dfirtriage

Windows 기반 침해 대응을 위한 디지털 포렌식 수집 도구.

사용 방법

실행하려면 dfirtriage.exe를 대상 시스템이나 연결된 USB 드라이브에 넣고 관리자 권한으로 실행하세요. -h 옵션으로 도움말을 확인할 수 있습니다.

---

DFIRTriage v6.0 사용자 매뉴얼

설명

이 문서는 DFIRtriage 도구의 기능과 올바른 사용법을 설명합니다. 또한 출력 결과 분석에 도움이 되는 상세 정보를 포함합니다. 목표는 침해 대응 담당자가 신속하게 데이터를 수집하고 분석하는 데 필요한 도구를 제공하는 것입니다.

개요

DFIRtriage는 침해 대응 담당자에게 신속한 호스트 데이터를 제공하기 위해 설계된 침해 대응 도구입니다. 실행 시 선택된 호스트 데이터와 정보가 수집되어 실행 디렉터리에 저장됩니다. DFIRtriage는 USB 드라이브에서 실행하거나 대상 호스트에서 원격으로 실행할 수 있습니다.

v6.0의 새로운 기능

출력 구조 재구성

• 출력 파일 및 디렉터리를 보다 논리적으로 재구성했습니다.

전체 실행 시간 기록

• 실행 로그 파일(runlog.txt)에 전체 실행 시간을 추가했습니다.

버그 수정

• 사용자 프로필 디렉터리에서 ntuser.dat가 누락된 경우 0이 아닌 종료 상태 1이 발생하던 문제 수정
• 이제 ntuser.dat 파일이 존재하는 사용자 프로필 디렉터리에서만 잠긴 파일을 가져오도록 수정

개별 시스템 아티팩트를 위한 인수 추가

• 시스템 파일 수집 옵션을 개별 아티팩트로 분할하여, 세 가지 모두가 아닌 하나만 원할 때 전체 파일 크기를 줄입니다. -sdb, --srumdb (SRUM 데이터베이스), -hf, --hiberfil (hiberfil.sys), -p, --pagefile (pagefile.sys)

실행 파일 해싱 기능 개선

• OS 드라이브의 모든 .dll 및 .exe 파일을 해싱합니다. 해시 인수를 사용할 때는 A/V 실시간 검사를 비활성화하는 것이 좋습니다.

실행 중인 프로세스 세부 정보

• 실행 중인 프로세스 정보를 개선하여 PID, PPID, 프로세스 이름, 프로세스를 시작하기 위해 실행된 명령어, 프로세스가 연 파일을 포함합니다.

BitLocker 키 덤프

• OS 드라이브의 BitLocker 키 정보를 덤프하려면 이제 명령줄에 -bl 또는 --bitlocker 인수를 전달하면 됩니다.

메모리 수집이 더 이상 기본 작업이 아님

• 메모리를 수집하려면 명령줄에 -m 또는 --memory 인수를 전달해야 합니다.

실행 종료 시 사용자 프롬프트 제거

• 더 이상 종료 시 사용자 프롬프트를 우회하기 위해 -hl 또는 --headless 인수를 지정할 필요가 없습니다. 스크립트는 완료될 때까지 실행되고, 정리한 후 사용자 개입 없이 종료됩니다.

Windows 방화벽

• Windows 방화벽 구성 덤프
• 주요 방화벽 이벤트 기본 구문 분석
• -elf 인수로 전체 방화벽 이벤트 로그(EVTX) 가져오기

사용자 계정 보고서 개선

• 계정 SID 및 마지막 로그온 시간을 포함하는 더 상세한 사용자 계정 보고서 생성

dtfind - 관리자 권한 요구 사항 제거

• dtfind 실행을 위한 관리자 권한 요구 사항 제거

타사 도구 업데이트

• core.ir 도구 세트가 최신 도구 버전으로 업데이트됨

외부 IP

• 엔드포인트의 외부 IP 주소 획득

PowerShell

• 이제 SYSTEM 계정이 실행한 명령어에 대한 PowerShell 명령 기록 획득
• 전체 PowerShell EVTX 파일이 -elf, --evtlogfiles 인수와 함께 가져와짐

시스템 정보

• WLAN 보고서에 수집된 새로운 시스템 및 네트워크 데이터

이벤트 로그

• VHD 작업 이벤트 로그에서 가상 드라이브(VHD) 마운트 이벤트 획득
• 기본 수집에 새로운 이벤트 로그 이벤트 추가
• -elf, --evtlogfiles 인수로 전체 PowerShell 및 방화벽 이벤트 로그 가져오기

애플리케이션 이벤트 로그

• 애플리케이션 충돌에 대한 WER 이벤트만 (1001)
• 임시 프로필로 로그온하는 사용자 (1511)
• 임시 프로필을 사용하여 프로필을 생성할 수 없음 (1518)
• WER/1001과 유사한 애플리케이션 오류 이벤트. 여기에는 오류가 발생한 EXE/모듈의 전체 경로가 포함됨 (1000)
• WER/1001과 유사한 애플리케이션 충돌/중단 이벤트. 여기에는 오류가 발생한 EXE/모듈의 전체 경로가 포함됨 (1002)

보안 이벤트 로그

• 재생 공격 (4649)
• Kerberos TGT 요청 (4768)
• Kerberos 서비스 티켓 요청 (4769)
• Kerberos 서비스 티켓 갱신 (4770)
• Kerberos 사전 인증 실패 (4771)
• 워크스테이션 잠금 (4800)
• 워크스테이션 잠금 해제 (4801)
• 화면 보호기 호출됨 (4802)
• 화면 보호기 해제됨 (4803)
• 계정 암호 변경 시도 (4723)
• 사용자 계정 비활성화 (4725)
• 사용자 계정 삭제 (4726)
• 그룹 생성 (4727, 4731, 4754)
• 그룹 구성원 제거 (4729, 4733, 4757)
• 그룹 변경 (4735, 4737, 4755, 4764)
• 사용자 계정 잠금 (4740)
• 컴퓨터 계정 생성 (4741)
• 컴퓨터 계정 변경 (4742)
• 컴퓨터 계정 삭제 (4743)
• SID 기록 (4765, 4766)
• 사용자 계정 잠금 해제 (4767)
• 계정에 ACL 설정 (4780)
• 시스템 시간 변경 (4616)
• Kerberos 서비스 티켓 거부됨 (4821)
• NTLM 인증 실패 (4822, 4823)
• Kerberos 사전 인증 실패 (4824)
• 인증 서비스가 인증서 요청을 수신함 (4886)
• 인증 서비스가 인증서 요청을 승인함 (4887)
• 인증 서비스 템플릿이 업데이트됨 (4899)
• 인증 서비스 템플릿 보안이 업데이트됨 (4900)
• Kerberos 정책이 변경됨 (4713)
• 개체에 대해 작업이 수행됨 (4662)

PowerShell 이벤트 로그

• PowerShell 블록 활동 실행 (4103)
• 원격 명령 (4104)

Windows 방화벽 이벤트 로그

로컬 수정(수준 0, 2, 4) (2004, 2005, 2006, 2009, 2033)

종속성

도구 리포지토리에는 올바른 실행에 필요한 전체 도구 세트가 포함되어 있으며 core.ir라는 단일 파일로 압축되어 있습니다. 이 .ir 파일은 Python으로 실행할 때 DFIRtriage의 유일한 필수 종속성이며 data라는 디렉터리(예: ./data/core.ir)에 있어야 합니다. 컴파일된 버전의 DFIRtriage는 전체 도구 세트가 내장되어 있으므로 ./data/core.ir 파일이 필요하지 않습니다.

작동 방식

DFIRtriage는 실행된 호스트에서 데이터를 수집합니다. 키보드를 통한 실행은 USB 장치에서 수행하는 것이 가장 좋습니다. 원격 호스트의 수집을 위해서는 DFIRtriage 파일을 대상에 복사한 다음 원격 셸(예: SSH 또는 PSEXEC)을 통해 실행해야 합니다.

PSEXEC 사용법

경고: PSEXEC 인수를 사용하여 원격 시스템에 자격 증명을 전달하지 마십시오. 이렇게 하면 사용자 이름과 암호가 네트워크를 통해 일반 텍스트로 전송됩니다.

PSEXEC를 올바르게 사용하려면 다음 단계를 따르십시오.

1. 네트워크 드라이브를 매핑하고 대상 호스트에 대한 로컬 관리 권한이 있는 계정으로 인증합니다.

이 매핑된 연결을 사용하여 DFIRtriage를 대상에 복사할 수 있습니다.

2. 이제 PSEXEC를 사용하여 대상 호스트에 원격 셸을 연결할 수 있습니다.

   psexec \\target\_host cmd

3. 이제 대상에서 원격 셸을 사용할 수 있습니다. 이 시점에서 실행되는 모든 명령은 대상 호스트에서 실행됩니다.

사용법

1. 대상에 원격 셸이 설정되면 추출된 DFIRtriage.exe 파일이 있는 위치로 디렉터리를 변경하고 실행합니다.

2. 메모리 수집은 기본적으로 수행되지 않습니다. 메모리를 덤프하려면 다음 인수를 전달하세요: -m, --memory

3. DFIRtriage는 관리자 권한으로 실행해야 합니다.

출력 분석

완료되면 Enter 키를 눌러 출력 디렉터리를 정리합니다. 실행 파일을 실행하는 경우 출력의 압축 보관 파일과 DFIRtriage.exe만 남습니다. Python 코드를 직접 실행하는 경우 DFIRtriage 파이썬 스크립트와 출력의 압축 보관 파일만 남습니다.

출력 폴더

출력 폴더 이름에는 대상 호스트 이름과 DFIRtriage가 실행된 시점의 날짜/시간 코드가 포함됩니다. 날짜/시간 코드 형식은 YYYYMMDDHHMMSS입니다.

아티팩트 목록

아래 표는 DFIRtriage v6.0에서 수집하는 정보 및 아티팩트 유형에 대한 일반적인 목록을 제공합니다.

아티팩트	설명
메모리	원시 이미지 수집
시스템 정보	빌드, 버전, 설치된 패치, BitLocker 및 섀도 복사본 정보 등
현재 날짜 및 시간	현재 시스템 날짜 및 시간
프리페치	프리페치 데이터 수집 및 구문 분석
PowerShell 명령 기록	SYSTEM 계정을 포함한 모든 사용자의 PowerShell 명령 기록 수집
사용자 활동	최근 사용자 활동의 HTML 보고서
파일 해시	OS 파티션의 모든 EXE 및 DLL 파일에 대한 MD5, SHA-1 또는 SHA-256 해시 계산
네트워크 정보	네트워크 구성, 라우팅 테이블, 연결 등
DNS 캐시 항목	전체 DNS 캐시 내용 목록
ARP 테이블 정보	전체 ARP 캐시 내용 목록
NetBIOS 정보	활성 NetBIOS 세션, 전송된 파일 등
Windows 업데이트 로그	업데이트 정보 수집 및 Windows 업데이트 로그 작성
Windows 이벤트 로그	여러 Windows 이벤트 로그 수집 및 구문 분석
프로세스 정보	프로세스, PID, 이미지 경로 및 전체 명령줄
원격으로 열린 파일 목록	원격 호스트가 연 대상 시스템의 파일
숨겨진 디렉터리 목록	시스템 파티션의 모든 숨겨진 디렉터리 목록
대체 데이터 스트림	대체 데이터 스트림을 포함하는 파일 목록
전체 파일 목록	시스템 파티션의 모든 파일 전체 목록
예약된 작업 목록	구성된 모든 예약된 작업 목록
수집된 모든 트라이지 데이터의 해시	DFIRtriage가 수집한 모든 데이터의 SHA-256 해시
로컬 및 도메인 사용자 계정 정보	사용자 이름, 프로필 경로, 계정 SID 등
자동 실행 정보	모든 자동 실행 위치 및 내용
로그온한 사용자	현재 대상 시스템에 로그온한 모든 사용자
레지스트리 하이브	모든 레지스트리 하이브 다운로드
USB 아티팩트	USB 사용 정보 구문 분석에 필요한 데이터 수집
브라우저 기록	브라우저 기록의 통합 보고서
SRUM 데이터베이스	SRUM(시스템 사용량 리소스 모니터)이 수집한 시스템 사용량 정보

출력 참조

매뉴얼의 이 섹션은 DFIRtriage 출력 분석 시 지침을 제공하기 위해 제공됩니다. 아래 정보는 이 데이터의 모든 가능한 사용을 자세히 설명하는 것이 실용적이지 않으므로 지침으로만 제공됩니다. 분석의 대부분은 컨텍스트와 침해 대응 담당자의 분석 능력에 따라 달라집니다.

출력 디렉터리 루트	분석 노트
ForensicImages\	내용 세부 정보는 아래 정보를 참조하십시오.
LiveResponseData.zip	압축된 트라이지 수집 데이터
triage_acquisition_hashlist.csv	이 파일은 DFIRtriage가 수집한 모든 데이터의 계산된 해시 값을 포함합니다. 이 정보는 출력 데이터의 무결성을 확인하는 데 사용할 수 있습니다.

ForensicImages \ hdd	분석 노트
.E01, .dd, etc	트라이지 스크립트는 파일 시스템 이미지를 수집하지 않습니다. 이 폴더는 필요 시 구성을 위해 조직 목적으로 여기에 있습니다.

ForensicImages \ memory	분석 노트
memdump.raw	memdump.raw는 대상 시스템이 종료되거나 재부팅되기 전에 수집해야 하는 휘발성 메모리의 전체 원시 이미지입니다. 여러 메모리 분석 도구를 사용하여 결과를 교차 검증해야 합니다.