[Velociraptor] 내 인스턴스는 안전할까? Copy Fail을 계기로, 휴면 EC2 점검기

서론

점검

w; who; last -20             # 현재 세션, 최근 로그인
lastb -20                    # 실패한 로그인 (sudo 필요)
ps auxf                      # 프로세스 트리
ss -tulpnH                   # 열린 포트 + 어떤 프로세스
ss -tnp                      # 현재 외부 연결

sudo grep -E "Accepted|Failed" /var/log/auth.log | tail -50
cat ~/.ssh/authorized_keys                 # 모든 사용자에 대해
sudo find /home /root -name "authorized_keys" -exec ls -la {} \; -exec cat {} \;
sudo cat /etc/passwd | grep -v nologin     # 셸 가진 계정
sudo cat /etc/shadow | awk -F: '$2!="*"&&$2!="!"&&$2!~/^!/ {print $1}'  # 패스워드 설정된 계정
sudo cat /etc/sudoers /etc/sudoers.d/*

sudo systemctl list-unit-files --state=enabled
sudo ls -la /etc/systemd/system/ /etc/systemd/user/
sudo crontab -l; for u in $(cut -f1 -d: /etc/passwd); do sudo crontab -u $u -l 2>/dev/null; done
sudo ls -la /etc/cron.* /var/spool/cron/
cat /etc/rc.local 2>/dev/null
ls -la ~/.bashrc ~/.profile /etc/profile.d/

sudo find / -xdev -mtime -7 -type f -not -path "/proc/*" -not -path "/sys/*" 2>/dev/null | head -100
sudo find /tmp /var/tmp /dev/shm -type f -ls 2>/dev/null   # 흔한 드롭 위치
sudo debsums -c 2>/dev/null | head                          # 변조된 패키지 파일

sudo iptables -L -n -v; sudo iptables -t nat -L -n -v
ip route; cat /etc/resolv.conf
sudo journalctl -u ssh --since "7 days ago" | grep -i "accept\|fail" | tail

이런걸 자동으로 해주는 오픈소스 솔루션 있어?

mkdir ~/ir && cd ~/ir

curl -LO $(curl -s https://api.github.com/repos/velocidex/velociraptor/releases/latest \
  | jq -r '[.assets[] | .browser_download_url | select(test("linux-amd64$"))][0]')
chmod +x velociraptor-*-linux-amd64
ln -sf velociraptor-*-linux-amd64 vr

sudo ./vr -v artifacts collect \
  Linux.Sys.Pslist \
  Linux.Sys.SUID \
  Linux.Sys.Services \
  Linux.Sys.Crontab \
  Linux.Sys.BashHistory \
  Linux.Sys.LastUserLogin \
  Linux.Network.Netstat \
  Linux.Ssh.AuthorizedKeys \
  Linux.Ssh.KnownHosts \
  Linux.Mounts \
  Linux.Debian.Packages \
  --output triage.zip

• 패키지 관리자에 의해 설치된 표준 항목 외의 추가 구성 요소는 확인되지 않음

• 권한 상승 후보가 될 수 있는 SUID 바이너리는 배포판 표준 목록과 일치.

• 자동 실행 항목은 운영체제 패키지가 설치하는 표준 작업(로그 회전, 패키지 캐시 갱신, 인증서 갱신 등)에 한정되어 있음.

결론