ARTHIR 开源项目教程

ARTHIR 开源项目教程

ARTHIR ATT&CK Remote Threat Hunting Incident Response 项目地址: https://gitcode.com/gh_mirrors/ar/ARTHIR

1. 项目介绍

ARTHIR（ATT&CK Remote Threat Hunting Incident Response）是一个用于远程威胁狩猎和事件响应的开源框架。它是KANSA框架的升级版，允许用户在远程系统上执行PowerShell脚本和二进制工具，并将结果拉回到启动主机。与KANSA不同，ARTHIR不仅限于控制台输出，还可以执行二进制工具和脚本，使其在远程调查中更加灵活和强大。

2. 项目快速启动

2.1 环境准备

确保你的系统已安装PowerShell，并且启用了WinRM（Windows Remote Management）。

2.2 下载项目

使用Git克隆项目到本地：

git clone https://github.com/MalwareArchaeology/ARTHIR.git

2.3 配置和运行

1. 编辑 modules.conf 文件，选择你想要运行的模块。
2. 在 Hosts.txt 文件中列出你想要运行模块的目标主机。
3. 运行ARTHIR脚本：

.\ARTHIR.ps1 -TargetList Hosts.txt -Modules .\Modules -Pushbin -Verbose -Transcribe -Credential $Credential

2.4 参数说明

• -TargetList: 指定目标主机列表文件。
• -Modules: 指定模块目录。
• -Pushbin: 推送二进制文件。
• -Verbose: 详细输出。
• -Transcribe: 记录控制台输出到日志文件。
• -Credential: 指定认证凭据。

3. 应用案例和最佳实践

3.1 远程日志分析

使用ARTHIR可以远程执行LOG-MD-Pro工具，收集和分析远程主机的日志文件，并将结果拉回到本地进行进一步分析。

3.2 自动化威胁狩猎

通过编写自定义模块，ARTHIR可以自动化执行威胁狩猎任务，例如检查系统中的异常进程、网络连接和注册表项。

3.3 事件响应

在事件响应过程中，ARTHIR可以帮助快速收集和分析受影响主机的关键数据，加快响应速度。

4. 典型生态项目

4.1 KANSA

KANSA是ARTHIR的前身，也是一个用于远程事件响应的PowerShell框架。虽然KANSA不再维护，但它的设计理念和模块化结构对ARTHIR有重要影响。

4.2 LOG-MD-Pro

LOG-MD-Pro是一个强大的日志分析工具，ARTHIR可以集成LOG-MD-Pro，实现远程日志收集和分析。

4.3 PowerShell

PowerShell是ARTHIR的核心技术，通过PowerShell脚本，ARTHIR可以执行各种复杂的任务和操作。

通过本教程，你应该能够快速上手ARTHIR项目，并利用其强大的功能进行远程威胁狩猎和事件响应。

ARTHIR ATT&CK Remote Threat Hunting Incident Response 项目地址: https://gitcode.com/gh_mirrors/ar/ARTHIR