Paul Troncone and Carl Albing Cybersecurity Ops with bash Attack, Defend, and Analyze from the Command Line

Глава 20. Инструмент: проверка установленного программного обеспечения
269
В.среде.Windows.этот.метод.менее.действенен.из-за.способа.обработки.прав.до-
ступа..Для.каждого.файла.владельцами.часто.устанавливаются.полные.права.
(включая.выполнение),.что.при.поиске.на.основе.прав.доступа.может.привести.
к.большому.количеству.ложных.срабатываний.
Выводы
Определение.программного.обеспечения,.установленного.в.системах,.—.важный.
шаг.к.пониманию.текущего.состояния.вашей.среды.
После.того.как.вы.провели.обзор.программного.обеспечения,.для.агрегирования.
и.анализа.данных.можете.использовать.методы,.представленные.в.главах.6.и.7.
Далее.мы.разработаем.инструмент.для.проверки.текущей.конфигурации.системы.
Упражнения
Попробуйте.расширить.и.настроить.функции.сценария.
softinv.sh
,.добавив.сле-
дующие.возможности.
1.. Измените.сценарий.таким.образом,.чтобы,.если.аргументом.является.символ.
-
,.
вывод.записывался.в.stdout..(Можете.ли.вы.это.написать.одной.строкой?)
2.. Для.дистрибутивов.Linux.измените.сценарий.так,.чтобы.просмотреть.содержи-
мое.каталогов.
/bin
.и.
/usr/bin
.с.помощью.команды.
ls
.
3.. Добавьте.функцию,.которая.с.помощью.SSH.автоматически.загружает.файл.
вывода.в.центральный.репозиторий..Для.управления.аутентификацией.можете.
создать.ключ.SSH.
4.. Добавьте.функцию,.которая.будет.сравнивать.предыдущий.список.установ-
ленного.программного.обеспечения.(содержащегося.в.файле).с.текущим.про-
граммным.обеспечением.и.выводить.информацию.о.любых.различиях.
Чтобы.просмотреть.дополнительные.ресурсы.и.получить.ответы.на.эти.вопросы,.
зайдите.на.сайт.
https://www.rapidcyberops.com/
.

---

21
Инструмент: проверка 
конфигурации
Для.системного.администратора.или.специалиста.по.безопасности.полезно.иметь.
инструмент,.который.позволит.проверить.текущую.конфигурацию.системы,.напри-
мер.существующие.файлы,.значения.реестра.или.учетные.записи.пользователей..
В.дополнение.к.проверке.конфигурации.этот.инструмент.может.использоваться.
в.качестве.облегченной.системы.обнаружения.вторжений..Для.этого.следует.
сравнить.запись.базовой.конфигурации.с.текущим.состоянием.системы.и.выявить.
изменения..Вы.также.можете.использовать.его.для.поиска.конкретных.данных,.со-
держащихся.в.записях.или.файлах.системного.журнала,.несущих.угрозу.для.работы.
системы.или.сети.(индикаторов.компрометации).
В.этой.главе.мы.разработаем.инструмент.для.чтения.ряда.конфигураций,.хра-
нящихся.в.текстовом.файле..При.этом.нам.нужно.проверить,.есть.ли.этот.файл,.
заданы.ли.права.на.его.чтение.и.существует.ли.данная.конфигурация.в.системе..
Этот.инструмент.предназначен.для.работы.в.операционной.системе.Windows,.но.
его.можно.легко.изменить.для.работы.в.Linux.
Реализация
Сценарий.
validateconfig.sh
.проверяет.следующее:
‰
‰
наличие.или.отсутствие.файла;
‰
‰
хеш.SHA-1.файла;
‰
‰
значение.раздела.реестра.Windows;
‰
‰
наличие.или.отсутствие.пользователя.или.группы.
В.табл..21.1.показан.синтаксис.файла.конфигурации,.который.будет.считан.сце-
нарием.

---