Үндсэн агуулга руу алгасах

Cookie

Сайтаа сайжруулж, танд тохирох хямдрал, санал харуулахад тусална. Дэлгэрэнгүй

BD Systems AsiaАлбан ёсны түншBitdefender Country Partner (шинэ цонхонд)
Bitdefender

Investigation Package-д ямар өгөгдөл багтдаг вэ?

Bitdefender-ийн албан ёсны баримтаас орчуулавАнгли эх (EN) · Орчуулсан: 2026.11.10
Анхааруулга: Хэрэглэгчдийн ажлын станцаас цуглуулсан Investigation package-ийн зарим мэдээлэл хувийн мэдээлэлд тооцогдохыг анхаарна уу.

Хэрэглэгчийн нууц мэдээллийг хамгаалах үүргээ биелүүлж, хэрэглэгчийн мэдээллийн нууцлалын талаарх орон нутгийн хуулийн дагуу цуглуулалтын талаар хэрэглэгчдэдээ мэдэгдээрэй.

Windows

Investigation package нь дараах лог болон өгөгдлийг татаж авах боломжтой нэг архивт нэгтгэнэ:

  • Bitdefender Endpoint Security Tools (BEST)-ийн бүтээгдэхүүний логууд
  • Windows Event Logs
  • System Info
  • Дараах байршлын registry hive файлууд:

- %SystemRoot%\System32\Config: SOFTWARE, SYSTEM, DEFAULT, DRIVERS, SAM, SECURITY (.LOG1 болон .LOG2 файлуудыг оруулаад)
- %SystemDrive%\Users: NTUSER.DAT, NTUSER.DAT.LOG1, NTUSER.DAT.LOG2

  • amcache (%SystemRoot%\AppCompat\Programs\Amcache.hve)
  • shimcache (HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\AppCompatCache)
  • prefetch (C:\WINDOWS\Prefetch)
  • Net info (Сүлжээний мэдээлэл):

- ActiveNetConnections (C:\WINDOWS\system32\netstat.exe -abno)

- AddressResolutionProtocolCache (C:\WINDOWS\system32\arp.exe -a)

- DnsCache (C:\WINDOWS\system32\ipconfig.exe /displaydns)

- SmbInboundSessions (C:\WINDOWS\system32\net.exe session)

- SmbOutboundSessions:

- HKEY_USERS\S-1-5-21-1272178354-3831401975-2086234833-500\Network
- HKEY_USERS\S-1-5-21-1272178354-3831401975-2086234833-1001\Network
- HKEY_USERS\S-1-5-21-1272178354-3831401975-2086234833-504\Network

- FirewallLogs:

- C:\WINDOWS\system32\cmd.exe /C "for /f "tokens=2 delims= " %F in ('Get-NetFirewallProfile ^| findstr FileName') do cmd /C xcopy /F /Y /Q "%F" "C:\ProgramData\Microsoft\Windows Defender Advanced Threat Protection\Temp\CollectedData\913d3b5c-9d98-447d-a554-40a381104d01\..\" & cmd /C move "C:\ProgramData\Microsoft\Windows Defender Advanced Threat Protection\Temp\CollectedData\913d3b5c-9d98-447d-a554-40a381104d01\..\pfirewall.log" "C:\ProgramData\Microsoft\Windows Defender Advanced Threat Protection\Temp\CollectedData\913d3b5c-9d98-447d-a554-40a381104d01\Network Connections\pfirewall.log""

  • Temp Dir Files (бүх хэрэглэгч болон системийн дэлгэрэнгүй жагсаалт):

- dir /a /n /q /r /s

  • ScheduledTasks (C:\WINDOWS\system32\schtasks.exe /query /v /fo CSV)
  • Powershell history (идэвхжүүлсэн бол)
  • Webcache (%LOCALAPPDATA%\Microsoft\Windows\WebCache)
  • WdSupportLogs:

- C:\WINDOWS\system32\cmd.exe /C ""%ProgramFiles%\Windows Defender\mpcmdrun.exe" -GetFiles & copy "%programdata%\Microsoft\Windows Defender\Support\MPSupportFiles.cab" "C:\ProgramData\Microsoft\Windows Defender Advanced Threat Protection\Temp\CollectedData\913d3b5c-9d98-447d-a554-40a381104d01\WdSupportLogs""

  • Users and Groups (бүх локал хэрэглэгч болон бүлгүүдийн жагсаалт):

- net user; net localgroup
- Бүлгийн гишүүнчлэлийн жагсаалт: for /f "delims=" %x in ('net localgroup ^|find ""') do net localgroup "%x"
- Одоо нэвтэрсэн хэрэглэгчид: query user

  • SRUDB:

- C:\Windows\System32\sru

  • Background Activity Moderator:

- HKLM\SYSTEM\ControlSet001\Services\bam

  • wbem repository:

- %windir%System32\Wbem\Repository

  • CSV форматтай forensic өгөгдөл цуглуулалтын тайлан:

- CSV толгой: | Timestamp | Name | Command | Command Execution Status | Command Exit Code | Destination Path |

Тэмдэглэл: Forensic өгөгдөл цуглуулах үед түгжигдсэн эсвэл байхгүй зүйлсийг алгасна. Үйлдлийн системийн хувилбар болон системийн тохиргооноос шалтгаалан зарим зүйл дутуу байх эсвэл цуглуулах боломжгүй байж болно.

Linux

Дараах хоёр хавтастай архив үүснэ:

  • SupportTool (BEST клиентийн үндсэн логуудыг агуулна)
  • ForensicArtefacts

ForensicArtefacts-ийн агуулга нь "Current Time,Command Name,Command Line,Status,Error,Output file" толгойтой CSV файл болон доорх хавтаснууд юм:

Autoruns and services

  • systemctl list-unit-files — systemctl unit files.txt
  • systemctl -t service - all — systemds service files description.txt
  • systemctl — loaded systemd units.txt
  • ls -d /etc/rc* — list of rc folders.txt
  • ls -d /etc/init.d/* — list of init files.txt
  • ls -dR /etc/cron.* — list of cron folders.txt

Дээрх жагсаалт файлуудад байгаа бүх файл, хавтсыг хуулна.

  • ls -1 $(getent passwd \| cut -d : -f 6 \| sed 's:$:/.*rc:') — all users rc files.txt
  • "all users rc files.txt"-д байгаа файлуудыг хуулна — файлын формат "<user> <*rc>"

Network info

  • iptables -t nat -L — iptables -t nat -L.txt
  • iptables -vnL — iptables -vnL.txt
  • cat /proc/net/sockstat — sockstat.txt
  • cat /proc/net/arp — arp.txt
  • cat /proc/net/route — route.txt
  • cat /proc/net/dev — dev.txt

netstat суулгасан бол:

  • netstat -p — netstat -p.txt
  • netstat -s — netstat -s.txt
  • netstat -ie — netstat -ie.txt
  • netstat -tulpn — netstat -tulpn.txt

Суулгаагүй бол нөөц командуудыг ажиллуулна:

  • cat /proc/net/snmp* — snmp counters.txt
  • ss -p — programs and coresponding sockets.txt
  • ss -tulpn -4;ss -tulpn -6 — all tcp and udp v6 connections.txt

ifconfig суулгасан бол:

  • ifconfig -a — ifconfig.txt

Суулгаагүй бол:

  • ip a s; ip -s link — interfaces counters and ip addresses.txt

Various system info bits

  • w — active users.txt
  • lastlog — users and when logged in.txt
  • uname -a — uname -a.txt
  • last -adFi — last logged users and if remotely + ip address.txt
  • lshw -short — lshw.txt
  • dmesg — dmesg.txt

lsb_release суулгасан бол:

  • lsb_release -a — lsb_release.txt

Суулгаагүй бол:

  • cat /etc/os-release — os-release.txt

Certificates

Доорх хавтаснуудын аль нэг нь байвал түүний агуулгыг Certificates хавтас руу хуулна:

  • /etc/ssl/certs
  • /etc/pki/tls/certs
  • /etc/pki/CA/certs

Various files and info

  • getent passwd \| cut -d : -f 6 \| sed 's:$:/.bash_history:' — all users bash history files.txt
  • "all users rc files.txt"-д байгаа файлуудыг хуулна — файлын формат "<user> <.bash_history>"

Дараах файлуудыг хавтас руу хуулна:

  • /etc/host*
  • /etc/passwd
  • /etc/group
  • /etc/login.defs
  • /etc/sudoers*
  • /etc/shells
  • /etc/apt/sources.list*
  • /var/log/syslog
  • /var/log/messages
  • /var/log/auth.log
  • /var/log/secure
  • /var/log/boot.log
  • /var/log/utmp
  • /var/log/wtmp
  • /var/log/kern.log
  • /var/log/faillog
  • /var/log/cron

File listings

  • ls -laR / — recursive listing.txt
  • tree / -d -L 2 — recursivetree.txt
  • find / -maxdepth 2 -type d -print \| sed -e "s;[^/]*/;\|___;g;s;___\|; \|;g" — recursivetree2.txt
  • find / \( -type d -path /dev -o -path /sys -o -path /proc \) -prune -o -type f -size -5M -size +0M -exec sha256sum "{}" + — sha256sum for files under 5M.txt

Installed packages

Дараах командуудыг зөвхөн тухайн хэрэгсэл байгаа тохиолдолд ажиллуулна:

  • apt list --installed — apt list.txt
  • dpkg -l — dpkg list.txt
  • dnf list installed — dnf list.txt
  • yum list installed — yum list.txt
  • rpm -qa — rpm list.txt
  • zypper search -i — zypper list.txt

Service specific logs

  • apache logs

Apache-ийн логууд шууд "/var/log/" дотор байвал "httpd-access.log" эсвэл "httpd-error.log"-оор эхэлсэн бүх файлыг "Service specific logs" хавтас руу хуулна.

Apache-ийн лог файл "/var/log/" дотор байхгүй бөгөөд доорх хавтаснуудын аль нэг нь байвал тэдгээрийг "Service specific logs" хавтас руу хуулна.

- /var/log/httpd
- /var/log/apache2

  • nginx logs

- grep "_log " /etc/nginx/nginx.conf \| awk '{print $2}'\| tr -d \; — nginx log paths.txt
- "nginx log paths.txt"-д заасан бүх файлыг хуулна — nginx хавтас доторх өөрийн файлын нэрээр

  • vpn logs (openvpn, wireguard, ipsec/openswan гэх мэт)

- cat /var/log/syslog* \| grep -i vpn — vpn logs.txt

Mac

Дараах агуулгатай архив үүснэ:

  • BEST-ийн ерөнхий логуудын багц (support tool archive)
  • Autoruns:

- LaunchAgents

- /Library/LaunchAgents/*
- /System/Library/LaunchAgents/*
- %%users.homedir%%/Library/LaunchAgents/*

- LaunchDaemons

- /Library/LaunchDaemons/*
- /System/Library/LaunchDaemons/*

- StartupItems

- /Library/StartupItems/*
- /System/Library/StartupItems/*

- crontabs

- LoginItems

  • Browser artefacts (Хөтчийн ул мөр):

- Preferences
- History
- Downloads
- Extensions
- Bookmarks
- Info.plist

  • Process list (Процессуудын жагсаалт)
  • Network info (Сүлжээний мэдээлэл):

- нээлттэй/сонсож буй холболтууд (netstat -blant)
- нээлттэй/сонсож буй холболтууд (netstat -blant)
- /private/etc/pf.anchors
- /private/etc/pf.conf
- /private/etc/hosts
- /private/var/run/resolv.conf
- /Library/Preferences/SystemConfiguration/com.apple.airport.preferences.plist
- /Library/Preferences/SystemConfiguration/NetworkInterfaces.plist

  • System Info

- system_profiler
- .bash_history & .bash_sessions (бүх хэрэглэгч)
- /private/var/log/asl
- /private/var/log/install.log

  • Дараах хавтаснуудын рекурсив файлын жагсаалт:

- /Aplications
- /Library
- /System/Library/Caches
- ../Library/Caches (бүх хэрэглэгч)
- ../Desktop (бүх хэрэглэгч)
- ../Documents (бүх хэрэглэгч)
- ../Downloads (бүх хэрэглэгч)

Энэ хуудсанд гарсан нэр томъёо

Endpoint
Хамгаалж буй компьютер, сервер, виртуал машин
Network
Таны байгууллагын бүх төхөөрөмжийн жагсаалт (Inventory)
Асуулт байна уу?AI туслах GravityZone-ийн монгол баримтаас хайна. Нарийн асуудлыг таны гэрээт борлуулагч, Bitdefender Mongolia-ийн инженер шийднэ.