はじめに

2021年以降、私は調査や修復作業を支援するために数多くのスクリプトを開発してきました。これらを公開して、皆さんの役に立てばと思い、共有することにしました。

これらのスクリプトはどのように動作しますか？

私が開発したスクリプトは、Crowdstrike Endpoint Detection and Response (EDR) と連携して動作することを目的としています。基本的には、ボタンを1回クリックするだけでデバイスをリモートで迅速に修復するためのクラウドスクリプトです。

なぜこれらのスクリプトを作成したのですか？

私のスクリプトの目的は、SOCやインシデントレスポンスアナリストの調査を支援することです。特定の不要なソフトウェア/アドウェアの修復を支援するスクリプトもあれば、ユーザー名で特定のシステムを調査し、より多くの可視性を提供するスクリプトもあります。

WinInspect - WinInspectは、対象のユーザー名に基づいてWindowsシステムの可視性を高めるためにアナリストを支援する軽量ツールです。
MACInspect - MACInspectは、対象のユーザー名に基づいてMACシステムの可視性を高めるためにアナリストを支援する軽量ツールです。
LinInspect - LinInspectは、対象のユーザー名に基づいてLinuxシステムの可視性を高めるためにアナリストを支援する軽量ツールです。
EnumChromeExt - EnumChromeExtはChrome拡張機能を取得し、自動的にその名前の検出を試みます。
Win-PortScanner - Win-PortScannerは非常に軽量なポートスキャナです。
ScanDll - ScanDllは、特定のダイナミックリンクライブラリをプロセスから検索するためのツールです。
ScanDllv2 - ScanDllv2は、C#を使用して特定のダイナミックリンクライブラリをプロセスから検索するために設計されたツールです。ScanDllよりもはるかに高速ですが、CrowdStrike RTR UIでの標準出力表示に問題があるため、出力はログファイルに書き込まれます。
RegScanner - 一意のキーワードを使用してレジストリキーまたは値を検索するために設計された、驚くほど高速なツールです。
Win-DiskImage-Toolkit - ディスクイメージを迅速に列挙またはアンマウントするためのシンプルなツールです。
ScreenConnect-C2Extractor - ScreenConnect-C2Extractorは、ScreenConnect（別名ConnectWise Client）のuser.configからC2を取得します。
Win-PacketCapture - 分析用のパケットダンプを生成するためのガイド付きスクリプトです。
EvidenceCollection - このスクリプトは、指定されたユーザーのDownloads、Documents、Desktopディレクトリから、Wordファイル、Excelスプレッドシート、テキストファイル、PDF、メールなどの一般的なユーザードキュメントの種類を収集します。C:\temp\SIRTディレクトリを自動的に作成し（存在しない場合）、一致するすべてのファイルをその場所にコピーして、一元化されたレビュー、証拠の保全、またはインシデント調査に備えます。ファイルの種類、ディレクトリ、ユーザー名は、ケースのニーズに合わせてカスタマイズできます。
Win-DmpEventLogs - Win-DmpEventLogsは、指定された時間範囲内のWindowsイベントログをダンプできる非常に有用なフォレンジックツールです：1 = 過去24時間、7 = 過去1週間、30 = 過去1か月、0 = すべてのイベント。。識別を支援するための基本的なルールが実装されています。
Win-EnumVsCodeExtension - このPowerShellスクリプトは、VS Codeの拡張機能ディレクトリを検査し、各拡張機能のpackage.jsonメタデータファイルを解析することで、指定されたユーザーアカウントに対してインストールされているVisual Studio Code拡張機能を列挙します。
Win-datebased_filehunt - このPowerShellスクリプトは、埋め込みのC#コードを使用してC:\ドライブを再帰的に検索し、特定の日付に変更されたファイルを探します。一致したすべてのファイルを、完全なパス、最終変更タイムスタンプ、ファイルサイズを含めて、C:\Windows\Temp\hunter_log_results.log にあるログファイルに記録します。
Win-TokenImpersonateExec - このスクリプトは、指定したユーザーのアクセストークンを利用することで、アナリストがそのユーザーのセキュリティコンテキスト内でコマンドを実行できるようにします。このスクリプトは必要な場合にのみ使用してください。対象ユーザーのセキュリティコンテキスト内でコマンドを実行するため、ユーザー固有のアーティファクト、設定、またはデータを収集する必要があり、標準的な管理者権限やSYSTEMレベルのアクセスでは取得できない状況に限定して使用すべきです。
Win-EnumLockedFile - このスクリプトは、Windows Restart Manager APIを活用して、指定したファイルを現在開いている、またはロックしているプロセスを特定します。

その他のスクリプトまたはユーティリティ

enum_o365tenant - enum_o365tenant は Microsoft 365 / Entra ID テナント列挙ツールであり、Microsoft の ID エンドポイントおよび DNS レコードに対して未認証の偵察を実行します。
jsonspection - JSONSpection は、JSON データ構造を徹底的に検査および列挙するために設計されたユーティリティです。複雑またはネストされた JSON ブロブを分解し、すべてのキーと値のパスを特定し、データ全体のスキーマと関係を理解するのに役立ちます。これにより、API のデバッグ、ログの分析、または解析や自動化ワークフローのためのデータ準備に有用です。
lin-EnumDisk - lin-diskenum.py は、Linux 上の .img、.dd、.raw ファイルなどの raw ディスクイメージを列挙します。読み取り専用のループデバイスを作成し、パーティション/ファイルシステムを検出し、列挙結果を enum/ ディレクトリ以下に個別に保存します。
lin-jextract - lin-jextract は、Linux ディスクイメージ内の EXT ファイルシステムを自動的に識別し、フォレンジック分析のためにそのファイルシステムジャーナルを抽出します。
x3 Ephemeral File Explorer - x3 は、コンテキストを認識した方法でグラフィカルファイルマネージャを起動することで、アナリストのワークフローを効率化するために設計された軽量な Linux ユーティリティです。直接のディレクトリ閲覧に加え、1 つ以上のファイル用の分離された一時ワークスペースをサポートします。

Process Execution Rules (Event ID 4688)
Net.exe Execution - General net.exe usage
Net User/Group - Net user/group commands
Net Share - Net share/use commands
Whoami Execution - Whoami command execution
Systeminfo Execution - Systeminfo command
Tasklist Execution - Tasklist command
Nslookup Execution - Nslookup command
Ping Sweep - Ping with -n or -t flags
PowerShell Encoded - PowerShell with encoded commands
PowerShell Bypass - PowerShell bypass techniques
PowerShell Download - PowerShell download strings
Certutil Download - Certutil used for downloads
BITSAdmin Download - BITSAdmin transfer/download
WMIC Process - WMIC process execution
Scheduled Task - Scheduled task creation/execution
Registry Modification - Registry add/delete operations
Service Creation - Service creation/start
Authentication & Access Rules
Network Logon - Network logon (LogonType 3)
Failed Admin Logon - Failed logon to Administrator account
Explicit Credential Use - Event ID 4648
Privilege Escalation - Event ID 4672
Account Management Rules
User Account Created - Event ID 4720
Group Member Added - Event ID 4728
System Configuration Rules
Service Installation - Event ID 4697
Service Modified - Event ID 7045 (System log)
Driver Load - Event ID 219 (System log)
Audit Policy Change - Event ID 4719
Network Share Added - Event ID 5142
WFP Blocked - Windows Filtering Platform blocked connection (Event ID 5157)

Crowdstrike API スクリプト

CSSession - CSSession は、ターゲットのホスト名を引数として入力することで、Real-Time-Response 経由で接続できる CrowdStrike API スクリプトです。このスクリプトを使用するには、適切な API 権限を持ち、clientid / secret が正しいことを確認する必要があります。
CrowdStrike-API-queued-script - CrowdStrike API Queued スクリプトを使用すると、任意のクラウドスクリプトをターゲットホストにキューイングできます。このスクリプトを使用するには、適切な API 権限を持ち、clientid / secret が正しいことを確認する必要があります。

Crowdstrike 修復スクリプト

以下のライブラリには、実際の環境で見られる一般的な不要なソフトウェア、アドウェア、マルウェアを削除するために設計された修復スクリプトのコレクションが含まれています。修復したい特定のプログラムが見つかった場合は、対応するスクリプトを自由にダウンロードして、ご自身の環境で使用してください。

Threat-Remediation-Scripts

人気