Verteidigen Sie Ihre Zeit: Die besten Open-Source-Tools für DFIR

“Defend Your Time” ist der Podcast, der Sicherheitsverantwortlichen hilft, mehr aus ihren Microsoft-Sicherheitsinvestitionen herauszuholen. Hören und abonnieren Sie ihn über Spotify oder Apple Podcasts. 

In dieser Folge stellt Cyber Defender Andrew Tranter einige seiner bevorzugten Open-Source-Tools vor, die - in Kombination mit Windows-Ereignisprotokollen - Ihre DFIR-Bemühungen aufwerten können. Andrew geht auf spezifische Anwendungsfälle ein und erklärt, wie Sie mit folgenden Tools beginnen können Hayabusa (Yamato-Security), Kettensäge (WithSecureLabs), und Zeitleisten-Explorer(Eric Zimmerman).

Einführung in Open-Source-Tools im DFIR

Im Bereich der Cybersicherheit ist es leicht, von den vielen verfügbaren Anbieterlösungen überwältigt zu werden. Viele leistungsstarke und kostenlose Open-Source-Tools können jedoch Ihre DFIR-Fähigkeiten erheblich verbessern. Diese Tools bleiben oft unbemerkt, weil sie nicht über die Marketingbudgets kommerzieller Lösungen verfügen. Heute stellt uns Andrew drei solcher Tools vor: Hayabusa, Kettensäge, und Zeitleisten-Explorer.

Hayabusa

Hayabusa ist ein Open-Source-Tool, das für die schnelle Erstellung forensischer Zeitleisten und die Erkennung von Bedrohungen entwickelt wurde. Es verarbeitet Windows-Ereignisprotokolle mithilfe von Sigma-Regeln und Hayabusa-spezifischen Regeln, um potenzielle Bedrohungen zu erkennen. Andrew schätzt Hayabusa für seine Schnelligkeit und die Einfachheit beim Schreiben von Erkennungsregeln. Er hebt die Fähigkeit hervor, große Datenmengen schnell zu verarbeiten, was es zu einem unschätzbaren Werkzeug für die Reaktion auf Vorfälle macht.

Beispiel für einen Anwendungsfall: Andrew setzte Hayabusa kürzlich bei einem groß angelegten Vorfall ein, bei dem das Netzwerk eines Kunden angegriffen wurde. Das Tool half dabei, seitliche Bewegungen und mehrere Instanzen von Malware zu identifizieren und so eine umfassende Erkennung von und Reaktion auf Bedrohungen sicherzustellen.

Kettensäge

Chainsaw ergänzt Hayabusa, indem es detailliertere Suchfunktionen bietet. Es ermöglicht Analysten die Suche nach bestimmten Schlüsselwörtern in Ereignisprotokollen, was es einfacher macht, bestimmte Bedrohungen oder kompromittierte Konten zu lokalisieren. Andrew verwendet Chainsaw, um seine Untersuchungen zu verfeinern, insbesondere bei komplexen Vorfällen, die mehrere Hosts betreffen.

Beispiel für einen Anwendungsfall: Wenn der Verdacht bestand, dass ein bestimmtes Benutzerkonto kompromittiert war, suchte Andrew mit Chainsaw nach allen Aktivitäten, die mit diesem Konto in Verbindung standen, und erhielt so einen detaillierten Überblick über die Bedrohungslandschaft.

Zeitleisten-Explorer

Sowohl Hayabusa als auch Chainsaw erzeugen CSV-Ausgaben, deren manuelle Analyse sehr aufwändig sein kann. Der von Eric Zimmerman entwickelte Timeline Explorer vereinfacht diesen Prozess, indem er eine intuitive Schnittstelle zum Filtern und Visualisieren von Ereignisprotokolldaten bietet. Andrew bevorzugt den Timeline Explorer wegen seiner Benutzerfreundlichkeit und seiner leistungsstarken Datenverarbeitungsfunktionen.

Erste Schritte mit diesen Tools

Andrew ermutigt Cybersicherheitsexperten, mit diesen Tools in einer Sandbox-Umgebung zu experimentieren. Durch das Einrichten einer virtuellen Maschine und das Erstellen von Ereignisprotokollen durch simulierte Angriffe können Analysten aus erster Hand erfahren, wie diese Tools bösartige Aktivitäten erkennen und melden.

Open-Source-Tools wie Hayabusa, Chainsaw und Timeline Explorer bieten robuste Lösungen zur Verbesserung Ihrer DFIR-Funktionen, ohne dass Sie teure kommerzielle Software benötigen. Durch die Integration dieser Tools in Ihren Arbeitsablauf können Sie eine effizientere und effektivere Erkennung und Reaktion auf Bedrohungen erreichen.