Paul Troncone and Carl Albing Cybersecurity Ops with bash Attack, Defend, and Analyze from the Command Line

Общие параметры команды
‰
‰
el
.—.перечислить.доступные.журналы.
‰
‰
qe
.—.запросить.события.журнала.
Общие опции команды
‰
‰
/с
.—.максимальное.количество.событий.для.чтения.
‰
‰
/f
.—.форматировать.вывод.в.виде.текста.или.XML.
‰
‰
/rd
.—.если.установлено.значение.
true
,.то.сначала.прочитать.самые.последние.
журналы.
В командной строке Windows перед параметрами команды требуется только один 
символ /. В терминале Git Bash из-за способа обработки команд необходимы два 
символа // (например, //c).
Пример команды
Чтобы.перечислить.все.доступные.журналы,.введите.команду:
wevtutil el

---

Глава 5. Сбор информации
71
Чтобы.просмотреть.последнее.событие.в.системном.журнале.через.Git.Bash,.вве-
дите.команду:
wevtutil qe System //c:1 //rd:true
Дополнительные сведения о команде wevtutil см. в документации Microsoft по 
адресу http://bit.ly/2FIR3aD.
Сбор информации о системе
При.защите.системы.в.первую.очередь.нужно.понять.ее.состояние.и.выполняемые.
ею.действия..Поэтому.для.анализа.состояния.системы.вам.необходимо.собрать.
данные,.как.локальные,.так.и.удаленные.
Удаленное выполнение команды
с использованием SSH
Данные,.которые.вы.хотите.получить,.не.всегда.могут.быть.доступны.локаль-
но..Возможно,.чтобы.получить.нужные.данные,.вам.потребуется.подключиться.
к.удаленной.системе.по.сети.с.помощью.протокола.передачи.файлов.(File.Transfer.
Protocol,.FTP).или.SSH-сервера.
Команды.могут.выполняться.с.использованием.SSH.удаленно.и.безопасно,.но.при.
условии,.если.в.удаленной.системе.также.запущена.служба.SSH..В.базовом.виде.
(без.параметров),.чтобы.запустить.ее.на.необходимом.хосте,.вы.можете.просто.
добавить.перед.любой.командой,.выполняемой.в.оболочке,.команду.
ssh
.и.имя.тре-
буемого.хоста..Например,.
ssh
.
myserver
.
who
..Эта.команда.запустит.
who
.на.удаленном.
компьютере.
myserver
..Если.вам.нужно.указать.другое.имя.пользователя,.введите.
ssh
.
username
.
@
.
myserver
.
who
.или.
ssh
.
-l
.
username
.
myserver
..Эти.команды.выполня-
ют.одно.и.то.же.действие..Только.замените.
username
.именем.пользователя,.под.
которым.хотите.войти.в.систему..Вы.можете.перенаправить.вывод.в.файл.в.вашей.
локальной.системе.или.в.файл.в.удаленной.системе.
Для.выполнения.команды.в.удаленной.системе.и.перенаправления.вывода.в.файл.
в.локальной.системе.введите.следующее:
ssh myserver ps > /tmp/ps.out

---

72