macOSTriageCollectionScript

Скрипт для сбора данных триажа для macOS, который использует sysdiagnose с несколькими дополнениями для сбора полезных данных триажа при расследованиях.

Что собирает скрипт?

Собранные данные включают:

• sysdiagnose — утилиту на различных операционных системах macOS/iOS, которая собирает «общесистемную диагностическую информацию». В основном используется здесь для файлов журналов и живых данных, которые она собирает.
• Списки файлов, поскольку APFS не имеет главной файловой таблицы, как NTFS, чтобы получить представление о том, что существует в файловой системе, мы создаём несколько CSV-файлов, используя комбинацию stat, shasum и file. Собранные данные могут использоваться в сочетании с каналами threat intelligence для выявления вредоносных файлов по их хешу или для выявления аномальных файлов. Это довольно ресурсоёмкий процесс, поэтому скрипт имеет флаг для запуска в быстром режиме, при котором этот шаг исключается.
• Данные браузеров Safari, Chrome и Firefox собираются с целью исключения вредоносных загрузок, фишинговых атак или выявления подозрительных расширений браузера.
• История Bash/Zsh собирается для определения обычной активности, выявления аномалий или активности «рук на клавиатуре».
• FSEvents — это изменчивый источник журналов, не слишком отличающийся от журнала USN на машине с Windows. Хотя они включены в 'system_logs.logarchive', собираемый sysdiagnose, их можно использовать для получения представления о недавней активности в файловой системе, которая ещё может не быть зарегистрирована в 'system_logs.logarchive'.
• Сбор расширенных атрибутов использует xattr и mdfind для поиска и анализа атрибутов, сохраняемых в базе данных Sqlite3. Определяется тип файла для атрибута, а данные сохраняются в шестнадцатеричном формате; по умолчанию собираются только атрибуты "kMDItemDownloadedDate" и "kMDItemWhereFroms", однако добавление дополнительных атрибутов можно выполнить, дополнив массив в функции section_7.