Про­дук­тивнее и веселее решать задачи кол­лектив­но — для форен­зики это тоже впол­не спра­вед­ливо. Поэто­му homo forensicus воору­жены инс­тру­мен­тами кол­лектив­ной работы, и один из них — это Timesketch.

Это опен­сор­сный про­ект, пред­назна­чен­ный для сов­мес­тно­го ана­лиза тай­млай­нов событий. Внут­ри у него раз­меща­ется мощ­ный вось­мицилин­дро­вый elasticsearch (по ходу статьи буду исполь­зовать сок­ращение ES), что (при пра­виль­ной кон­фигура­ции) ведет к авто­мати­чес­кому нас­ледова­нию про­ектом всех его основных фишек: мас­шта­биру­емость, отка­зоус­той­чивость и высокую ско­рость при поис­ке сре­ди сотен мил­лионов событий вку­пе с повышен­ным рас­ходом ресур­сов тво­его ком­па.

Установка

Ус­тановить ты можешь как ре­лиз­ный вари­ант, так и dev-вер­сию. Во вто­ром слу­чае появит­ся воз­можность вно­сить свои прав­ки в код, а так­же накаты­вать самые све­жие ком­миты. Но если нар­вешь­ся на све­жие баги — пеняй на себя и не забывай репор­тить их.

Мы пос­тавим релиз­ную вер­сию на вир­туал­ку с Ubuntu 20.04 и прик­рутим свер­ху Kibana.

info

Ког­да име­ешь дело с про­екта­ми, пос­тро­енны­ми на ES, никог­да не лиш­ним будет добавить Kibana. Так мож­но всег­да без проб­лем разоб­рать­ся с про­исхо­дящи­ми внут­ри базы про­цес­сами и отло­вить неш­татные ситу­ации.

Пе­репе­чаты­вать коман­ды из офи­циаль­ной инс­трук­ции нет смыс­ла, поэто­му будем счи­тать, что уста­нов­ка завер­шилась успешно. Про­верить это мож­но вот такой коман­дой:

Ес­ли все сде­лано пра­виль­но, вывод дол­жен быть при­мер­но сле­дующим.

Те­перь выведем из докер‑кон­тей­нера порт с ES наружу — для того, что­бы до него мог­ла дос­тучать­ся Kibana.

В раз­дел elasticsearch добавим раз­дел ports с ука­зани­ем проб­расыва­емо­го пор­та.

warning

Эта кон­фигура­ция под­ходит толь­ко для сво­ей собс­твен­ной тес­товой вер­сии ES, к которой нет дос­тупа ни у кого пос­торон­него. ES не име­ет встро­енных механиз­мов авто­риза­ции, и любой жела­ющий при таком рас­кла­де зап­росто может получить дос­туп ко всей базе. Если тебе понадо­бит­ся ана­логич­ное решение в про­дак­шене, исполь­зуй надс­трой­ку X-Pack.

Ос­талось прик­рутить сюда Kibana. В нашем слу­чае из скри­на выше видим, что в про­екте исполь­зует­ся elasticsearch-oss:7.10.2, соот­ветс­твен­но, и Kibana дол­жна быть той же вер­сии. Ска­чива­ем и ста­вим kibana-oss:

Под­пра­вим кон­фиг, что­бы до интерфей­са «Кибаны» мож­но было дос­тучать­ся:

Для это­го рас­коммен­тиру­ем параметр server.host и ука­жем IP-адрес вир­туал­ки. Стар­туем Kibana и смот­рим, что все успешно завелось.

Ос­талось соз­дать поль­зовате­лей — и мож­но логинить­ся в сис­тему.

Использование

Соз­дадим новый скетч (кноп­ка New investigation) и заль­ем в него дан­ные, которые мы сге­нери­рова­ли в прош­лый раз (кноп­ка Upload timeline). Я соз­дал два скет­ча и залил дан­ные в каж­дый. Пос­ле неп­родол­житель­ного ожи­дания заг­лянем в Kibana, и в раз­деле dev tools выпол­ним коман­ду:

Как видим, для каж­дого скет­ча в ES соз­дает­ся отдель­ный индекс, в который попада­ют события из каж­дого заг­ружен­ного фай­ла Plaso, т. е. один и тот же файл Plaso при заг­рузке его в раз­ные скет­чи будет обра­баты­вать­ся пов­торно.

Пос­мотрим, как дан­ные мап­пятся, что­бы понимать, как потом эффектив­но с ними работать

Все тек­сто­вые дан­ные мап­пятся по сле­дующей схе­ме:

Ес­ли ты нем­ного зна­ком с ES, то в кур­се, что перед тобой динами­чес­кий мап­пинг. Такая схе­ма исполь­зует­ся, потому что раз­работ­чикам было лень замора­чивать­ся Timesketch может гру­зить абсо­лют­но любые пос­ледова­тель­нос­ти событий из раз­личных источни­ков, и пре­дус­мотреть уни­вер­саль­ную схе­му мап­пинга с чет­ким наз­вани­ем всех полей не так‑то и прос­то. Зато такая схе­ма поз­воля­ет осу­щест­влять как пол­нотек­сто­вый поиск, так и агре­гиро­вать и сор­тировать дан­ные по каж­дому полю в индексе, что несом­ненно дает мно­го пре­иму­ществ, если ты уме­ешь этим поль­зовать­ся (и пле­вать на исчезно­вение сво­бод­ных гигабай­тов на тво­ем жес­тком дис­ке).

Да­вай перехо­дить к осмотру паци­ента. Пос­мотрим, какие инс­тру­мен­ты у нас для это­го есть.

Explore

Эта вклад­ка — основной инс­тру­мент для поис­ка событий в тай­млай­не, в том чис­ле с при­мене­нием филь­тров и гра­фиков. У тебя так­же есть воз­можность добав­лять ком­мента­рии к инте­ресу­ющим событи­ям, соз­давать помет­ки и сох­ранять view для их даль­нейше­го исполь­зования в Stories.

info

Пос­коль­ку каж­дый скетч — отдель­ный индекс в ES, мож­но не боять­ся пов­редить в ходе работы чужие ком­мента­рии или помет­ки в дру­гом скет­че. Это край­не важ­но в мно­гополь­зователь­ских forensic-сис­темах. Имен­но поэто­му в дан­ном про­екте при­меня­ется не самая логич­ная с виду сис­тема хра­нения дан­ных (с пов­торной заг­рузкой и дуб­лирова­нием хра­нимых дан­ных).

Да­вай не будем пока что копать­ся в отдель­ных событи­ях, а поп­робу­ем визу­аль­но оце­нить наш скетч. Для это­го перед­винем пол­зунок chart в положе­ние «вкл» под стро­кой с зап­росом и пос­мотрим на пос­тро­енную диаг­рамму событий.

Са­мый высокий стол­бик озна­чает, что в сис­теме в этот момент про­изош­ло край­не мно­го событий, что зачас­тую сви­детель­ству­ет о чем‑то любопыт­ном с точ­ки зре­ния форен­зики. Давай наж­мем на него — в резуль­тате авто­мати­чес­ки при­менит­ся вре­мен­ной филь­тр и мож­но будет деталь­нее пос­мотреть на про­исхо­дящие в этот момент про­цес­сы.

Лю­бопыт­но! Мы бук­валь­но в два кли­ка сумели обна­ружить события из прош­лой статьи. Напом­ню: они сви­детель­ству­ют о том, что наш про­тив­ник с исполь­зовани­ем авто­мати­чес­кого инс­тру­мен­та обхо­дил содер­жимое дис­ка в поис­ках инте­рес­ных вещей.

Да­вай сох­раним этот зап­рос, нажав кноп­ку Save this search, и поп­робу­ем понять, нашел ли зло­умыш­ленник то, что искал.

Теги: CSS