Мощный и расширяемый инструмент для реагирования на инциденты. Автоматизирует сбор артефактов из широкого спектра Unix-подобных систем, включая AIX, ESXi, FreeBSD, Linux, macOS, NetBSD, NetScaler, OpenBSD и Solaris.
Для начала работы необходимо скачать архив с актуальной версией (на данный момент это версия 3.1.0), распаковать файл и перейти в необходимую директорию:
tar -xvzf uac-3.1.0.tar.gz
cd ./uac-3.1.0
⚡️ Особенности
⏺️Полностью настраиваемые профили YAML для индивидуального сбора данных;
⏺️Легкий, переносимый и не требует установки или зависимостей;
⏺️Соблюдает порядок волатильности для обеспечения надёжного сбора данныx;
⏺️Предназначен для различных сред, включая устройства Интернета вещей и системы NAS;
⏺️Собирает информацию о текущих запущенных процессах (включая процессы без двоичного файла на диске);
⏺️Поддержка записи выходных данных на различные облачные платформы.
🤫 Использование
Рекомендуется запускать UAC с внешнего устройства/USB-накопителя/сетевого диска, чтобы не перезаписывать данные.
Чтобы выполнить сбор данных, необходимо указать как минимум профиль и/или список артефактов, а также целевой каталог. Профили используются для определения списка артефактов, которые будут использоваться во время выполнения (сведения о том, какой сбор данных будет осуществляться). Представляют собой файлы YAML, расположенные в каталоге profiles. Артефакты используются для определения параметров, которые будут использоваться сборщиком для сбора данных (набор правил, определяющих, какие данные будут собираться). Это файлы YAML, расположенные в каталоге artifacts.
Сбор всех артефактов на основе профиля ir_triage и сохранение выходного файла в /tmp:
./uac -p ir_triage /tmp
Сбор всех артефактов на основе профиля ir_triage, а также всех артефактов, расположенных в каталоге /my_custom_artifacts, и сохранение выходного файла в /mnt/sda1:
./uac -p ir_triage -a /my_custom_artifacts/\* /mnt/sda1
Сбор всех артефактов на основе полного профиля, исключая артефакт bodyfile.yaml:
./uac -p full -a \!artifacts/bodyfile/bodyfile.yaml /tmp