buluma.forensics

Ansibleロール forensics

システムにフォレンジックをインストールして設定します。

GitHub	バージョン	課題	プルリクエスト	ダウンロード

例のプレイブック

この例は molecule/default/converge.yml から取られており、プッシュ、プルリクエスト、リリースのたびにテストされています。

---
- name: Converge
  hosts: all
  become: yes
  gather_facts: yes

  roles:
    - role: buluma.forensics

マシンを準備する必要があります。CIでは molecule/default/prepare.yml を使用して行います：

---
- name: Prepare
  hosts: all
  become: yes
  gather_facts: no

  roles:
    - role: buluma.bootstrap

これらのロールの使い方についての完全な説明と例も参照してください。

ロール変数

変数のデフォルト値はdefaults/main.ymlに設定されています：

---
# forensicsのデフォルトファイル

# 収集したデータをローカルに保存するディレクトリ。
forensics_local_storage_path: /tmp/forensics

# 実行するコマンドのリスト。
forensics_command_list:
  - "journalctl -xe"
  - "ps -ef"
  - "lsof"
  - "systemctl status"
  - "netstat -an"
  - "netstat -tulpen"

# すべてのファイルを収集するディレクトリのリスト。
forensics_directory_list:
  - "/var/log"
  - "/tmp"
  - "/var/tmp"
  - "/var/spool/cron"
  - "/var/spool/anacron"
  - "/etc/cron.d"
  - "/etc/cron.daily"
  - "/etc/cron.hourly"
  - "/etc/cron.monthly"
  - "/etc/cron.weekly"
  - "/var/spool/at"

# 収集するファイルのリスト。
forensics_file_list:
  - "/etc/passwd"
  - "/etc/group"
  - "/etc/shadow"

# 収集するディレクトリとパターンのリスト。
forensics_specific_file_list:
  - path: "/root"
    pattern: ".authorized_keys"
  - path: "/root"
    pattern: ".bash_history"
  - path: "/root"
    pattern: ".history"
  - path: "/home"
    pattern: ".authorized_keys"
  - path: "/home"
    pattern: ".bash_history"
  - path: "/home"
    pattern: ".history"