ssm-acquire 0.1.0.5

示例cli用法

pip install ssm_acquire
Usage: ssm_acquire [OPTIONS]

ssm_acquire a rapid evidence preservation tool for Amazon EC2.

Options:
  --instance_id TEXT  The instance you would like to operate on.
  --region TEXT       The aws region where the instance can be found.
  --build             Specify if you would like to build a rekall profile with
                      this capture.
  --acquire           Use linpmem to acquire a memory sample from the system
                      in question.
  --interrogate       Use OSQuery binary to preserve top 10 type queries for
                      rapid forensics.
  --analyze           Use docker and rekall to autoanalyze the memory capture.
  --deploy            Create a lambda function with a handler to take events
                      from AWS GuardDuty.
  --help              Show this message and exit.

入门

使用cloudformation模板将响应者角色部署到aws帐户：cloudformation/responder_role.yml。（注意：这个角色需要2fa来承担）这将创建一个具有在ec2实例上运行ssm命令所需权限的角色，并创建一个存储内存资源的s3 bucket。下一步您将需要bucket名称和角色的arn。

在主目录中设置配置文件。它应该命名为.threatresponse.iniconf/settings.ini中有一个示例配置文件-它有三个必需的参数。

• mfa_serial_number：担任该角色的mfa设备的序列号。
• 资产存储桶：存储资产的存储桶的名称。这是在步骤1中创建的。
• ssm_acquire_role_arn：您在步骤1中创建的响应者角色的arn。

pip install ssm_acquire

要从实例获取内存并构建rekall配置文件：

ssm_acquire --instance_idi-xxxxxxxx--regionus-west-2--build--acquire

您可以立即使用：

ssm_acquire --instance_idi-xxxxxxx--analyze

这将使用最常见的rekall插件分析内存转储：[psaux，pstree，netstat，ifconfig，pidhashtable] 分析完成后，它会将结果上载回资产存储。