UAC (Unix-like Artifacts Collector)完全指南：从入门到精通的事件响应神器

UAC (Unix-like Artifacts Collector)完全指南：从入门到精通的事件响应神器

【免费下载链接】uacUAC is a Live Response collection script for Incident Response that makes use of native binaries and tools to automate the collection of AIX, Android, ESXi, FreeBSD, Linux, macOS, NetBSD, NetScaler, OpenBSD and Solaris systems artifacts.项目地址: https://gitcode.com/gh_mirrors/ua/uac

UAC (Unix-like Artifacts Collector)是一款专为事件响应设计的强大工具，它利用系统原生二进制文件和工具，自动收集AIX、Android、ESXi、FreeBSD、Linux、macOS、NetBSD、NetScaler、OpenBSD和Solaris等系统的取证 artifacts。无论是处理入侵事件、进行 forensic 调查，还是执行合规检查，UAC都能简化并加速数据收集流程，同时在关键事件中最大限度减少对外部支持的依赖。

🌟 UAC的核心优势

无需安装，即刻使用

UAC设计为轻量级、可移植的工具，无需任何安装或依赖项。只需下载、解压并直接运行，即可在任何类Unix系统上启动 artifact 收集流程。这种特性使其成为应急响应场景下的理想选择，能够快速部署并开始工作。

高度可定制的收集策略

通过YAML配置文件，用户可以轻松定制收集规则和范围。项目提供了多个预定义的配置文件，如：

• profiles/full.yaml：完整收集模式，获取系统所有可用 artifacts
• profiles/ir_triage.yaml：事件响应快速分类模式
• profiles/offline.yaml：离线环境专用模式

这些配置文件位于项目的profiles目录下，用户可以根据具体需求进行修改或创建全新的收集配置。

广泛的操作系统支持

UAC支持几乎所有类Unix系统，包括：

• AIX、ESXi、FreeBSD、Linux
• macOS、NetBSD、NetScaler
• OpenBSD、Solaris

甚至可以在网络附加存储(NAS)设备、OpenWrt等网络设备以及IoT设备上运行，展现了其出色的兼容性和适应性。

🚀 快速上手指南

安装准备

UAC不需要安装，只需通过以下步骤即可开始使用：

1. 克隆仓库：

git clone https://gitcode.com/gh_mirrors/ua/uac

2. 进入项目目录：

cd uac

3. 直接运行主程序：

./uac

基础使用示例

使用预定义配置文件收集

# 使用ir_triage配置文件收集 artifacts 到/tmp目录 ./uac -p ir_triage /tmp

全量收集并包含内存dump

# 使用full配置文件并添加内存dump功能 ./uac -a ./artifacts/memory_dump/avml.yaml -p full /tmp

排除特定 artifact 收集

# 收集所有内容，但排除bodyfile artifact ./uac -p full -a \!artifacts/bodyfile/bodyfile.yaml .

🛠️ 高级功能探索

自定义收集规则

UAC的强大之处在于其可扩展性。用户可以通过创建自定义YAML配置文件来定义特定的收集需求。配置文件结构清晰，包含以下核心元素：

• 收集目标路径
• 执行命令
• 输出格式
• 筛选条件

详细的配置指南可以在项目文档中找到，帮助用户根据具体场景定制最佳收集策略。

内存取证能力

UAC提供了多种方法从Linux系统获取易失性内存，这对于事件响应至关重要。相关实现位于lib/目录下，包括多种内存采集脚本，确保即使在不同的系统环境下也能可靠地获取关键内存数据。

云平台集成

UAC支持将收集结果直接上传到各种云平台，这一功能通过lib/aws_s3_presigned_url_transfer.sh等脚本实现，方便调查人员在不同环境中安全地存储和访问取证数据。

📊 UAC工作流程解析

UAC遵循取证调查中的" volatility顺序"原则，确保在数据丢失前捕获最重要的信息。其工作流程主要包括：

1. 系统信息收集：获取操作系统版本、硬件架构等基础信息
2. 运行进程分析：收集当前运行进程信息，包括那些二进制文件已从磁盘删除的进程
3. 文件系统取证：创建文件状态记录(bodyfile)，收集配置文件和日志
4. 内存采集：使用多种方法获取系统内存数据
5. 数据整理：将收集到的 artifacts 进行整理和打包
6. 可选云上传：将结果传输到指定的云存储位置

这一流程确保了调查人员能够全面、系统地收集所有关键证据，为事件分析提供坚实基础。

🤝 参与贡献

UAC是一个开源项目，欢迎社区贡献。您可以通过以下方式参与：

• 提交新的 artifact 定义
• 改进现有收集脚本
• 修复bug或提出新功能建议
• 完善文档和使用示例

详细的贡献指南请参考CONTRIBUTING.md文件。

📄 许可证信息

UAC项目采用Apache License Version 2.0许可协议。这意味着您可以自由使用、修改和分发本软件，无论是商业还是非商业用途，只需保留原始许可证和版权声明。

通过本指南，您已经了解了UAC的核心功能和使用方法。这款强大的事件响应工具能够帮助您在各种类Unix系统上高效、可靠地收集取证 artifacts，为安全事件调查提供关键支持。无论是新手还是专业人士，都能快速掌握并充分利用UAC的强大功能，提升事件响应效率和准确性。

【免费下载链接】uacUAC is a Live Response collection script for Incident Response that makes use of native binaries and tools to automate the collection of AIX, Android, ESXi, FreeBSD, Linux, macOS, NetBSD, NetScaler, OpenBSD and Solaris systems artifacts.项目地址: https://gitcode.com/gh_mirrors/ua/uac