VanGuard: جعبهابزار حرفهای پاسخ به حوادث امنیتی
خلاصهٔ کاملتر
وقتی یه حادثه امنیتی رخ میده، تیمهای DFIR معمولاً باید با دهها ابزار مختلف کار کنن، فلگهای کامندلاین رو حفظ باشن و بهصورت دستی شواهد رو ردیابی کنن. VanGuard اومده این دردسرها رو حل کنه؛ یه تولکیت جامع برای پاسخ به حوادث سازمانی که بهصورت یه باینری واحد و بدون نصب روی ویندوز و لینوکس اجرا میشه.
این ابزار با زبان Go نوشته شده و قابلیتهایی مثل تریاژ سریع، شکار تهدید، فورنزیک مموری، جمعآوری آرتیفکتهای دیسک، عملیات ریموت و مدیریت Velociraptor رو زیر یه سقف جمع کرده. Velociraptor بهعنوان یه شهروند درجهاول در VanGuard حضور داره؛ یعنی مدیریت کامل سرور، استقرار ایجنت، اجرای کوئری VQL و آفلاین کالکتور همه از همین یه ابزار قابل انجامه.
یکی از مهمترین ویژگیهای VanGuard اینه که برای محیطهای air-gap طراحی شده. همه امکانات بدون اینترنت کار میکنن و قابلیتهای آنلاین فقط یه مکمل هستن نه یه نیاز اساسی. برای بهروزرسانی آفلاین هم میشه بستههای ZIP با مانیفست SHA256-verified رو آماده کرد و به محیطهای ایزوله منتقل کرد.
VanGuard یه کتابخانه ۲۸ تایی از use caseهای از پیشساختهشده داره که سناریوهایی مثل باجافزار، BEC، lateral movement، سرقت اعتبارنامه، rootkit detection، فرار از کانتینر و حملات Active Directory رو پوشش میده. هر use case با MITRE ATT&CK نگاشت شده، مراحل جمعآوری آرتیفکت داره و زمان تخمینی تکمیل مشخصه. فایلهای YAML مربوطه هم قابل سفارشیسازی هستن.
از نظر یکپارچگی شواهد، VanGuard خیلی جدی عمل میکنه. هر آرتیفکت با MD5+SHA256 دوگانه هش میشه، یه chain of custody فقط-الحاقی نگه میداره و از HMAC-SHA256 برای لاگهای tamper-evident استفاده میکنه تا ثابت بشه شواهد دستکاری نشدن. بکاند مدیریت کیس هم SQLite هست.
ابزارهای متعددی مثل Hayabusa، Chainsaw، Loki، KAPE، EZ Tools، Volatility3 و DumpIt بهصورت یکپارچه درون VanGuard استفاده میشن و همه در زمان اجرا از GitHub Releases دانلود میشن. دانلودها فقط از طریق HTTPS و با اعتبارسنجی دامنه انجام میشه. برای محیطهای آفلاین هم میشه از قبل همه چیز رو روی یه ماشین متصل آماده کرد و منتقل کرد.
رابط کاربری دوگانهای هم داره: یه TUI کیبورد-محور برای ترمینال و SSH، و یه Web UI برای کار راحتتر با مرورگر. گزارشهای HTML خروجی هم self-contained هستن و CSS رو embed میکنن، پس حتی در محیطهای بدون اینترنت هم درست نمایش داده میشن.
نکات کلیدی:
- یه باینری واحد برای کل چرخه IR؛ بدون نصب، روی ویندوز و لینوکس
- ادغام کامل با Velociraptor برای مدیریت سرور، ایجنت و VQL
- ۲۸ use case آماده با نگاشت MITRE ATT&CK برای سناریوهای رایج مثل باجافزار، BEC، rootkit و AD attacks
- طراحی air-gap native؛ همه قابلیتها بدون اینترنت کار میکنن
- هش دوگانه MD5+SHA256، chain of custody آفلاین و لاگ HMAC-SHA256 برای یکپارچگی شواهد
- پشتیبانی از عملیات ریموت روی چندین endpoint با WinRM، SSH و PSExec
- گزارش HTML خودکفا و super-timeline با استخراج خودکار تکنیکهای MITRE ATT&CK
