Скрипт обнаружения для устройств Citrix NetScaler

Автор: NCSC-NL

[!WARNING] Некоторые из этих проверок предназначены для поиска признаков компрометации, а другие — для проверки того, скомпрометированы ли вы.

Отказ от ответственности

Эти скрипты предоставляются без каких-либо гарантий их эффективности.
Возможности обнаружения этих скриптов основаны на ограниченном наборе правил обнаружения.
Обязательно следуйте инструкциям производителя и информации, приведённой в рекомендациях (advisories) об уязвимостях.
При передаче результатов работы этих скриптов убедитесь, что не раскрывается никакая конфиденциальная информация.

Контактное лицо

Для интерпретации результатов этих сканирующих скриптов, пожалуйста, передайте эту информацию
вашему национальному органу по кибербезопасности (национальному CSIRT или иному аналогичному органу).

Обзор

Этот репозиторий содержит 3 набора скриптов, каждый скрипт имеет собственную папку с инструкциями для конкретного скрипта.

1. core-dump-checks — эти скрипты проверят все сохранённые дампы памяти, созданные устройством NetScaler, на наличие возможных индикаторов компрометации.
2. disk-image-checks — эти скрипты проверят любые индикаторы на образах дисков устройств NetScaler.
3. live-host-bash-check — этот скрипт проверит любые индикаторы на работающем устройстве NetScaler.

Версии

• core-dump-checks: 1.0.0
• disk-image-checks: 1.0.0
• live-host-bash-check: 1.8.3

Инструкции

Запустите все проверочные скрипты на резервных копиях, дампах памяти и устройствах NetScaler. Передайте лог-файл вашему национальному органу реагирования на инциденты кибербезопасности (CSIRT), такому как NCSC или Govcert, для дальнейшей помощи; для ЕС: https://csirtsnetwork.eu

Следите за этим репозиторием

Пожалуйста, следите за этим репозиторием на предмет изменений; в дальнейшем могут быть добавлены дополнительные проверки. Отзывы и улучшения очень приветствуются; их можно предложить, открыв вопрос (issue) на Github.