MacOS ThreatTrack v2.0

macOS 시스템을 위한 향상된 보안 정보 수집 도구로, 고급 위협 탐지 기능을 제공합니다.

설명

MacOSThreatTrack은 macOS 시스템에서 악성 활동을 사전 탐지하도록 설계된 포괄적인 bash 기반 보안 정찰 도구입니다. 이 향상된 버전은 광범위한 시스템 정보 수집, 위협 탐지 기능 및 디지털 포렌식 데이터 수집을 제공합니다.

Venator-Swift에서 영감을 받아 추가 보안 기능으로 향상되었습니다.

기능

🔍 향상된 정보 수집

• 시스템 정보: 호스트명, UUID, macOS 버전, 커널 버전, 프로세서 정보, 메모리, 디스크 정보, 네트워크 인터페이스, 가동 시간, 부팅 시간, 시간대
• 사용자 데이터: 관리자 상태, 환경 변수, 마지막 로그인 정보가 포함된 사용자 목록
• 프로세스 분석: 실행 중인 프로세스, 의심스러운 프로세스, 높은 CPU 프로세스, 네트워크 프로세스
• 네트워크 정보: 활성 연결, 수신 대기 포트, ARP 테이블, 라우팅 테이블, DNS 서버
• 보안 상태: SIP 상태, GateKeeper 상태, FileVault 상태, 방화벽 상태, 자동 업데이트

🛡️ 보안 및 위협 탐지

• 위협 지표: 의심스러운 프로세스, 연결, 파일 및 네트워크 활동
• 파일 시스템 분석: 최근 파일, 의심스러운 파일, 대용량 파일, 숨김 파일
• 시스템 로그: 오류 로그, 인증 로그, 최근 1시간 네트워크 로그
• 브라우저 데이터: Safari 및 Chrome 북마크, 확장 프로그램 분석

📊 출력 형식

• JSON 출력: 자동 분석 및 통합을 위한 구조화된 데이터
• 텍스트 출력: 수동 검토를 위한 사람이 읽을 수 있는 형식
• 파일 내보내기: 결과를 지정된 파일에 저장

🔧 향상된 기능

• 오류 처리: 강력한 오류 처리 및 로깅
• 상세 로깅: 디버깅 및 분석을 위한 상세 로깅
• 모듈식 설계: 잘 구성되고 유지보수 가능한 코드 구조
• 명령줄 옵션: 다양한 옵션으로 유연한 실행

설치 및 사용법

한 줄 실행

curl https://raw.githubusercontent.com/ab2pentest/MacOSThreatTrack/main/MacOSThreatTrack.sh | bash

로컬 실행

chmod +x MacOSThreatTrack.sh
./MacOSThreatTrack.sh [OPTIONS]

명령줄 옵션

Usage: MacOSThreatTrack.sh [OPTIONS]

Options:
  -j, --json          Output in JSON format (default)
  -t, --text          Output in text format
  -o, --output FILE   Save output to file
  -v, --verbose       Enable verbose logging
  -h, --help          Show help message

Examples:
  ./MacOSThreatTrack.sh                  # Run with default JSON output
  ./MacOSThreatTrack.sh -t               # Run with text output
  ./MacOSThreatTrack.sh -o report.json   # Save JSON output to file
  ./MacOSThreatTrack.sh -v -t            # Run with verbose logging and text output

수집 정보

시스템 정보

• 호스트명, UUID, macOS 버전, 커널 버전
• 프로세서 정보, 메모리 세부 정보, 디스크 정보
• 네트워크 인터페이스, 가동 시간, 부팅 시간, 시간대
• FileVault 상태, 방화벽 상태

사용자 및 보안 데이터

• 관리자 상태 및 UUID가 포함된 사용자 목록
• 마지막 로그인 정보
• 환경 변수
• 보안 상태 (SIP, GateKeeper, FileVault, 방화벽)

프로세스 및 네트워크 분석

• 모든 실행 중인 프로세스
• 의심스러운 프로세스 (nc, netcat, curl, wget 등)
• 높은 CPU 프로세스
• 활성 네트워크 연결
• 수신 대기 포트
• ARP 테이블 및 라우팅 정보
• DNS 서버 구성

명령 기록 및 셸 데이터

• 모든 사용자의 Zsh 및 Bash 명령 기록
• 셸 시작 스크립트 (.bash_profile, .bashrc, .profile, .zshrc)
• 최근 명령 활동

시스템 서비스 및 애플리케이션

• Launch Daemons 및 Agents
• 정기 스크립트
• Cron 작업
• 설치된 애플리케이션
• 설치 기록
• 매니페스트 파일이 포함된 Chrome 확장 프로그램

디지털 포렌식 데이터

• 최근 파일 (최근 7일)
• 의심스러운 파일 (.exe, .bat, .cmd, .scr)
• 대용량 파일 (>100MB)
• 숨김 파일
• 시스템 로그 (오류, 인증, 네트워크)
• 브라우저 북마크 (Safari, Chrome)

위협 탐지

• 의심스러운 프로세스 및 연결
• 의심스러운 파일 및 네트워크 활동
• 침해 지표
• 최근 네트워크 활동 패턴

JSON 출력 구조

{
  "metadata": {
    "tool": "MacOSThreatTrack",
    "version": "2.0",
    "timestamp": "2024-01-01T12:00:00Z",
    "hostname": "MacBook-Pro",
    "user": "admin"
  },
  "data": {
    "system_info": { ... },
    "users": { ... },
    "processes": { ... },
    "network": { ... },
    "security": { ... },
    "command_history": { ... },
    "shell_scripts": { ... },
    "system_services": { ... },
    "applications": { ... },
    "file_system": { ... },
    "system_logs": { ... },
    "browser_data": { ... },
    "threat_indicators": { ... }
  }
}

사용 사례

• 보안 평가: 포괄적인 시스템 보안 평가
• 사고 대응: 보안 사고 중 신속한 정보 수집
• 위협 헌팅: 악성 활동의 사전 탐지
• 디지털 포렌식: 증거 수집 및 분석
• 규정 준수 감사: 보안 태세 평가
• 시스템 모니터링: 기준 설정 및 변경 탐지

요구 사항

• macOS 시스템
• Bash 셸
• 표준 macOS 유틸리티 (system_profiler, sw_vers, sysctl 등)
• 일부 기능은 sudo 권한이 필요할 수 있습니다

기여

기여를 환영합니다! 문제점, 기능 요청 또는 풀 리퀘스트를 자유롭게 제출해 주세요.

라이선스

이 프로젝트는 오픈 소스이며 MIT 라이선스 하에 제공됩니다.