MIG: Mozilla InvestiGator

MIG는 Mozilla의 원격 엔드포인트 조사 플랫폼입니다.

⚠️ 폐기 공지 ⚠️

Mozilla는 더 이상 Mozilla InvestiGator (MIG) 프로젝트를 유지보수하지 않습니다.

Mozilla는 더 이상 이 코드를 내부적으로 사용하지 않습니다.

이 코드를 있는 그대로 사용할 수 있으며, 보증은 없습니다. 개발을 계속하려면 포크하십시오.

Docker를 이용한 빠른 시작

Docker를 사용하여 로컬 전용 MIG 설정을 실행할 수 있습니다. 이 컨테이너는 프로덕션 용도에는 적합하지 않지만, MIG의 대부분의 구성 요소가 포함된 단일 컨테이너 환경을 제공하여 MIG를 빠르게 실험해볼 수 있습니다.

Docker Hub에서 가져오려면:

$ docker pull mozilla/mig
$ docker run -it mozilla/mig

또는 소스를 GOPATH에 체크아웃한 경우 직접 이미지를 빌드할 수 있습니다:

$ cd $GOPATH/src/github.com/mozilla/mig
$ docker build -t mozilla/mig:latest .
$ docker run -it mozilla/mig

컨테이너 내부에 들어가면 MIG 도구를 사용하여 로컬 에이전트에 쿼리할 수 있습니다. 예를 들면:

mig@5345268590c8:~$ /go/bin/mig file -t all -path /usr/bin -sha2 5c1956eba492b2c3fffd8d3e43324b5c477c22727385be226119f7ffc24aad3f
1 agents will be targeted. ctrl+c to cancel. launching in 5 4 3 2 1 GO
Following action ID 7978299359234.
 1 / 1 [=========================================================] 100.00% 0/s4s
100.0% done in 3.029105958s
1 sent, 1 done, 1 succeeded
ed11f485244a /usr/bin/wget [lastmodified:2016-07-05 15:32:42 +0000 UTC, mode:-rwxr-xr-x, size:419080] in search 's1'
1 agent has found results

MIG의 기능을 살펴보려면 치트시트를 참조하십시오.

이게 뭔가요?

MIG는 인프라의 모든 시스템에 설치된 에이전트로 구성되어 있으며, 실시간으로 쿼리하여 엔드포인트의 파일 시스템, 네트워크 상태, 메모리 또는 구성을 조사할 수 있습니다.

토요일 아침 7시를 상상해보십시오. 누군가 방금 여러분이 가장 좋아하는 PHP 애플리케이션에 대한 심각한 취약점을 공개했습니다. 그 취약점은 이미 악용되고 있으며, 보안 그룹은 침해 지표(IOC)를 공개하고 있습니다. 여러분의 주말은 좋게 시작되지 않았고, 수천 개의 시스템을 수동으로 검사해야 한다는 생각은 상황을 더 나쁘게 만들 뿐입니다.

MIG가 도움이 될 수 있습니다. 취약한 PHP 앱의 시그니처(파일의 md5, 정규식, 또는 파일 이름)를 file 모듈을 사용하여 모든 시스템에서 검색할 수 있습니다. 마찬가지로 특정 로그 항목, md5 및 sha1/2/3 해시를 가진 백도어 파일, 봇넷의 IP 주소 또는 프로세스 메모리의 바이트 문자열과 같은 IOC도 MIG를 사용하여 조사할 수 있습니다. 그러면 주말이 훨씬 좋아질 것입니다. 몇 가지 명령만으로 수천 개의 시스템을 원격으로 조사하여 위험에 처하지 않았는지 확인할 수 있습니다.

MIG 에이전트는 가볍고 안전하며 배포하기 쉽도록 설계되었습니다. 따라서 좋아하는 시스템 관리자에게 전체 프로덕션 네트워크를 망칠 걱정 없이 기본 배포에 추가하도록 요청할 수 있습니다. 모든 매개변수는 승인된 조사자의 목록과 ACL을 포함하여 컴파일 시 에이전트에 내장됩니다. 보안은 PGP 키를 사용하여 강화되며, MIG의 서버가 손상되더라도 조사자의 노트북에 키가 안전하게 보관되어 있다면 에이전트에 침입할 수 없습니다.

MIG는 빠르고 비동기적으로 설계되었습니다. AMQP를 사용하여 작업을 엔드포인트에 배포하고, Go 채널을 사용하여 구성 요소가 차단되지 않도록 합니다. 실행 중인 작업과 명령은 PostgreSQL 데이터베이스와 디스크 캐시에 저장되어, 플랫폼의 신뢰성이 장기 실행 프로세스에 의존하지 않도록 합니다.

속도는 강력한 요구 사항입니다. 대부분의 작업은 에이전트에서 수백 밀리초 만에 실행됩니다. 큰 디렉토리에서 해시를 찾는 것과 같은 더 큰 작업은 1~2분 미만으로 실행됩니다. 일반적으로 조사는 10초에서 300초 사이에 완료됩니다.

개인정보 보호와 보안이 가장 중요합니다. 에이전트는 원시 데이터를 플랫폼으로 다시 보내지 않고 질문에만 응답합니다. 모든 작업은 플랫폼에 저장되지 않은 GPG 키로 서명되므로, 침해 시 전체 인프라가 장악되는 것을 방지합니다.

기술

MIG는 Go로 구축되었으며, 서명된 JSON 메시지를 수신하는 REST API를 사용합니다. 이 메시지는 RabbitMQ를 통해 에이전트에 배포되고 PostgreSQL 데이터베이스에 저장됩니다.

특징:

• 대규모 분산으로 빠른 속도.
• 배포가 간단하고 크로스 플랫폼.
• OpenPGP를 사용하여 보안 유지.
• 엔드포인트에서 원시 데이터를 절대 검색하지 않음으로써 개인정보 보호 준수.

보다 일반적인 소개와 콘솔 인터페이스 데모를 보려면 이 10분짜리 동영상을 확인하세요.

MIG는 최근 텍사스주 오스틴에서 열린 SANS DFIR 서밋에서 발표되었습니다. 아래 녹화 영상을 시청할 수 있습니다:

토론

#mig에 참여하세요: irc.mozilla.org (웹 클라이언트를 사용하세요: mibbit)

문서

모든 문서는 'doc' 디렉토리와 http://mig.mozilla.org 에서 확인할 수 있습니다.

• 개념 및 내부 구성 요소
• 설치 및 구성