dfirtriage

Windowsベースのインシデント対応のためのデジタルフォレンジック取得ツール。

使用方法

実行するには、dfirtriage.exeをターゲットまたは接続されたUSBドライブに配置し、管理者権限で実行します。-hでヘルプを表示します。

---

DFIRTriage v6.0 ユーザーマニュアル

説明

このドキュメントでは、DFIRtriageツールの機能と適切な使用方法について説明します。また、出力の分析に役立つ詳細情報も含まれています。目的は、インシデント対応担当者が迅速にデータを収集・分析するために必要なツールを提供することです。

概要

DFIRtriageは、インシデント対応担当者に迅速なホストデータを提供するために設計されたインシデント対応ツールです。実行時に、選択されたホストデータと情報が収集され、実行ディレクトリに配置されます。DFIRtriageはUSBドライブから実行することも、リモートでターゲットホスト上で実行することもできます。

v6.0の新機能

出力の再構成

• 出力ファイルとディレクトリをより論理的な方法で再編成

実行時間のログ記録

• 実行ログファイル（runlog.txt）に合計実行時間を追加

バグ修正

• ユーザープロファイルディレクトリにntuser.datがない場合のゼロ以外の終了ステータス1
• ntuser.datファイルが存在するユーザープロファイルディレクトリからのみロックされたファイルの取得を試行するように変更

個別のシステムアーティファクトの引数を追加

• システムファイル取得オプションを個別のアーティファクトに分割することで、すべてではなく1つだけ必要な場合に合計ファイルサイズを削減 -sdb, --srumdb（SRUMデータベース）、-hf, --hiberfil（hiberfil.sys）、-p, --pagefile（pagefile.sys）

実行可能ファイルのハッシュ機能の改善

• OSドライブ上のすべての.dllおよび.exeファイルをハッシュ化。ハッシュ引数を使用する場合は、A/Vリアルタイムスキャンを無効にすることを推奨。

実行中プロセスの詳細

• 実行中プロセスの情報を改善し、PID、PPID、プロセス名、プロセス起動時に実行されたコマンド、プロセスによって開かれたファイルを含む。

BitLockerキーのダンプ

• OSドライブのBitLockerキー情報をダンプするには、コマンドラインで-blまたは--bitlocker引数を渡すことができます。

メモリ取得がデフォルトアクションではなくなりました

• メモリを取得するには、コマンドラインで-mまたは--memory引数を渡す必要があります。

実行終了時のユーザープロンプトを削除

• 終了時のユーザープロンプトをバイパスするために-hlまたは--headless引数を指定する必要がなくなり、スクリプトは完了まで実行され、クリーンアップしてユーザーの介入なしに終了します。

Windowsファイアウォール

• Windowsファイアウォール構成のダンプ
• 主要なファイアウォールイベントのデフォルト解析
• -elf引数を使用して完全なファイアウォールイベントログ（EVTX）を取得

ユーザーアカウントレポートの改善

• アカウントSIDと最終ログオン時間を含む、より詳細なユーザーアカウントレポートを作成。

dtfind - 管理者要件の削除

• dtfindを実行するための管理者権限の要件を削除

サードパーティツールの更新

• core.irツールセットが最新のツールバージョンに更新されました。

外部IP

• エンドポイントの外部IPアドレスを取得

PowerShell

• SYSTEMによって実行されたコマンドのPowerShell履歴を取得
• 完全なPowerShell EVTXファイルは、-elf, --evtlogfiles引数で取得されるようになりました。

システム情報

• WLANレポートで収集される新しいシステムおよびネットワークデータ

イベントログ

• VHD操作イベントログから仮想ドライブ（VHD）マウントイベントを取得
• デフォルトコレクションに新しいイベントログイベントを追加
• -elf, --evtlogfiles引数で完全なPowerShellおよびファイアウォールイベントログを取得

アプリケーションイベントログ

• アプリケーションクラッシュのみのWERイベント（1001）
• 一時プロファイルでのユーザーログオン（1511）
• 一時プロファイルを使用してプロファイルを作成できない（1518）
• WER/1001と同様のアプリケーションエラーイベント。これらには障害が発生したEXE/モジュールの完全パスが含まれます（1000）
• WER/1001と同様のアプリケーションクラッシュ/ハングイベント。これらには障害が発生したEXE/モジュールの完全パスが含まれます（1002）

セキュリティイベントログ

• リプレイ攻撃（4649）
• Kerberos TGT要求（4768）
• Kerberosサービスチケット要求（4769）
• Kerberosサービスチケット更新（4770）
• Kerberos事前認証失敗（4771）
• ワークステーションロック（4800）
• ワークステーションロック解除（4801）
• スクリーンセーバー起動（4802）
• スクリーンセーバー解除（4803）
• アカウントのパスワード変更試行（4723）
• ユーザーアカウントの無効化（4725）
• ユーザーアカウントの削除（4726）
• グループ作成（4727, 4731, 4754）
• グループメンバー削除（4729, 4733, 4757）
• グループ変更（4735, 4737, 4755, 4764）
• ユーザーアカウントのロックアウト（4740）
• コンピューターアカウント作成（4741）
• コンピューターアカウント変更（4742）
• コンピューターアカウント削除（4743）
• SID履歴（4765, 4766）
• ユーザーアカウントのロック解除（4767）
• アカウントのACL設定（4780）
• システム時刻変更（4616）
• Kerberosサービスチケット拒否（4821）
• NTLM認証失敗（4822, 4823）
• Kerberos事前認証失敗（4824）
• 証明書サービスが証明書要求を受信（4886）
• 証明書サービスが証明書要求を承認（4887）
• 証明書サービス テンプレートが更新されました（4899）
• 証明書サービス テンプレートのセキュリティが更新されました（4900）
• Kerberosポリシー変更（4713）
• オブジェクトに対する操作の実行（4662）

PowerShellイベントログ

• PowerShellがブロックアクティビティを実行（4103）
• リモートコマンド（4104）

Windowsファイアウォールイベントログ

ローカル変更（レベル0、2、4）（2004、2005、2006、2009、2033）

依存関係

ツールリポジトリには、適切な実行に必要な完全なツールセットが含まれており、core.irという単一のファイルにパッケージ化されています。この.irファイルは、Pythonで実行する場合のDFIRtriageの唯一の必要な依存関係であり、./data/core.irという名前のデータディレクトリに配置する必要があります。コンパイル版のDFIRtriageには完全なツールセットが埋め込まれており、./data/core.irファイルの追加は必要ありません。

操作

DFIRtriageは、実行されたホストからデータを取得します。キーボードによる実行は、USBデバイスから行うのが最適です。リモートホストの取得には、DFIRtriageのファイルをターゲットにコピーし、リモートシェル（例：SSHまたはPSEXEC）を介して実行する必要があります。

PSEXECの使用方法

警告：PSEXECの引数を使用してリモートシステムに資格情報を渡さないでください。そうすると、ユーザー名とパスワードがネットワーク上に平文で送信されます。

PSEXECを適切に使用するための以下の手順を実行してください。

1. ネットワークドライブをマッピングし、ターゲットホストに対してローカル管理者権限を持つアカウントで認証します。

このマッピングされた接続を使用して、DFIRtriageをターゲットにコピーできます。

2. 次に、PSEXECを使用してリモートシェルをターゲットホストに送ることができます。

   psexec \\target\_host cmd

3. これでターゲット上にリモートシェルが確立されました。この時点で実行されるすべてのコマンドは、ターゲットホスト上で実行されます。

使用法

1. ターゲット上でリモートシェルが確立されたら、抽出したDFIRtriage.exeファイルがある場所にディレクトリを変更し、実行します。

2. メモリ取得はデフォルトでは行われません。メモリをダンプするには、次の引数を渡します： -m, --memory

3. DFIRtriageは管理者権限で実行する必要があります。

出力分析

完了したら、Enterキーを押して出力ディレクトリをクリーンアップします。実行可能ファイルを実行している場合、残るのは出力のzipアーカイブとDFIRtriage.exeのみです。Pythonコードを直接実行している場合、残るのはDFIRtriageのPythonスクリプトと出力のzipアーカイブのみです。

出力フォルダ

出力フォルダ名には、ターゲットのホスト名と、DFIRtriageが実行された日時を示すコードが含まれています。日時コードの形式はYYYYMMDDHHMMSSです。

アーティファクト一覧

以下の表は、DFIRtriage v6.0によって収集される情報とアーティファクトの一般的な一覧です。

出力リファレンス

マニュアルのこのセクションは、DFIRtriage出力の分析中にガイダンスを提供するために用意されています。以下の情報はガイドラインとしてのみ提供されており、このデータのあらゆる使用法を詳細に説明することは現実的ではありません。分析の大部分は、状況とインシデント対応担当者の分析スキルに依存します。

| LiveResponseData \ Network | Analysis Notes
| -------------------------------------- | ---------------- |
| ARP.txt | このファイルにはターゲットシステムのARPキャッシュが含まれています。ARPプロトコルはインターネットにルーティングできませんが、侵害された可能性のあるネットワーク上の追加ホストや内部攻撃の開始に使用された可能性のあるホストを特定するのに役立ちます。 | | cports.html | これはターゲットホスト上のTCP/UDP接続を示す非常に詳細なレポートです。さらに、接続を作成したプロセスの情報（名前、PIDなど）、ウィンドウタイトル（存在する場合）などが含まれています。 | | DNS_cache.txt | これはターゲットシステムのDNSキャッシュのログファイルです。マルウェアは通常、追加のエクスプロイト収集、C2インフラへの参加、追加コマンドの待機などのためにネットワークに接続します。マルウェアは、接続前にクエリと解決が必要なドメイン名でコード化されることがよくあります。この情報はDNSキャッシュにあります。 | | hosts.txt | これはシステムのHOSTSファイルの内容のコピーです。 | | Internet_settings.txt | これはターゲットホスト上のローカルネットワークアダプタ設定のログです。このログを確認して設定が正しく変更されていないことを確認する必要があります。（例：DNSサフィックス検索リストに疑わしいドメインが追加されていないか） | | NetBIOS_sessions.txt | このファイルには、ターゲットホストへの現在のNetBIOSセッションに関する情報が含まれています。 | | NetBIOS_transferred_files.txt | このログは、"net file"コマンドを使用してターゲットホストからネットワーク経由で転送されたファイルがあるかどうかを示します。 | | Open_network_connections.txt | このファイルにもTCP/UDP接続情報が含まれています。プロセスのPIDと接続状態情報も利用できます。冗長に見えるかもしれませんが、現在および最近のネットワークアクティビティを特定するために不可欠です。これらのツールの中には、他のツールが見逃す情報をキャプチャするものもあります。すべての調査結果を検証する必要があります。 | | routing_table.txt | このファイルにはターゲットホストのルーティングテーブルが含まれています。この情報を確認して、追加のルートや変更されたゲートウェイが追加されていないことを確認する必要があります。既知の正常なマシンのルーティングテーブルと比較すると役立つ場合があります。 | | Tcpvcon.txt | ターゲットホストからのネットワーク接続に関する追加情報。プロトコルタイプ（TCP/UDP）、プロセス名、PID、状態、ローカルアドレス、リモートアドレスが含まれています。 |

EVENT ID REFERENCE| | | |

|---|---|---| |イベント ログ|イベント ID|説明| |SECURITY|1102|ユーザーがセキュリティ ログを消去しました。監査ポリシーに関係なく記録されます。| |SECURITY|4616|システム時刻が変更されました。| |SECURITY|4624|ログオン成功| |SECURITY|4625|ログオン失敗| |SECURITY|4634|ログオフ| |SECURITY|4647|ユーザーによるログオフ開始| |SECURITY|4648|RunAs 使用、特権昇格、横方向移動| |SECURITY|4649|リプレイ攻撃| |SECURITY|4662|オブジェクトに対して操作が実行されました。| |SECURITY|4672|特別な特権でのログイン試行| |SECURITY|4697|サービス作成。詳細にはサービス イメージ名 (例: psexec) が含まれ、永続化の可能性があります。| |SECURITY|4698|スケジュール タスク作成。永続化の可能性があります。| |SECURITY|4722|ユーザー アカウントが有効化されました。| |SECURITY|4724|ユーザー アカウントのパスワード リセット試行| |SECURITY|4728|セキュリティ有効なグローバル グループにメンバーが追加されました。| |SECURITY|4732|特権ローカル グループにユーザーが追加されました。| |SECURITY|4735|セキュリティ有効なローカル グループが変更されました。| |SECURITY|4738|ユーザー アカウントが変更されました。| |SECURITY|4756|セキュリティ有効なユニバーサル グループにメンバーが追加されました。| |SECURITY|4768|Kerberos TGT 要求| |SECURITY|4769|Kerberos サービス チケット要求| |SECURITY|4713|Kerberos ポリシーが変更されました。| |SECURITY|4770|Kerberos サービス チケット更新| |SECURITY|4771|Kerberos 事前認証失敗| |SECURITY|4634, 4647|ログオフ成功| |SECURITY|4672|スーパーユーザー権限 (例: 管理者) でのアカウント ログオン| |SECURITY|4776|ドメイン コントローラーの検証試行| |SECURITY|4778|イベント 4624 で見られる新規ログオンとは異なり、RDP セッションが再接続されました。| |SECURITY|4688|新しいプロセス作成 (exe パスを含む)。プロセス終了| |SECURITY|4699|スケジュール タスクが削除されました。| |SECURITY|4700|スケジュール タスクが有効化されました。| |SECURITY|4701|スケジュール タスクが無効化されました。| |SECURITY|4702|スケジュール タスクが更新されました。| |SECURITY|4720|アカウントが作成されました。| |SECURITY|4722|ユーザー アカウントが有効化されました。| |SECURITY|4723|アカウントのパスワード変更が試行されました。| |SECURITY|4724|アカウントのパスワード リセットが試行されました。| |SECURITY|4725|ユーザー アカウントが無効化されました。| |SECURITY|4726|ユーザー アカウントが削除されました。| |SECURITY|4735, 4737, 4755, 4764|グループ作成| |SECURITY|4738|ユーザー アカウントが変更されました。| |SECURITY|4740|ユーザー アカウントがロックアウトされました。| |SECURITY|4741|コンピューター アカウントが作成されました。| |SECURITY|4742|コンピューター アカウントが変更されました。| |SECURITY|4743|コンピューター アカウントが削除されました。| |SECURITY|4765, 4766|SID 履歴| |SECURITY|4767|ユーザー アカウントのロックが解除されました。| |SECURITY|4776|アカウント ログオン成功/失敗。マップされたドライブの認証を特定できます。| |SECURITY|4779|イベント 4647 または 4634 で見られるログオフとは異なり、RDP セッションが切断されました。| |SECURITY|4780|アカウントに ACL が設定されました。| |SECURITY|4798|ユーザーのローカル グループ メンバーシップが列挙されました。| |SECURITY|4799|セキュリティ有効なローカル グループ メンバーシップが列挙されました。| |SECURITY|4800|ワークステーションがロックされました。| |SECURITY|4801|ワークステーションのロックが解除されました。| |SECURITY|4802|スクリーン セーバーが起動されました。| |SECURITY|4803|スクリーン セーバーが解除されました。| |SECURITY|4821|Kerberos サービス チケットが拒否されました。| |SECURITY|4822, 4823|NTLM 認証が失敗しました。| |SECURITY|4824|Kerberos 事前認証が失敗しました。| |SECURITY|4825|ユーザーがリモート デスクトップへのアクセスを拒否されました。| |SECURITY|4886|証明書サービスが証明書要求を受信しました。| |SECURITY|4887|証明書サービスが証明書要求を承認しました。| |SECURITY|4899|証明書サービステンプレートが更新されました。| |SECURITY|4900|証明書サービステンプレートのセキュリティが更新されました。| |SECURITY|5058|キー ファイル操作| |SECURITY|5059|キー移行操作| |SECURITY|5140|ネットワーク共有がアクセスされました。| |SECURITY|5145|共有オブジェクトがアクセスされました。| |SECURITY|7034|サービスが予期せずクラッシュしました。| |SECURITY|7036|サービスが開始または停止されました。| |SECURITY|7040|サービスの開始種類が変更されました (自動 | 手動 | 無効)| |APPLICATION|1022|新しい MSI ファイルがインストールされました。| |APPLICATION|1033|MSI インストーラーを使用してプログラムがインストールされました。| |APPLICATION|1034|アプリケーション削除完了 (成功/失敗ステータス)| |APPLICATION|11707|インストールが正常に完了しました。| |APPLICATION|11708|インストール操作が失敗しました。| |APPLICATION|11724|アプリケーション削除が正常に完了しました。| |APPLICATION|1000|アプリケーション クラッシュ/ハング イベント (WER/1001 など)。障害が発生した EXE/モジュールへの完全パスを含みます。| |APPLICATION|1001, 1002|アプリケーション クラッシュのみの WER イベント| |APPLICATION|1511|ユーザーが一時プロファイルでログオンしています。| |APPLICATION|1518|一時プロファイルを使用してプロファイルを作成できません。| |SYSTEM|6|新しいカーネル フィルター ドライバー。カーネルモード ルートキット インストールの可能性を示します。| |SYSTEM|104|ユーザーがシステム ログまたはアプリケーション ログを消去しました。(注: アプリケーション ログの消去はシステム ログにイベントを作成し、アプリケーション ログには作成されません。)| |SYSTEM|7035|正常な開始または停止制御がサービスに送信されました。| |SYSTEM|7045|新しい Windows サービスがインストールされました。| |POWERSHELL/OPERATIONAL|600|PowerShell コマンドが実行されました。| |POWERSHELL/OPERATIONAL|4105, 4106|PowerShell スクリプトの開始/停止| |POWERSHELL/OPERATIONAL|4103|PowerShell がブロック アクティビティを実行します。| |POWERSHELL/OPERATIONAL|4104|リモート コマンド| |MICROSOFT-WINDOWS-VHDMP|1|サーフェス ディスク - 仮想ドライブ イメージ ファイルがマウントされたときに表示されます。 | |WINDOWS FIREWALL WITH ADVANCED SECURITY|2004, 2005, 2006, 2009, 2033|ローカル変更 (レベル 0、2、4)|