Paul Troncone and Carl Albing Cybersecurity Ops with bash Attack, Defend, and Analyze from the Command Line

Часть II • Защитные операции с использованием bash
Обратите.внимание,.что.IOC.должны.быть.в.формате.регулярного.выражения,.
так.как.они.позже.будут.использоваться.командой.
egrep
.
Мы не можем подробно обсуждать IOC для веб-серверов, так как показателей 
компрометации слишком много. Дополнительные примеры таких показателей 
можно скачать на сайте http://bit.ly/2uss44S.
Файл.
ioc.txt
.можно.использовать.с.параметром.
egrep
.
-f
..Данный.параметр.при-
казывает.
egrep
.выполнять.поиск.в.шаблонах.регулярных.выражений.из.указанного.
файла..Это.позволяет.вам.использовать.команду.
tail
.для.мониторинга.файла.
журнала,.и.при.добавлении.каждой.записи.прочитанная.строка.будет.сравнивать-
ся.со.всеми.шаблонами.в.файле.IOC,.выводя.любую.соответствующую.запись..
Вот.пример:
tail -f /var/logs/apache2/access.log | egrep -i -f ioc.txt
Кроме.того,.команда.
tee
.может.использоваться.для.одновременного.отображения.
предупреждений.на.экране.и.сохранения.их.для.последующей.обработки.в.соб-
ственном.файле:
tail -f /var/logs/apache2/access.log | egrep --line-buffered -i -f ioc.txt |
tee -a interesting.txt
Опять.же.опция.
--line-buffered
.нужна,.чтобы.гарантировать.отсутствие.проблем,.
вызванных.буферизацией.вывода.команды.
Мониторинг журналов Windows
Как.уже.говорилось,.для.доступа.к.событиям.Windows.нужно.использовать.коман-
ду.
wevtutil
..Хотя.эта.команда.универсальна,.она.не.имеет.такой.функционально-
сти,.как.
tail
,.которую.можно.задействовать.для.извлечения.новых.поступающих.
записей..Но.выход.есть.—.использовать.простой.сценарий.bash,.который.может.
предоставить.такую.же.функциональность.(пример.8.2).
Пример 8.2.
wintail.sh
#!/bin/bash -
#
# Bash и кибербезопасность
# wintail.sh
#
# Описание:
# Выполнение функции наподобие tail для журнала Windows

---