dfirtriage

Windows 기반 침해 대응을 위한 디지털 포렌식 수집 도구.

사용 방법

실행하려면 dfirtriage.exe를 대상 시스템이나 연결된 USB 드라이브에 넣고 관리자 권한으로 실행하세요. -h 옵션으로 도움말을 확인할 수 있습니다.

---

DFIRTriage v6.0 사용자 매뉴얼

설명

이 문서는 DFIRtriage 도구의 기능과 올바른 사용법을 설명합니다. 또한 출력 결과 분석에 도움이 되는 상세 정보를 포함합니다. 목표는 침해 대응 담당자가 신속하게 데이터를 수집하고 분석하는 데 필요한 도구를 제공하는 것입니다.

개요

DFIRtriage는 침해 대응 담당자에게 신속한 호스트 데이터를 제공하기 위해 설계된 침해 대응 도구입니다. 실행 시 선택된 호스트 데이터와 정보가 수집되어 실행 디렉터리에 저장됩니다. DFIRtriage는 USB 드라이브에서 실행하거나 대상 호스트에서 원격으로 실행할 수 있습니다.

v6.0의 새로운 기능

출력 구조 재구성

• 출력 파일 및 디렉터리를 보다 논리적으로 재구성했습니다.

전체 실행 시간 기록

• 실행 로그 파일(runlog.txt)에 전체 실행 시간을 추가했습니다.

버그 수정

• 사용자 프로필 디렉터리에서 ntuser.dat가 누락된 경우 0이 아닌 종료 상태 1이 발생하던 문제 수정
• 이제 ntuser.dat 파일이 존재하는 사용자 프로필 디렉터리에서만 잠긴 파일을 가져오도록 수정

개별 시스템 아티팩트를 위한 인수 추가

• 시스템 파일 수집 옵션을 개별 아티팩트로 분할하여, 세 가지 모두가 아닌 하나만 원할 때 전체 파일 크기를 줄입니다. -sdb, --srumdb (SRUM 데이터베이스), -hf, --hiberfil (hiberfil.sys), -p, --pagefile (pagefile.sys)

실행 파일 해싱 기능 개선

• OS 드라이브의 모든 .dll 및 .exe 파일을 해싱합니다. 해시 인수를 사용할 때는 A/V 실시간 검사를 비활성화하는 것이 좋습니다.

실행 중인 프로세스 세부 정보

• 실행 중인 프로세스 정보를 개선하여 PID, PPID, 프로세스 이름, 프로세스를 시작하기 위해 실행된 명령어, 프로세스가 연 파일을 포함합니다.

BitLocker 키 덤프

• OS 드라이브의 BitLocker 키 정보를 덤프하려면 이제 명령줄에 -bl 또는 --bitlocker 인수를 전달하면 됩니다.

메모리 수집이 더 이상 기본 작업이 아님

• 메모리를 수집하려면 명령줄에 -m 또는 --memory 인수를 전달해야 합니다.

실행 종료 시 사용자 프롬프트 제거

• 더 이상 종료 시 사용자 프롬프트를 우회하기 위해 -hl 또는 --headless 인수를 지정할 필요가 없습니다. 스크립트는 완료될 때까지 실행되고, 정리한 후 사용자 개입 없이 종료됩니다.

Windows 방화벽

• Windows 방화벽 구성 덤프
• 주요 방화벽 이벤트 기본 구문 분석
• -elf 인수로 전체 방화벽 이벤트 로그(EVTX) 가져오기

사용자 계정 보고서 개선

• 계정 SID 및 마지막 로그온 시간을 포함하는 더 상세한 사용자 계정 보고서 생성

dtfind - 관리자 권한 요구 사항 제거

• dtfind 실행을 위한 관리자 권한 요구 사항 제거

타사 도구 업데이트

• core.ir 도구 세트가 최신 도구 버전으로 업데이트됨

외부 IP

• 엔드포인트의 외부 IP 주소 획득

PowerShell

• 이제 SYSTEM 계정이 실행한 명령어에 대한 PowerShell 명령 기록 획득
• 전체 PowerShell EVTX 파일이 -elf, --evtlogfiles 인수와 함께 가져와짐

시스템 정보

• WLAN 보고서에 수집된 새로운 시스템 및 네트워크 데이터

이벤트 로그

• VHD 작업 이벤트 로그에서 가상 드라이브(VHD) 마운트 이벤트 획득
• 기본 수집에 새로운 이벤트 로그 이벤트 추가
• -elf, --evtlogfiles 인수로 전체 PowerShell 및 방화벽 이벤트 로그 가져오기

애플리케이션 이벤트 로그

• 애플리케이션 충돌에 대한 WER 이벤트만 (1001)
• 임시 프로필로 로그온하는 사용자 (1511)
• 임시 프로필을 사용하여 프로필을 생성할 수 없음 (1518)
• WER/1001과 유사한 애플리케이션 오류 이벤트. 여기에는 오류가 발생한 EXE/모듈의 전체 경로가 포함됨 (1000)
• WER/1001과 유사한 애플리케이션 충돌/중단 이벤트. 여기에는 오류가 발생한 EXE/모듈의 전체 경로가 포함됨 (1002)

보안 이벤트 로그

• 재생 공격 (4649)
• Kerberos TGT 요청 (4768)
• Kerberos 서비스 티켓 요청 (4769)
• Kerberos 서비스 티켓 갱신 (4770)
• Kerberos 사전 인증 실패 (4771)
• 워크스테이션 잠금 (4800)
• 워크스테이션 잠금 해제 (4801)
• 화면 보호기 호출됨 (4802)
• 화면 보호기 해제됨 (4803)
• 계정 암호 변경 시도 (4723)
• 사용자 계정 비활성화 (4725)
• 사용자 계정 삭제 (4726)
• 그룹 생성 (4727, 4731, 4754)
• 그룹 구성원 제거 (4729, 4733, 4757)
• 그룹 변경 (4735, 4737, 4755, 4764)
• 사용자 계정 잠금 (4740)
• 컴퓨터 계정 생성 (4741)
• 컴퓨터 계정 변경 (4742)
• 컴퓨터 계정 삭제 (4743)
• SID 기록 (4765, 4766)
• 사용자 계정 잠금 해제 (4767)
• 계정에 ACL 설정 (4780)
• 시스템 시간 변경 (4616)
• Kerberos 서비스 티켓 거부됨 (4821)
• NTLM 인증 실패 (4822, 4823)
• Kerberos 사전 인증 실패 (4824)
• 인증 서비스가 인증서 요청을 수신함 (4886)
• 인증 서비스가 인증서 요청을 승인함 (4887)
• 인증 서비스 템플릿이 업데이트됨 (4899)
• 인증 서비스 템플릿 보안이 업데이트됨 (4900)
• Kerberos 정책이 변경됨 (4713)
• 개체에 대해 작업이 수행됨 (4662)

PowerShell 이벤트 로그

• PowerShell 블록 활동 실행 (4103)
• 원격 명령 (4104)

Windows 방화벽 이벤트 로그

로컬 수정(수준 0, 2, 4) (2004, 2005, 2006, 2009, 2033)

종속성

도구 리포지토리에는 올바른 실행에 필요한 전체 도구 세트가 포함되어 있으며 core.ir라는 단일 파일로 압축되어 있습니다. 이 .ir 파일은 Python으로 실행할 때 DFIRtriage의 유일한 필수 종속성이며 data라는 디렉터리(예: ./data/core.ir)에 있어야 합니다. 컴파일된 버전의 DFIRtriage는 전체 도구 세트가 내장되어 있으므로 ./data/core.ir 파일이 필요하지 않습니다.

작동 방식

DFIRtriage는 실행된 호스트에서 데이터를 수집합니다. 키보드를 통한 실행은 USB 장치에서 수행하는 것이 가장 좋습니다. 원격 호스트의 수집을 위해서는 DFIRtriage 파일을 대상에 복사한 다음 원격 셸(예: SSH 또는 PSEXEC)을 통해 실행해야 합니다.

PSEXEC 사용법

경고: PSEXEC 인수를 사용하여 원격 시스템에 자격 증명을 전달하지 마십시오. 이렇게 하면 사용자 이름과 암호가 네트워크를 통해 일반 텍스트로 전송됩니다.

PSEXEC를 올바르게 사용하려면 다음 단계를 따르십시오.

1. 네트워크 드라이브를 매핑하고 대상 호스트에 대한 로컬 관리 권한이 있는 계정으로 인증합니다.

이 매핑된 연결을 사용하여 DFIRtriage를 대상에 복사할 수 있습니다.

2. 이제 PSEXEC를 사용하여 대상 호스트에 원격 셸을 연결할 수 있습니다.

   psexec \\target\_host cmd

3. 이제 대상에서 원격 셸을 사용할 수 있습니다. 이 시점에서 실행되는 모든 명령은 대상 호스트에서 실행됩니다.

사용법

1. 대상에 원격 셸이 설정되면 추출된 DFIRtriage.exe 파일이 있는 위치로 디렉터리를 변경하고 실행합니다.

2. 메모리 수집은 기본적으로 수행되지 않습니다. 메모리를 덤프하려면 다음 인수를 전달하세요: -m, --memory

3. DFIRtriage는 관리자 권한으로 실행해야 합니다.

출력 분석

완료되면 Enter 키를 눌러 출력 디렉터리를 정리합니다. 실행 파일을 실행하는 경우 출력의 압축 보관 파일과 DFIRtriage.exe만 남습니다. Python 코드를 직접 실행하는 경우 DFIRtriage 파이썬 스크립트와 출력의 압축 보관 파일만 남습니다.

출력 폴더

출력 폴더 이름에는 대상 호스트 이름과 DFIRtriage가 실행된 시점의 날짜/시간 코드가 포함됩니다. 날짜/시간 코드 형식은 YYYYMMDDHHMMSS입니다.

아티팩트 목록

아래 표는 DFIRtriage v6.0에서 수집하는 정보 및 아티팩트 유형에 대한 일반적인 목록을 제공합니다.

출력 참조

매뉴얼의 이 섹션은 DFIRtriage 출력 분석 시 지침을 제공하기 위해 제공됩니다. 아래 정보는 이 데이터의 모든 가능한 사용을 자세히 설명하는 것이 실용적이지 않으므로 지침으로만 제공됩니다. 분석의 대부분은 컨텍스트와 침해 대응 담당자의 분석 능력에 따라 달라집니다.

| LiveResponseData \ Network | 분석 노트
| -------------------------------------- | ---------------- |
| ARP.txt | 이 파일은 대상 시스템의 ARP 캐시를 포함합니다. ARP 프로토콜은 인터넷으로 라우팅될 수 없지만, 손상되었거나 내부 공격을 시작하는 데 사용되었을 수 있는 네트워크의 추가 호스트를 식별하는 데 도움이 될 수 있습니다. | | cports.html | 이것은 대상 호스트의 TCP/UDP 연결을 보여주는 매우 상세한 보고서입니다. 추가로, 연결을 생성한 프로세스(이름, PID 등), 창 제목(존재하는 경우) 등에 대한 정보를 제공합니다. | | DNS_cache.txt | 이것은 대상 시스템의 DNS 캐시 로그 파일입니다. 맬웨어는 일반적으로 추가 익스플로잇 수집, 명령 및 제어 인프라 연결, 추가 명령 대기 등을 수행하기 위해 네트워크에 연결할 수 있습니다. 맬웨어가 연결 전에 조회하고 확인해야 하는 도메인 이름으로 코딩되는 것이 일반적입니다. 이 정보는 DNS 캐시에서 찾을 수 있습니다. | | hosts.txt | 시스템 HOSTS 파일 내용의 복사본입니다. | | Internet_settings.txt | 이것은 대상 호스트의 로컬 네트워크 어댑터 구성 로그입니다. 이 로그를 검토하여 설정이 올바르고 변경되지 않았는지 확인해야 합니다. (예: DNS 접미사 검색 목록에 의심스러운 도메인이 추가됨) | | NetBIOS_sessions.txt | 이 파일은 대상 호스트에 대한 현재 NetBIOS 세션 정보를 포함합니다. | | NetBIOS_transferred_files.txt | 이 로그는 'net file' 명령을 사용하여 대상 호스트에서 네트워크를 통해 전송된 파일이 있는지 보여줍니다. | | Open_network_connections.txt | 이 파일은 또한 TCP/UDP 연결 정보를 포함합니다. 프로세스 PID 및 연결 상태 정보도 제공됩니다. 중복처럼 보일 수 있지만 현재 및 최근 네트워크 활동을 식별하는 데 필수적입니다. 일부 도구는 다른 도구가 놓친 정보를 캡처할 수 있습니다. 모든 결과는 검증되어야 합니다. | | routing_table.txt | 이 파일은 대상 호스트의 라우팅 테이블을 포함합니다. 이 정보를 검토하여 추가 경로나 수정된 게이트웨이로 변경되지 않았는지 확인해야 합니다. 이 정보를 알려진 정상 시스템의 라우팅 테이블과 비교하는 것이 도움이 될 수 있습니다. | | Tcpvcon.txt | 대상 호스트의 네트워크 연결에 대한 추가 정보입니다. 프로토콜 유형(TCP/UDP), 프로세스 이름, PID, 상태, 로컬 주소 및 원격 주소를 포함합니다. |

이벤트 ID 참조|이벤트 로그|이벤트 ID|설명|

|---|---|---| |SECURITY|1102|사용자가 보안 로그를 지움; 감사 정책과 관계없이 기록됨| |SECURITY|4616|시스템 시간이 변경됨| |SECURITY|4624|로그온 성공| |SECURITY|4625|로그온 실패| |SECURITY|4634|로그오프| |SECURITY|4647|사용자가 로그오프를 시작함| |SECURITY|4648|RunAs 사용, 권한 상승, 측면 이동| |SECURITY|4649|재생 공격| |SECURITY|4662|개체에 대한 작업이 수행됨| |SECURITY|4672|특수 권한으로 로그인 시도| |SECURITY|4697|서비스 생성, 세부 정보에 서비스 이미지 이름(예: psexec)이 포함됨, 지속성| |SECURITY|4698|예약된 작업 생성, 지속성 가능성| |SECURITY|4722|사용자 계정이 활성화됨| |SECURITY|4724|사용자 계정 암호 재설정 시도| |SECURITY|4728|보안 사용 글로벌 그룹에 멤버 추가됨| |SECURITY|4732|사용자가 권한 있는 로컬 그룹에 추가됨| |SECURITY|4735|보안 사용 로컬 그룹이 변경됨| |SECURITY|4738|사용자 계정이 변경됨| |SECURITY|4756|보안 사용 유니버설 그룹에 멤버가 추가됨| |SECURITY|4768|Kerberos TGT 요청| |SECURITY|4769|Kerberos 서비스 티켓 요청됨| |SECURITY|4713|Kerberos 정책이 변경됨| |SECURITY|4770|Kerberos 서비스 티켓 갱신| |SECURITY|4771|Kerberos 사전 인증 실패| |SECURITY|4634, 4647|로그오프 성공| |SECURITY|4672|슈퍼유저 권한으로 계정 로그온 (예: 관리자)| |SECURITY|4776|도메인 컨트롤러 유효성 검사 시도| |SECURITY|4778|RDP 세션이 다시 연결됨(이벤트 4624의 새로운 로그온과 대조적)| |SECURITY|4688|새 프로세스 생성됨(EXE 경로 포함); 프로세스 종료| |SECURITY|4699|예약된 작업이 삭제됨| |SECURITY|4700|예약된 작업이 활성화됨| |SECURITY|4701|예약된 작업이 비활성화됨| |SECURITY|4702|예약된 작업이 업데이트됨| |SECURITY|4720|계정이 생성됨| |SECURITY|4722|사용자 계정이 활성화됨| |SECURITY|4723|계정의 암호를 변경하려는 시도가 있었음| |SECURITY|4724|계정의 암호를 재설정하려는 시도가 있었음| |SECURITY|4725|사용자 계정이 비활성화됨| |SECURITY|4726|사용자 계정이 삭제됨| |SECURITY|4735, 4737, 4755, 4764|그룹 생성| |SECURITY|4738|사용자 계정이 변경됨| |SECURITY|4740|사용자 계정이 잠김| |SECURITY|4741|컴퓨터 계정이 생성됨| |SECURITY|4742|컴퓨터 계정이 변경됨| |SECURITY|4743|컴퓨터 계정이 삭제됨| |SECURITY|4765, 4766|SID 기록| |SECURITY|4767|사용자 계정이 잠금 해제됨| |SECURITY|4776|계정 로그온 성공/실패, 매핑된 드라이브에 대한 인증을 식별할 수 있음| |SECURITY|4779|RDP 세션이 연결 해제됨(이벤트 4647 또는 4634의 로그오프와 대조적)| |SECURITY|4780|계정에 ACL 설정됨| |SECURITY|4798|사용자의 로컬 그룹 멤버십이 열거됨| |SECURITY|4799|보안 사용 로컬 그룹 멤버십이 열거됨| |SECURITY|4800|워크스테이션 잠김| |SECURITY|4801|워크스테이션 잠금 해제됨| |SECURITY|4802|화면 보호기가 시작됨| |SECURITY|4803|화면 보호기가 해제됨| |SECURITY|4821|Kerberos 서비스 티켓이 거부됨| |SECURITY|4822, 4823|NTLM 인증 실패| |SECURITY|4824|Kerberos 사전 인증 실패| |SECURITY|4825|사용자가 원격 데스크톱 액세스 거부됨| |SECURITY|4886|인증서 서비스가 인증서 요청을 받음| |SECURITY|4887|인증서 서비스가 인증서 요청을 승인함| |SECURITY|4899|인증서 서비스 템플릿이 업데이트됨| |SECURITY|4900|인증서 서비스 템플릿 보안이 업데이트됨| |SECURITY|5058|키 파일 작업| |SECURITY|5059|키 마이그레이션 작업| |SECURITY|5140|네트워크 공유에 액세스됨| |SECURITY|5145|공유 개체에 액세스됨| |SECURITY|7034|서비스가 예기치 않게 중단됨| |SECURITY|7036|서비스가 시작되거나 중지됨| |SECURITY|7040|서비스 시작 유형이 변경됨(부팅 | 요청 시 | 사용 안 함)| |APPLICATION|1022|새 MSI 파일이 설치됨.| |APPLICATION|1033|MSI 설치 프로그램을 사용하여 프로그램 설치됨| |APPLICATION|1034|애플리케이션 제거 완료(성공/실패 상태)| |APPLICATION|11707|설치가 성공적으로 완료됨| |APPLICATION|11708|설치 작업 실패| |APPLICATION|11724|애플리케이션 제거가 성공적으로 완료됨| |APPLICATION|1000|애플리케이션 충돌/중단 이벤트, WER/1001과 유사하며 오류가 발생한 EXE/모듈의 전체 경로 포함| |APPLICATION|1001, 1002|애플리케이션 충돌에 대한 WER 이벤트만| |APPLICATION|1511|사용자가 임시 프로필로 로그온하는 중| |APPLICATION|1518|임시 프로필을 사용하여 프로필을 만들 수 없음| |SYSTEM|6|새 커널 필터 드라이버, 커널 모드 루트킷 설치 가능성 표시| |SYSTEM|104|사용자가 시스템 로그 또는 애플리케이션 로그를 지움 (참고: 애플리케이션 로그를 지우면 시스템 로그에 이벤트가 생성됨, 앱 로그에는 생성되지 않음)| |SYSTEM|7035|서비스에 시작 또는 중지 제어가 성공적으로 전송됨| |SYSTEM|7045|새 Windows 서비스가 설치됨| |POWERSHELL/OPERATIONAL|600|PowerShell 명령 실행됨| |POWERSHELL/OPERATIONAL|4105, 4106|PowerShell 스크립트 시작/중지| |POWERSHELL/OPERATIONAL|4103|PowerShell 블록 활동 실행| |POWERSHELL/OPERATIONAL|4104|원격 명령| |MICROSOFT-WINDOWS-VHDMP|1|표면 디스크 - 가상 드라이브 이미지 파일이 마운트될 때 표시됨.  | |WINDOWS FIREWALL WITH ADVANCED SECURITY|2004, 2005, 2006, 2009, 2033|로컬 수정(수준 0, 2, 4)|