Řešení incidentu na MU: Jak sbírat data z napadeného zařízení

Krok 1: stažení nástroje UAC

Pro sběr dat z Unix-like systémů (Linux, BSD, macOS) využíváme nástroj UAC – Unix-like Artifacts Collector, komunitou SANS doporučovaný open-source nástroj pro incident response a threat hunting. Na vaší pracovní stanici si stáhněte nejnovější verzi nástroje UAC ze sekce Releases.

Krok 2: příprava nástroje UAC na externím zařízení

Stažený archiv UAC extrahujte na EZP, které následně připojíte k infikovanému zařízení.

Krok 3: spuštění UAC na infikovaném zařízení

V adresáři se spustitelnou binárkou UAC proveďte následující příklad, kde hodnotu <DESTINATION_PATH> nahraďte cestou ke složce na EZP:

sudo ./uac -p ir_triage <DESTINATION_PATH>

Nikdy neukládejte výstup na napadený disk – cílem je vyhnout se zásahu do systému.

Krok 4: odeslání výstupního souboru týmu CSIRT-MU

Výstupní soubor s výsledky UAC (.zip) odešlete z vaší pracovní stanice na csirt@muni.cz prostřednictvím šifrovaného FileSenderu CESNETu. Heslo k archivu zašlete odděleně e-mailem.

Krok 1: spuštění zařízení z USB média

Připojte bootovací USB disk k napadenému zařízení a vstupte do BIOS/UEFI pomocí příslušné klávesy (obvykle F2, F12 nebo Del).

Krok 2: výběr USB jako bootovacího zařízení

V bootovacím menu zvolte USB disk jako spouštěcí zařízení. Potvrďte volbu a nechte systém naběhnout. Pokud se objeví výzva k instalaci operačního systému, okno zavřete a pokračujte přímo do prostředí Desktop. Systém neinstalujte!

Krok 3: identifikace disků na cílovém zařízení

V případě potřeby pro zobrazení připojených disků a oddílů použijte příkazový řádek s nástroji jako:

• lsblk
• df -h 
• sudo fdisk -l 

Pokud pracujete s Fedorou a prostředím KDE, lze využít i grafický nástroj KDE Partition Manager.

Upozornění: Připojení k internetu a volba kompresního nástroje!

Pro obraz disku doporučujeme využít zstd, který představuje výkonnější a výrazně rychlejší alternativu ke klasickému gzip. Vzhledem k tomu, že zstd není standardně součástí distribuce Fedora (stav k datu vydání tohoto návodu), je nutné jej před použitím ručně doinstalovat.

• Varianta A – zařízení lze dočasně připojit k internetu: Pokud lze zařízení krátkodobě připojit k internetu, proveďte instalaci nástroje zstd příkazem:
  
  $ sudo dnf install zstd
  
  Tento krok výrazně urychlí tvorbu obrazu. Při dodržení standardních postupů nepředstavuje krátké připojení k síti reálné bezpečnostní riziko.
  

• Varianta B – zařízení nelze připojit k internetu: Pokud není možné zařízení připojit k internetu ani dočasně, použijte nástroj gzip, který je dostupný ve výchozí instalaci. 

Bezpečnostní poznámka: Pokud je hlavní překážkou obava z kompromitace při připojení k síti, upozorňujeme, že riziko zůstává při správném postupu a omezeném časovém rámci minimální. V takovém případě doporučujeme volbu zstd ​zvážit.

Krok 4: připojení externího disku

Pokud se externí disk, na který se bude ukládat výstupní obraz disku infikovaného zařízení, nepřipojil automaticky, je potřeba jej ručně připojit (mountnout). Na systému Fedora lze postupovat následovně:

$ mkdir /mnt/ex_disk

$ sudo mount -o rw /dev/sdX /mnt/ex_disk

Nahraďte sdX správným označením disku (např. sdc, sdd). Tím fyzicky připojíte externí disk do složky /mnt/ex_disk s oprávněním číst a zapisovat.

Krok 5: vytvoření komprimovaného obrazu disku

Poté pomocí příkazu zstd (nebo gzip níže) zkopírujte celý disk (disky):

$ zstd –1v </PATH_ORIGIN_DISK >/PATH_PLACE_TO_WRITE/disk.zst

• –1v: nastaví minimální úroveň komprese (19 - nejpomalejší ale nejlepší komprese, 1 - nejrychlejší ale nejhorší komprese)
• –v: verbose mode
• </PATH_ORIGIN_DISK: zdrojový disk, z kterého se vytváří obraz (např. /dev/sda)
• >/PATH_PLACE_TO_WRITE/disk.zst: zapíše komprimovaný výstup do souboru disk.zst v zadaném umístnění (PATH_PLACE_TO_WRITE), např. složka s připojením (mount) externím diskem

Pro gzip použijete následují příkaz: 

$ gzip –n </PATH_ORIGIN_DISK >/PATH_PLACE_TO_WRITE/disk.gz

• –n: nastaví úroveň komprese (1 - nejrychlejší, 9 - nejkvalitnější), pro účely tohoto návodu klidně volte –1
• PATH_ORIGIN_DISK a PATH_PLACE_TO_WRITE: stejné jak pro zstd, jen pro gzip je standardně volený formát .gz

Takže například příkaz: $ zstd -1v </dev/sda >/mnt/ex_disk/test_disk.zst kopíruje disk /dev/sda na připojený externí disk skrz složku /mnt/ex_disk/ jako komprimovaný soubor test_disk.zst To samé byste v případě gzip provedli příkazem: $ gzip –1 </dev/sda >/mnt/ex_disk/test_disk.gz 

Příkazy fungují pro oddíly stejně, jen nahraďte /dev/sda názvem oddílu.

Krok 6: bezpečné odpojení externího disku

Po dokončení zápisu obrazu vždy nejprve bezpečně odeberte externí disk, abyste předešli poškození dat:

$ sudo unmount /mnt/ex_disk

Alternativně můžete použít možnost Safely Remove dostupnou v grafickém prostředí. Neodpojení disku před fyzickým odpojením může vést k neúplnému nebo poškozenému obrazu.

Krok 7: odeslání výstupního souboru týmu CSIRT-MU

Výstupní soubor komprimovaný obraz (např. test_disk.zst nebo test_disk.gz) odešlete z vaší pracovní stanice na csirt@muni.cz prostřednictvím šifrovaného FileSenderu CESNETu. Heslo k archivu zašlete odděleně e-mailem.

Krok 8: vypněte režim spánku

Protože vytvoření obrazu disku může trvat i hodiny u větších disků, může se vám při použití našeho návodu s Fedora KDE hodit vypnutí režimu spánku, které je dostupné přímo na panelu:

• Na notebooku klekněte na ikonku baterie.
• Na desktopu na ikonku pro skryté ikony “⌃” a zvolte Power Management.

Předchozí Následující