Meerkat

Meerkat — это набор модулей PowerShell, предназначенных для сбора артефактов и разведки оконечных точек на базе Windows без необходимости предварительно развертывать агент. Варианты использования включают первичный анализ инцидентов, охоту за угрозами, мониторинг базовых показателей, сравнение снимков состояния и многое другое.

Артефакты

Информация об узле	Сетевые адаптеры	Процессы*	Службы	Файлы
Политика аудита	Правила брандмауэра Windows	DLL*	Локальные пользователи	ADS
Диски	Порты	Строки*	Локальные группы	Корзина
Исправления	ARP	Дескрипторы*	Запланированные задачи	Файл hosts
TPM	DNS	Переменные среды	Автозагрузка	Сертификаты
ПО	Сетевые маршруты	Сеансы	BitLocker	Выборочный реестр
Оборудование	Общие папки	Информация о домене	Защитник	Журналы событий
Драйверы		История USB	Метаданные журналов событий	События, связанные с неудачными входами
				События, связанные с управлением пользователями/группами
				Метаданные журналов событий

• Принимайте данные с помощью вашей SIEM (Посмотрите репозиторий SIEM!)

---

Содержание

• Быстрый старт
• Использование
• Анализ
• Устранение неполадок
• Скриншоты
• Похожие проекты

---

Быстрый старт

Требования

• Требуется PowerShell 5.0 или выше на «сканирующем» устройстве.
• Требуется PowerShell 3.0 или выше на целевых системах. Можно обеспечить обратную совместимость до PowerShell 2.0, заменив экземпляры "Get-CIMinstance" на "Get-WMIObject".
• Требуется доступ по WinRM.

Установка с помощью Git

В командной строке или консоли PowerShell введите следующее...

git clone "https://github.com/TonyPhipps/Meerkat" "C:\Program Files\WindowsPowerShell\Modules\Meerkat"

Для обновления...

cd C:\Program Files\WindowsPowerShell\Modules\Meerkat
git pull

Установка с помощью PowerShell

Скопируйте/вставьте это в консоль PowerShell

$Modules = "C:\Program Files\WindowsPowerShell\Modules\"
New-Item -ItemType Directory $Modules\Meerkat\ -force
Invoke-WebRequest https://github.com/TonyPhipps/Meerkat/archive/master.zip -OutFile $Modules\master.zip
Expand-Archive $Modules\master.zip -DestinationPath $Modules
Copy-Item $Modules\Meerkat-master\* $Modules\Meerkat\ -Force -Recurse
Remove-Item  $Modules\Meerkat-master -Recurse -Force

Для обновления просто снова выполните тот же набор команд.

Функции также можно использовать, открыв файл .psm1 и скопировав всё его содержимое в консоль PowerShell.

Запуск Meerkat

Эта команда выведет результаты в папку C:\Users\ВашеИмя\Meerkat\

Invoke-Meerkat

ПРИМЕЧАНИЕ: Следующие модули не вернут результатов при запуске без прав администратора

• AuditPolicy
• Drivers
• EventsLoginFailures
• Hotfixes
• RegistryMRU
• Registry
• Processes
• RecycleBin

Анализ

Методологии и методики анализа представлены на страницах Wiki.

Устранение неполадок

Установка модуля PowerShell

Если ваша система не загружает модули автоматически в вашем профиле, возможно, потребуется импортировать модуль вручную.

Import-Module C:\Program Files\WindowsPowerShell\Modules\Meerkat\Meerkat.psm1

Рекомендуется применить следующий подход, чтобы определить, где именно возникает проблема.

ТЕСТ 1 – РАБОТАЕТ ЛИ MEERKAT ЛОКАЛЬНО?

• Проверьте Meerkat на локальной системе
  • Invoke-Meerkat

ТЕСТ 2 – РАБОТАЕТ ЛИ УДАЛЕННОЕ СКАНИРОВАНИЕ?

Примечание: Выполните этот тест с учетной записью, имеющей права локального администратора на целевой системе.

• Проверьте Meerkat на удаленной системе Windows
  • Invoke-Meerkat -Computer RemoteName