uac-Download – Download des uac-Quellcodes

uac

Anderer Quellcode

Unknown

Herunterladen

Unix-ähnlicher Artefaktsammler

Dokumentation • Hauptfunktionen • Unterstützte Betriebssysteme • UAC verwenden • Mitwirken • Support • Lizenz

? Über UAC

UAC ist ein Live-Response-Erfassungsskript für Incident Response, das native Binärdateien und Tools nutzt, um die Erfassung von AIX-, ESXi-, FreeBSD-, Linux-, macOS-, NetBSD-, NetScaler-, OpenBSD- und Solaris-Systemartefakten zu automatisieren. Es wurde entwickelt, um die Datenerfassung zu erleichtern und zu beschleunigen und bei Einsätzen zur Reaktion auf Vorfälle weniger auf Fernunterstützung angewiesen zu sein.

UAC liest YAML-Dateien im Handumdrehen und sammelt basierend auf ihrem Inhalt relevante Artefakte. Dies macht UAC sehr anpassbar und erweiterbar.

? Dokumentation

Projektdokumentationsseite: https://tclahr.github.io/uac-docs

? Hauptmerkmale

Läuft überall ohne Abhängigkeiten (keine Installation erforderlich).
Anpassbare und erweiterbare Sammlungen und Artefakte.
Beachten Sie die Reihenfolge der Volatilität während der Artefaktsammlung.
Sammeln Sie Informationen über aktuell laufende Prozesse (einschließlich Prozesse ohne Binärdatei auf der Festplatte).
Hash laufende Prozesse und ausführbare Dateien.
Extrahieren Sie den Status von Dateien und Verzeichnissen, um eine Textdatei zu erstellen.
Sammeln Sie system- und benutzerspezifische Daten, Konfigurationsdateien und Protokolle.
Erwerben Sie flüchtigen Speicher von Linux-Systemen mit verschiedenen Methoden und Tools.

? Unterstützte Betriebssysteme

UAC läuft auf jedem Unix-ähnlichen System, unabhängig von der Prozessorarchitektur. Alles, was UAC braucht, ist eine Shell :)

Beachten Sie, dass UAC sogar auf Systemen wie Network Attached Storage (NAS)-Geräten, Netzwerkgeräten wie OpenWrt und IoT-Geräten läuft.

? Verwendung

UAC muss nicht auf dem Zielsystem installiert werden. Laden Sie einfach die neueste Version von der Release-Seite herunter, dekomprimieren Sie sie und starten Sie sie. So einfach ist das!

Die Berechtigung „Vollständiger Festplattenzugriff“ ist eine in macOS Mojave (10.14) eingeführte Datenschutzfunktion, die verhindert, dass einige Anwendungen auf wichtige Daten wie E-Mails, Nachrichten und Safari-Dateien zugreifen. Es wird daher dringend empfohlen, dass Sie manuell die Berechtigung für die Terminalanwendung erteilen, bevor Sie UAC vom Terminal aus ausführen, oder dass Sie Remotebenutzern die Berechtigung erteilen, bevor Sie UAC über SSH ausführen.

Um eine Sammlung auszuführen, müssen Sie mindestens ein Profil und/oder eine Liste von Artefakten bereitstellen und das Zielverzeichnis angeben. Alle zusätzlichen Parameter sind optional.

Beispiele:

Sammeln Sie alle Artefakte basierend auf dem ir_triage-Profil und speichern Sie die Ausgabedatei unter /tmp.

./uac -p ir_triage /tmp

Sammeln Sie alle Artefakte, die sich im Verzeichnis artefakte/live_response befinden, und speichern Sie die Ausgabedatei unter /tmp.

./uac -a ./artifacts/live_response/ * /tmp

Sammeln Sie alle Artefakte basierend auf dem ir_triage-Profil sowie alle Artefakte im Verzeichnis /my_custom_artifacts und speichern Sie die Ausgabedatei unter /mnt/sda1.

./uac -p ir_triage -a /my_custom_artifacts/ * /mnt/sda1

Erfassen Sie einen Speicherauszug und alle Artefakte basierend auf dem vollständigen Profil.

./uac -a ./artifacts/memory_dump/avml.yaml -p full /tmp

Sammeln Sie alle Artefakte basierend auf dem ir_triage-Profil mit Ausnahme des Artefakts bodyfile/bodyfile.yaml.

./uac -p ir_triage -a ! artifacts/bodyfile/bodyfile.yaml /tmp

? Mitwirken

Beiträge machen die Open-Source-Community zu einem so wunderbaren Ort zum Lernen, Inspirieren und Schaffen. Jeder Beitrag, den Sie leisten, wird sehr geschätzt.

Haben Sie Artefakte erstellt? Bitte teilen Sie sie mit uns!

Sie können mit neuen Artefakten, Profilen, Fehlerbehebungen beitragen oder sogar neue Funktionen vorschlagen. Bitte lesen Sie unseren Beitragsleitfaden, bevor Sie eine Pull-Anfrage an das Projekt senden.

?‍ Community-Unterstützung

Allgemeine Hilfe zur Verwendung der Benutzerkontensteuerung finden Sie auf der Projektdokumentationsseite. Wenn Sie zusätzliche Hilfe benötigen, können Sie über einen der Kanäle eine Frage stellen: