcessBackups の TemporaryFolderPath パラメータで指定されたフォルダに、(Veeam バックアップから抽出された)数ギガバイト(潜在的にテラバイト)のデータを書き込みます。処理が完了すると、以前に書き込まれたファイルは最小限の検証のみで削除されます。
これらのアーティファクトは非常に限られたデータセットでのみテストされているため、テスト環境でのみ使用することをお勧めします。これらのアーティファクトを使用したことによるいかなる損失についても、Synacktiv は責任を負いません。