注册
登录
巴斯基实验室亚太区全球研究和分析团队总监Vitaly Kamluk表示：作为一名恶意软件研究人员，你会一直忙于同全球大量的恶意软件和网络攻击作斗争。过去十年，每天新发现的恶意软件数量上升到难以想象的高度：每天新发现的恶意软件样本达到数十万个!虽然有一些很罕见和危险的恶意软件，但是并非所有的样本都是如此危险。事实上，一些重大的危险只有在多个因素组合起来时采用出现，包括多种恶意软件工具、恶意基础设施以及来自操纵这些威胁的交互命令。
这就是为什么我们不仅仅研究恶意软件，而且开始跟踪攻击者群体，并开始专注于攻击行动和鼓励的安全事件，这是一项越来越具有挑战性的工作，因为这样做就像是大海捞针，有时候我们需要去很远的地方搜集证据。要完成这类研究和搜集工作，有多种手段，但是最可靠的手段是执法机关所使用的手段，即全面的数字取证。这一过程非常耗时，而且非常依赖技术高超的专家现场进行去成，所以这项工作通常需要出差。对于这一难题，我们很自然地想要找到一种解决方案，但是令人惊讶的是，没有人提供这种结局方案。至少没有一种解决方案是符合我们标准的! Bitscout项目开始于多年之前，最早是我的一项兴趣。我一直在研究LiveCD的制作和定制。后来，我们需要在非洲一个国家的一台受感染计算机上查找攻击者踪迹，我认为自己可以帮忙。我在Linux上制作了一个简单和简化的LiveCD，预配置了VPN客户端和SSH服务器，并通过互联网将其分享给系统所有者。他利用其烧制了光盘，通过光盘启动了受感染计算机。这个工具非常好用：我可以通过互联网，连接到远程计算机，并且完全控制它。虽然连接很慢，但幸运的是，我使用的远程桌面访问工具对带宽要求不高。一个文本终端就足够完成这项工作，通过较慢的拨号互联网服务也能够胜任。我设法帮助系统所有者获取到用户取证分析的受干扰系统磁盘镜像，发现了恶意文件和相关文件的位置，最为重要的是，提取了有关威胁的重要信息，包括一个恶意软件释放器和造成感染的鱼叉式钓鱼邮件。 随着时间的推移，类似的情况出现过多次。在同国际刑警组织进行合作时，我们也采用了同样的模式：首先，执法人员前往物理磁盘采集地点，在得到当地执法机关的许可后，帮助我们在现场收集最重要的证据，而且速度非常快。这种方法节省了我们的出差时间，帮助执法机关快速获取网络攻击后留下的关键证据。
Bitscout启动过程 一段时间后，开始出现更多新的应用场景： 1.手动修复受感染的计算机(从rootkit感染中修复) 2.共享远程会话，可以让我们培训新用户，提高分析的速度3.有一次，我出差到一位客户那里，但是我没有随身携带企业级SAS磁盘控制器来获取完整的磁盘镜像。使用我制作的LiveCD，我能够通过原始服务器硬件克隆磁盘。而且我甚至不需要待在冰冷的服务器室监控整个进度! 我们还为不熟悉命令行Linux环境的用户进行了简化，让这种工具更易于使用。同时，为了确保磁盘体积较小，我们决定不采用图形界面工具和X11服务。我们很自然地选择了TUI(文本用户界面)，因为这种界面使用箭头键即可轻松操作。
适用于普通用户的Bitscout2.0主界面 但是，当你同从未谋面的人一同工作时，信任是一个固有问题。考虑一下：你会让一些专家远程访问你宝贵的系统吗?如果让，那我很高兴同你一道工作。但是如果我是你，我可能会很紧张，希望能够自己控制整合过程。这很正常，这正是之前版本的LiveCD困扰我的地方。 如果我们可以限制安全专家对硬件的访问，同时监控和记录他/她所做的一切，就可以解决信任问题。按照这个想法，我们开发了新版本的Bitscout：即刚刚发布的Bitscout2.0。远程专家仅在虚拟非特权容器内部具有root权限。专家只能访问所有者允许的磁盘设备，他们可以安装其他软件和更改系统文件，而不会危及主机系统或硬盘驱动器上的数据。这些操作都在内存中进行，一旦系统关闭，所有更改都会消失。此外，所有远程会话都会被记录，并被存储在容器之外。这样做，提供了很好的隔离级别，可用于学习重建取证分析过程，或者用于证明证据的存在。 但这并不是全部!Bitscout2.0不仅是一个基于开源的工具，还是一个能够让你打造自己的LiveCD，创建自己的Bitscout系统的开源工具。所以，该工具本质上是一个脚本的集合，任何人都可以验证，自定义和改进。 欢迎这样做，现在该工具已经上线Github：https://github.com/vitaly-kamluk/bitscout |
| 本文出处： http://software.it168.com/a2017/0711/3144/000003144020.shtml |
|
声明：文章版权归原作者所有 部分文章转自互联网 如有侵权请联系
[邮箱地址] 删除
|
