8月 24

mdd オプションメモ

Windowsのメモリダンプを取得するツール[mdd]のオプションメモです。
[win32dd]よりもダンプする速度が速いと思います。
オプションも簡潔ですので個人的にはこちらが手っ取り早くお勧めです。
メモリダンプ取得の進捗がタイトルバーに表示されるところも好感度が高いです。

公式サイトはこちら

Usage:mdd <-o OUTPUTFILE> [-qvcw]

オプション 効果
 -o OUTPUTFILE  
 出力するメモリダンプファイル名を指定。
 
 -q  
 エラー以外の出力を表示しない。
 
 -v  
 冗長モード。マッピングの失敗したオフセットを表示。
 
 -w  
 GPLのための再分配状態。
 
 -q  
 GPLのための保証内容。
 

メモリダンプ取得例
Continue reading

Category: forensic, memo | mdd オプションメモ はコメントを受け付けていません
8月 20

snort の threshold.conf [threshold] メモ

[snort]を運用していると、度々、報告されるアラートの中には出力回数を制限したいと思うものがでてくると思います。
残念ながら[snort]のシグネチャのみではこの出力回数制限を行うことはできません。
そこで[snort]では、シグネチャとは別に[threshold.conf]の[threshold]を利用することで可能となります。
Continue reading

Category: memo, packet | snort の threshold.conf [threshold] メモ はコメントを受け付けていません
8月 16

win32dd v1.2.2.20090608 オプションメモ

Windowsのメモリダンプを取得するツール[win32dd v1.2.2.20090608]のオプションメモです。

公式サイトはこちら

Usage:win32dd.exe [option] [output path]

キャプチャ停止条件関連
オプション 効果
 -r  
 生のメモリダンプ、スナップショットを作成。ダンプファイル名を指定。
 
 -l  
 マッピングレベルを指定([-r]と共に使用)
 
0  
 \\Device\\PhysicalMemory deviceを開く。
 
1  
 Kernel API MmMapIoSpace()を使う。
 
 -d  
 フルメモリダンプを取得。ダンプファイル名を指定。
 
 -t  MSTFダンプタイプを指定([-d]と共に使用)
 
0  
 オリジナルのMmPhysicalMemoryBlock。
 
1  
 MmPhysicalMemoryBlock。(PFN0を含む)
 
 -h  
 ヘルプを表示。
 

メモリダンプ取得例
Continue reading

Category: forensic, memo | win32dd v1.2.2.20090608 オプションメモ はコメントを受け付けていません
8月 12

oinkmasterでのEmerging Threatsルール追加メモ

[Snort]のルールは、公式サイト以外のサイトでも配布されています。
そのサイトの一つに[Emerging Threats](以下、[ET])というサイトがあります。
このメモは[ET]のルールも[oinkmaster]を使って自動アップデートするためのメモです。
Continue reading

Category: memo | oinkmasterでのEmerging Threatsルール追加メモ はコメントを受け付けていません
8月 2

Snort + BASE インストールメモ

以前のblogでは基本的にソースからのインストールでしたが
今回は、個人的にアツいOS Ubuntuでのインストールなので
手間も時間も比較的少なくできるのでは?と思います。

インストール環境などのバージョンは以下の通りです。
Ubuntu : 9.04
Snort : 2.8.41
BASE : 1.4.3.1
Continue reading

Category: memo, packet | Snort + BASE インストールメモ はコメントを受け付けていません