withsecurelabs/linuxcatscale사고 대응 수집 및 처리 스크립트와 자동화된 보고 스크립트
Linux CatScale은 로컬 도구를 사용하여 Linux 기반 호스트에서 광범위한 데이터를 수집하는 bash 스크립트입니다. 이 데이터는 DFIR 전문가가 인시던트를 분류하고 범위를 파악하는 데 도움을 주기 위해 설계되었습니다. 또한, ELK Stack 인스턴스가 출력 데이터를 소비하고 분석 과정을 지원하도록 구성되어 있습니다.
이 스크립트는 최대한 자동화를 위해 작성되었습니다. 증거를 덮어쓰지 않도록 외부 장치/USB에서 실행할 것을 권장합니다. 향후 전체 이미지가 필요할 경우를 대비해서입니다.
의심되는 호스트에서 sudo 권한으로 수집 스크립트를 실행하십시오. fsecure_incident-response_linux_collector_0.7.sh는 수집을 실행하는 데 필요한 유일한 파일입니다.
user@suspecthost:<dir>$ chmod +x ./Cat-Scale.sh
user@suspecthost:<dir>$ sudo ./Cat-Scale.sh
스크립트는 작업 디렉터리에 "FSecure-out"이라는 디렉터리를 생성하고, 압축 후 모든 아티팩트를 제거합니다. 결과적으로 FSecure_Hostname-YYMMDD-HHMM.tar.gz 형식의 파일이 남습니다.
모든 파일이 수집되어 분석 머신에 FSecure_Hostname-YYMMDD-HHMM.tar.gz 파일이 준비되면, Extract-Cat-Scale.sh를 실행하여 모든 파일을 추출하고 "extracted"라는 폴더에 배치할 수 있습니다.
user@analysishost:<dir>$ chmod +x ./Extract-Cat-Scale.sh
user@analysishost:<dir>$ sudo ./Extract-Cat-Scale.sh
이 프로젝트에는 Elastic으로 데이터를 수집하기 위한 사전 정의된 grok 필터가 포함되어 있습니다. 필요에 따라 자유롭게 수정할 수 있습니다.
이 스크립트는 출력물을 생성하고 아카이브합니다. 현재 가장 최신의 수집 항목은 다음 블로그 게시물에 설명되어 있습니다: https://labs.withsecure.com/tools/cat-scale-linux-incident-response-collection
스크립트는 엔드포인트의 아티팩트를 변경할 가능성이 있습니다. 스크립트 사용 시 주의가 필요합니다. 이 스크립트는 원격 엔드포인트의 포렌식적으로 건전한 디스크 이미지를 생성하기 위한 것이 아닙니다.