как посмотреть подключения usb astra linux
✔️ Отображение истории событий USB-устройств с помощью Usbrip на Linux
В этом руководстве объясняется, что такое программа Usbrip, как отслеживать детали подключенных или отключенных USB-устройств, а также как отобразить историю событий USB-устройств с помощью инструмента Usbrip в системах Linux.
Введение
В настоящее время USB-устройства широко распространены.
Вы можете использовать множество устройств с USB-разъемом, таких как флэш-накопитель, внешний накопитель, мышь, клавиатура, принтер, зарядное устройство для мобильного телефона в течение всего дня, каждый день.
Как и любые другие события, история USB-подключений также отслеживается ОС Linux.
Каждый раз, когда вы подключаете или отключаете USB-устройство, история событий USB-устройств отслеживается и сохраняется в одном или нескольких из следующих файлов в вашей системе Linux:
Что такое Usbrip
Usbrip – это инструмент для форензики из командной строки для отслеживания истории всех подключений USB-устройств на Linux.
Он анализирует данные логов вашей системы с помощью команды journalctl или из файлов логов, таких как /var/log/syslog и /var/log/messages, и отображает собранную историю событий USB в стандартном выводе stdout или файле.
Программа usbrip отслеживает артефакты USB-устройства и перечисляет их в следующих столбцах:
Usbrip – это бесплатный инструмент с открытым исходным кодом, написанный на Python 3.
Для тех, кому интересно, название Usbrip образовано от двух слов – USB и Ripper.
Возможности Usbrip
1. Поиск несанкционированного доступа по USB.
Это основная цель инструмента Usbrip.
Используя инструмент usbrip, мы можем доказать, что USB-устройство было подключено к определенной системе Linux определенным пользователем в течение определенного промежутка времени.
В общем, мы можем использовать Usbrip в любых случаях, когда задействованы USB-устройства.
Как уже говорилось, вы можете экспортировать все сведения о USB-соединении в файл JSON.
Почему мы выгружаем детали в файл JSON?
Потому что мы можем легко найти любые «события нарушения».
Например, мы могли бы создать файл, скажем auth.json, и сохранить в нем список авторизованных или доверенных USB-устройств.
Далее файл auth.json можно использовать в целях выяснить, какие USB-устройства были подключены и являются ли они авторизованными устройствами.
Таким образом можно узнать, скопировал ли какой-либо пользователь что-то из вашей системы без вашего разрешения.
Обратите внимание, что если вы устанавливаете usbrip с помощью скрипта установщика, файл auth.json будет автоматически создан в папке /var/opt/usbrip/trust/ во время установки.
Вы также можете сформировать свой собственный путь в любом месте вашей системы.
2. Поиск сведений о USB устройстве
Если вы хотите узнать подробности технических характеристик USB-устройства, вы можете легко получить их, используя его VID или PID.
Usbbrip получит подробную информацию о поставщиках, устройствах и интерфейсах из базы данных usb.ids, которая находится по адресу http://www.linux-usb.org/.
3. Резервное копирование событий USB.
Теперь давайте посмотрим, как установить и использовать Usbrip на Linux для сбора событий USB-подключений.
Linux-форензика в лице трекинга истории подключений USB-устройств
В рамках погружения в одну из дисциплин (в процессе обучения по специальности компбеза) я работал над одним занимательным проектом, который бы мне не хотелось просто похоронить в недрах папки «Универ» на внешнем винчестере.
Сей проект носит название usbrip и представляет собой небольшую консольную опенсорс утилиту для Linux-форензики, а именно для работы с историей подключений USB-устройств. Программа написана на чистом Python 3 (с использованием некоторых сторонних модулей) и не требует зависимостей помимо Python 3.x интерпретатора и пары строк из requirements.txt, разрешающихся одной строкой с помощью pip.
В этом посте я опишу некоторые возможности данного софта и оставлю краткий мануал со ссылкой на источник загрузки.
Снято! (… в смысле Cut!)
Примечание. Описываемый в статье функционал актуален для первой версии утилиты. За последней версией с множеством новых плюшек предлагаю перейти в репозиторий.
Скриншоты
Получение истории подключений съёмных USB-устройств:
Поиск дополнительной информации о USB-устройстве по идентификатору модели (PID’у):
Описание
Как известно, операционные системы на базе GNU/Linux очень трепетно относятся к логированию разного рода событий, и подключение/отключение USB-устройств не является исключением. В совокупности с одним из пунктов UNIX-философии о «текстовых потоках, как универсальных интерфейсах» информацию об артефактах таких событий (с разной степенью подробности) в зависимости от дистрибутива можно обнаружить в одном или нескольких из следующих текстовых файлов:
Также usbrip умеет:
Справка
Получить список доступных модулей:
Получить список доступных подмодулей для конкретного модуля:
Получить список доступных опций для конкретного подмодуля:
Синтаксис
Опции
Примеры использования
Построить таблицу истории подключений всех USB-устройств и перенаправить вывод в файл для дальнейшего анализа. В том случае, если поток вывода не стандартный stdout ( «|» либо «>» к примеру) в выходных данных не будут присутствовать спец. символы, отвечающие за цвет шрифта в терминале, поэтому текстовый файл не будет замусорен нечитаемыми символами. Также нужно отметить, что usbrip использует некоторые UNICODE-константы, поэтому было бы неплохо сразу конвертировать кодировку создаваемого файла в UTF-8 для их корректного отображения (например с помощью encov ), а также использовать символы новой строки в Windows-стиле для лучшей переносимости (например с помощью awk ):
Создать список доверенных устройств в виде JSON-файла ( trusted/auth.json ), содержащего поля «VID» и «PID» первых трех устройств, подключенных 26-го сентября:
Найти среди истории подключений съёмных USB-устройств «события-нарушители» на основе списка доверенных устройств ( trusted/auth.json ) по полю «PID» и сформировать вывод в виде таблицы с полями «Connected», «VID» и «PID»:
Найти дополнительную информацию о USB-устройстве на основе его VID’а и PID’а:
Загрузить/обновить базу данных идентификаторов USB-устройств (источник здесь):
Ссылки и постскриптум
Забрать утилиту можно с Гитхаба, все зависимости для запуска и корректной работы указаны в requirements.txt.
Благодарю за внимание!
P. S. да, стиль баннера и информационных сообщений вдохновлен проектом sqlmap (*^.^*)
UPD 13.06.2018. Появилось расследование реального (?) кейса с участием моей утилиты от человека с Codeby (сам в шоке, если честно).
Как посмотреть подключения usb astra linux
В этой статье рассказывается об инструменте Usbrip, который позволяет автоматизировать отслеживание истории использования USB-устройств в системе.
Вступление
В настоящее время широко распространены USB-устройства: флэш-накопители, внешние накопители, мыши, клавиатуры, принтеры, зарядные устройства для мобильных телефонов. Как и любые другие события в системе, история USB-подключений также отслеживается ОС Linux. Каждый раз, когда вы подключаете или отключаете USB-устройство, соответствующая информация заносится в системные лог файлы:
Вы можете вручную просмотреть эти файлы, чтобы узнать историю USB-подключений, или использовать инструмент, который позволит автоматизировать этот процесс представляя информацию в удобном формате. Одним из таких инструментов для отслеживания истории событий USB является утилита Usbrip.
О Usbrip
Usbrip — это инструмент для проведения расследований по истории использования USB-устройств в Linux. Он анализирует данные журнала вашей системы с помощью команды journelctl а также черпает информацию из файлов журналов системы, таких как /var/log/syslog, /var/log/messages и отображает собранную историю событий USB в стандартном выводе или файле.
Программа usbrip отслеживает характеристики USB-устройств и отображает их в следующих столбцах:
Usbrip — это бесплатный инструмент с открытым исходным кодом, написанный на Python 3. Для тех, кому интересно, название Usbrip образовано от двух слов — USB и Ripper.
Возможности Usbrip
Usbrip имеет несколько интересных функций. Отметим следующие три примечательные особенности.
1. Поиск информации об использовании в системе несанкционированных USB устройств
Это основная цель инструмента Usbrip. Используя инструмент usbrip, мы можем доказать, что USB-устройство было подключено к определенной системе Linux определенным пользователем в течение определенного промежутка времени. В общем, мы можем использовать Usbrip в любых случаях, когда задействованы USB-устройства.
Этот auth.json файл можно использовать, чтобы выяснить, какие USB-устройства были подключены и являются ли они авторизованными устройствами. Таким образом можно узнать, скопировал ли какой-либо пользователь что-то из вашей системы без вашего разрешения.
Обратите внимание, что если вы устанавливаете usbrip с помощью сценария установщика, auth.json файл будет автоматически создан в папке /var/opt/usbrip/trusted/, то есть в том же месте куда устанавливается программа. Однако есть возможность выбрать произвольный каталог размещения для auth.json
2. Отображение подробных характеристик USB устройств
Если требуется узнать подробные технические характеристики USB-устройств, это можно сделать зная VID и PID устройства. Usbbrip черпает подробную информацию о поставщиках, устройствах и производимых моделях из usb.ids из публичной базы данных.
3. Резервное копирование событий USB
Давайте посмотрим, как установить и использовать Usbrip в Linux для сбора событий USB-подключения.
Установка Usbrip в Linux
Поскольку Usbrip написан на Python, мы можем установить его с помощью диспетчера пакетов Pip.
Но есть одно «но» — если установить usbrip с помощью pip, некоторые функции будут недоступны.
Во-первых, убедитесь, что вы установили необходимые зависимые пакеты:
В Debian, Ubuntu и производных системах вы можете установить их следующей командой:
Теперь приступим к установке самой программы. Загрузите репозиторий usbrip:
Приведенная выше команда клонирует содержимое репозитория usbrip и сохраняет его в каталоге с именем «usbrip» в текущем каталоге.
Переходим в каталог usbrip:
Делаем скрипт установщика исполняемым:
И, наконец, запускаем установщик при помощи команды:
После завершения установки можно удалить клонированный каталог:
Как отобразить историю событий USB-устройств с помощью Usbrip в Linux
Перед тем, как начать пользование программой, давайте ознакомимся с перечнем общих опций и доступных флагов.
1. Получение помощи
Чтобы просмотреть раздел справки программы Usbrip, просто запустите:
Результат данной команды:
Как вы можете увидеть, есть четыре основные команды, а именно banner, events, storage и ids.
Чтобы просмотреть список возможностей данных команд, запустите:
Чтобы вывести список всех параметров, относящихся к определенной команде, например events, запустите:
2. Просмотр истории подключений USB-устройств.
Чтобы показать историю подключений USB-устройств, запустите:
Вам будет предложено отобразить историю событий USB в консоли или сохранить в файле JSON. Если вы хотите отобразить результат, просто нажмите ENTER (по умолчанию) или введите цифру 2, чтобы сохранить его в файле JSON.
Выберем вывод по умолчанию и получаем следующее:
Приведенная выше команда покажет только 2 последних события истории USB без отображения WARNING и других информационных сообщений в терминале.
3. Как сохранить историю USB событий в файле
Вместо того, чтобы отображать историю событий в стандартном выводе, мы можем сохранить ее в файл в формате JSON.
Для этого запустите следующую команду:
Вы можете просмотреть содержимое полученного файла использовав команду:
4. Отображение истории событий внешних USB-устройств
Отображение истории внешних USB-устройств
» data-medium-file=»https://linuxthebest.net/wp-content/uploads/2021/04/Show-external-USB-devices-event-history-300×152.png» data-large-file=»https://linuxthebest.net/wp-content/uploads/2021/04/Show-external-USB-devices-event-history-1024×518.png» alt=»Отображение истории внешних USB-устройств» width=»1024″ height=»518″ srcset=»https://linuxthebest.net/wp-content/uploads/2021/04/Show-external-USB-devices-event-history-1024×518.png 1024w, https://linuxthebest.net/wp-content/uploads/2021/04/Show-external-USB-devices-event-history-300×152.png 300w, https://linuxthebest.net/wp-content/uploads/2021/04/Show-external-USB-devices-event-history-768×388.png 768w, https://linuxthebest.net/wp-content/uploads/2021/04/Show-external-USB-devices-event-history.png 1366w» data-src=»https://linuxthebest.net/wp-content/uploads/2021/04/Show-external-USB-devices-event-history-1024×518.png» data-sizes=»(max-width: 1024px) 100vw, 1024px» gif;base64,R0lGODlhAQABAAAAACH5BAEKAAEALAAAAAABAAEAAAICTAEAOw==» />
5. Отображение истории USB событий за определенный период времени
6. Отображение информации о конкретном USB устройстве
Возможно, вам будет интересно просмотреть события USB-подключений по определенному устройству. Следующая команда предоставит вам короткую информацию с перечнем устройств, которая содержит только колонки «Connected», «Disconnected», «Serial» и «Product»:
Отображение краткой информации по USB-устройствам с помощью usbrip
Отображение краткой информации по USB-устройствам с помощью usbrip
» data-medium-file=»https://linuxthebest.net/wp-content/uploads/2021/04/Show-certain-USB-device-events-using-usbrip-300×152.png» data-large-file=»https://linuxthebest.net/wp-content/uploads/2021/04/Show-certain-USB-device-events-using-usbrip-1024×518.png» alt=»Отображение краткой информации по USB-устройствам с помощью usbrip» width=»1024″ height=»518″ srcset=»https://linuxthebest.net/wp-content/uploads/2021/04/Show-certain-USB-device-events-using-usbrip-1024×518.png 1024w, https://linuxthebest.net/wp-content/uploads/2021/04/Show-certain-USB-device-events-using-usbrip-300×152.png 300w, https://linuxthebest.net/wp-content/uploads/2021/04/Show-certain-USB-device-events-using-usbrip-768×388.png 768w, https://linuxthebest.net/wp-content/uploads/2021/04/Show-certain-USB-device-events-using-usbrip.png 1366w» data-src=»https://linuxthebest.net/wp-content/uploads/2021/04/Show-certain-USB-device-events-using-usbrip-1024×518.png» data-sizes=»(max-width: 1024px) 100vw, 1024px» gif;base64,R0lGODlhAQABAAAAACH5BAEKAAEALAAAAAABAAEAAAICTAEAOw==» />
7. Поиск информации о конкретных USB-устройствах
Возможно, вам будет интересно просмотреть историю событий определенного устройства. Для этого вы можете использовать флаг —manufact:
В следующем примере отобразим 15 недавних событий моего беспроводного приемника Logitech. Я также перечислил детали только в 4 столбцах, а именно: «Connected», «Disconnected», «Serial» и «Product».
Просмотр истории событий определенного USB-устройства
» data-medium-file=»https://linuxthebest.net/wp-content/uploads/2021/04/View-event-history-of-specific-USB-device-300×152.png» data-large-file=»https://linuxthebest.net/wp-content/uploads/2021/04/View-event-history-of-specific-USB-device-1024×518.png» alt=»Просмотр истории событий определенного USB-устройства» width=»1024″ height=»518″ srcset=»https://linuxthebest.net/wp-content/uploads/2021/04/View-event-history-of-specific-USB-device-1024×518.png 1024w, https://linuxthebest.net/wp-content/uploads/2021/04/View-event-history-of-specific-USB-device-300×152.png 300w, https://linuxthebest.net/wp-content/uploads/2021/04/View-event-history-of-specific-USB-device-768×388.png 768w, https://linuxthebest.net/wp-content/uploads/2021/04/View-event-history-of-specific-USB-device.png 1366w» data-src=»https://linuxthebest.net/wp-content/uploads/2021/04/View-event-history-of-specific-USB-device-1024×518.png» data-sizes=»(max-width: 1024px) 100vw, 1024px» gif;base64,R0lGODlhAQABAAAAACH5BAEKAAEALAAAAAABAAEAAAICTAEAOw==» />
Точно так же вы можете фильтровать события USB, объединив множество полей, таких как PID, VID, порт, имя хоста, серийный номер и т. д.
8. Создание списка доверенных USB-устройств
Чтобы создать список авторизованных USB-устройств, используйте опцию authgen:
Эта команда генерирует список доверенных USB-устройств в виде файла JSON с именем auth.json содержащем информацию о первых 10 устройствах, подключенных с 29 марта 2021 года. Этот файл будет содержать сведения об атрибутах VID и PID.
9. Поиск нарушений безопасности
Если вы хотите проверить наличие несанкционированного доступа к USB, просто найдите auth.json файл, который был создан ранее:
Вы также можете фильтровать вывод по своему вкусу.
Пример:
Эта команда будет искать в истории событий внешних USB-устройств нарушения на основе списка доверенных USB-устройств (
/auth.json) по атрибуту «PID», ограничивать результирующие события теми, у которых в качестве имени хоста указано «ostechnix», «Logitech» в качестве производителя и «0123456789» в качестве серийного номера. Выводимый результат будет представлен в форме таблицы со столбцами «Connected» и «Disconnected».
Если USB-устройство отображается в истории, но не в auth.json файле, мы можем сказать, что произошло событие нарушения политики безопасности
Дополнительные сведения об использовании Usbrip можно найти на странице проекта в GitHub.
Если вы нашли ошибку, пожалуйста, выделите фрагмент текста и нажмите Ctrl+Enter.
HackWare.ru
Этичный хакинг и тестирование на проникновение, информационная безопасность
Как узнать, какие USB устройства подключались к Linux
Как узнать о том, что посторонние копировали файлы с компьютера
Устройства с USB разъёмом являются самыми распространёнными — ими могут быть накопители информации (флэшки, внешние диски), клавиатуры, мыши, телефоны, принтеры, звуковые платы и наушники и даже специальным образом запрограммированные устройства для, например, обхода ввода пароля для разблокировки экрана и так далее.
В любом случае несанкционированное подключение любого устройства означает, что у вашего компьютера есть ещё и «другая жизнь», о которой вы не знаете. Вполне возможно, что это означает несанкционированный доступ для копирования ваших личных файлов.
Ошибка «Wrong timestamp format found in «/var/log/syslog»»
Ситуация следующая: usbrip в своей работе использует файлы /var/log/syslog* или /var/log/messages*. После недавних обновлений usbrip, эта программа может работать только с подробным форматом времени, который нужно специально настроить для syslog.
Получается что нужно удалить старые журналы и анализировать можно только данные с момента настройки syslog, а информация за последние пару месяцев пропадёт.
Ещё один минус такого подхода — невозможно проанализировать файлы с других компьютеров, где предварительно не сделана эта настройка.
По идее, проблему можно исправить установив версию, которая работала с форматом даты по умолчанию:
Но это не решает проблему анализа журнала syslog на дистрибутивах, где syslog не установлен. Конечно, вариант со старой версией мне не очень нравится. Поэтому я написал команды, которые конвертируют дату из старого формата в новый. То есть можно не менять формат файлов syslog, можно использовать журналы syslog с других компьютеров и самая последняя версия usbrip будет успешно с ними работать!
Но начнём, всё-таки, с установки usbrip.
Как установить usbrip
Обратите внимание, что usbrip можно установить несколькими способами и вам НЕ нужно устанавливать программу каждым из них — выберите какой-то один.
Установка в Kali Linux
Самый простой вариант установки:
Но при таком варианте некоторые возможности программы будут недоступны. Чтобы получить usbrip со всеми функциями установку нужно выполнить следующим образом:
Если хотите, вы можете настроить формат даты в syslog специально для usbrip. Дата станет более детальной (например, там появится год). В случае выполнения этой настройки, вы сможете напрямую работать с файлами журналов /var/log/syslog* или /var/log/messages* в usbrip без необходимости их конвертации. Как это сделать рассказано в разделе «Структура системных логов».
Установка в BlackArch
В BlackArch и ArchLinux syslog вообще отсутствует по умолчанию, поэтому менять формат даты негде. Но это не будет проблемой — мы также сможем узнать, когда и какие USB подключались к нашей системе.
Как посмотреть историю подключения USB в Linux
Итак, если вы изменили формат даты для syslog, то достаточно запустить программу следующим образом:
Программа сама найдёт файлы журналов и, если всё в порядке (файлы журналов найдены, в них верный формат даты и имеются события с USB устройствами), то выведет:
Она спрашивает, хотим ли мы вывести данные в стандартный вывод (на экран) или же сохранить их в файл JSON. Если вы хотите вывести данные на экран, то достаточно нажать ENTER, поскольку первый вариант выбран по умолчанию.
Будет выведена примерно следующая таблица:
Поля в ней означают следующее:
Как конвертировать дату в файле syslog для usbrip
Более подробный формат даты отличается от используемого по умолчанию тем, что в нём указан год и миллисекунды. Думаю, год вы и так примерно знаете (тем более, что, например, в моей системе данные журнала хранятся только за последние 2-3 месяца, хотя я их не удалял). Что касается миллисекунд, то это вообще вряд ли кому-то нужно.
По этой причине можно без проблем конвертировать файл в формат, который будет поддерживать usbrip.
В следующей команде я конвертирую файл /var/log/syslog и сохраняю новый результат в usb2.0.txt — при желании, измените эти данные в команде:
Будет создан файл usb2.0.txt, который сможет открыть usbrip.
Как использовать usbrip в Arch Linux, BlackArch и их производных
Как уже было сказано, в этих системах отсутствует syslog, её функции поглощены программой journalctl. Именно по этой причине нет смысла устанавливать и запускать syslog (хотя, естественно, это возможно). Достаточно конвертировать вывод программы journalctl.
Новый вариант конвертации:
Сохраняем вывод программы journalctl в файл usb.txt:
А далее мы конвертируем файл в понятный для usbrip формат (то есть в syslog):
Это новый вариант конвертации, подсказанный пользователем. Он очень быстрый и даже для больших файлов занимает считанные секунды.
Обратите внимание, что данные считываются из файла usb.txt и сохраняются в файл usb2.0.txt — при желании, отредактируйте эти значения под свои.
Старый вариант конвертации (не используйте его)
Есть ещё один вариант с использованием утилиты date. Этот вариант довольно медленный:
Программа journalctl выводит названия месяцев на русском (если у вас установлена русская локаль). Такой формат (на русском) не понимает ни usbrip, ни утилита date. Поэтому начать нужно с установки английской локали следующей командой:
Не надо беспокоиться, что у вас всё станет на английском — изменения действуют только для того окна терминала, в котором вы выполнили команду. И после перезагрузки ОС переключение локали не сохранится.
Теперь мы сохраняем вывод программы journalctl в файл usb.txt:
А далее мы конвертируем файл в понятный для usbrip формат (то есть в syslog):
Файл размером 147 мегабайт (1.233.656 строк) на моей системе обрабатывался очень долго — 1-2 часа, правда центральный процессор практически не был загружен. То есть если у вас большой файл, то запаситесь терпением.
Как в usbrip проверить файл с другой системы
В usbrip можно указать файл из которого нужно брать данные для анализа, для этого используется опция -f, например, я хочу найти события подключения и отключения к USB интерфейсу в файле usb2.0.txt:
Если вы взяли файл для анализа с другой системы, где не настроен поддерживаемый формат даты, то вам нужно предварительно конвертировать этот файл как показано чуть выше.
Ниже самый конец данных из journalctl на моей домашней системе:
Как узнать тип USB устройства и его производителя
Предположим, меня заинтересовала следующее устройство:
С помощью usbrip я могу выполнить поиск по базе данных по VID и PID.
Начнём с загрузки базы данных:
С помощью опции —vid выполняется поиск по идентификатору вендора, с помощью опции —pid выполняется поиск по идентификатору продукта. При этом при каждом запуске поиска, usbrip будет обновлять/загружать базу данных которая и так уже имеется в системе — это занимает лишнее время, поэтому укажем флаг —offline, чтобы при поиске использовалась локальная база данных:
Опции —vid и —pid необязательно использовать одновременно — можно выполнять поиск по любой из них.
Настройка выводимых данных
Использование опции -q приведёт к подавлению вывода банера, информационных сообщений, также программа не будет спрашивать, как вывести данные (консоль или JSON). Данные можно показать не в виде таблицы, а в виде списка — для этого опция -l. Наконец, с помощью опции -n можно ограничить вывод только определённым числом последних записей. Пример использования все этих опций:
Вывод информации только по съёмным устройствам, по определённому USB устройству или за конкретные дни
Программа usbrip поддерживает следующие виды фильтров:
1. Показ только сменных устройств. На самом деле, со 100% уверенностью трудно сказать, какие устройства являются отключаемыми. Но можно поступить хитро — если это устройство уже БЫЛО отключено, значит, оно легко отключаемое! Это очевидно. Легко отключаемые устройства, например, сменные дисковые накопители и флэшки представляют наибольший интерес в случае несанкционированного доступа.
Для применения этого фильтра используется опция -e:
2. Фильтрация по полям таблицы, опции: —user, —vid, —pid, —product, —manufact, —serial, —port
То есть можно комбинировать несколько опций для фильтрации данных. Либо можно использовать опции по одной. Название опций говорит само за себя, если же вам что-то непонятно, то смотрите подробную справку по ним на странице: https://kali.tools/?p=4873. После опции можно указать несколько значений через пробел.
3. Сортировка по дате. Для этого используется опция -d:
Обратите внимание, что при указании двух дней не создаются диапазоны! То есть если вы указали два дня, то будут взяты данные только для этих двух дней!
Показ только определённой информации
В предыдущем примере использовалась опция -c, после которой перечислены столбцы conn vid pid disconn serial — это приводит к тому, что будет выведена только информация по этим столбцам.
Название всех столбцов (нужно указывать их без кавычек через пробел): «conn«, «user«, «vid«, «pid«, «prod«, «manufact«, «serial«, «port«, «disconn«.
Создание списка доверенных устройств
Если вы (как и я) анализируете реальный журнал домашнего компьютера, то вы уже заметили, что данных очень много и разобраться с ними «на глаз» проблематично. Поэтому если кто-то месяц назад подключал к компьютеру флешку (или подключит в будущем), то об этом довольно трудно узнать.
В такой ситуации может помочь список доверенных устройств. Концепция довольно проста: создаётся список ваших устройств, которым вы доверяете. Затем сравнивается журнал с этим списком — если там есть информация об устройствах, которые отсутствуют в списке доверенных, то будет выведена соответствующая информация.
Составить список доверенных устройств можно командой usbrip events gen_auth несколькими способами. Рассмотрим обязательные опции.
Во-первых, нужно указать файл, куда будет сохранён этот список, в моём случае путь до файла
/auth.json. Затем нужно указать атрибуты для включения в список авторизованных устройств, это делается опцией -a после которой через пробел без кавычек можно указать одно или более полей: «vid«, «pid«, «prod«, «manufact«, «serial«.
Далее нужно указать устройства, которые мы хотим добавить. Можно использовать рассмотренные выше фильтры. К примеру, я добавлю устройства по их VID, для этого я указываю опцию —vid и после неё через пробел перечисляю все идентификаторы производителей, которые я хочу добавить.
В результате получается команда:
В качестве фильтра можно использовать дату — то есть вы можете проверить, в какие дни подключались только доверенные устройства и перечислить эти дни:
Выявление подключения чужих USB устройств к компьютеру в Linux
Для проверки используется команда usbrip events violations, после которой достаточно указать файл со списком доверенных устройств:
Пример вывода в моём случае:
Освежить память помогла команда:
На той коробке тоже так и написано, «SuperSpeed».
Второе устройство, которое 2307 Boot ROM и Phison меня озадачило чуть сильнее. Это оказались не USB наушники и даже не тачпад ноута. Это оказалась моя же флешка, на который был создан раздел EFI для обновления БИОСа на моём ноутбуке. Возможно, она распозналась таким необычным образом из-за того, что компьютер был загружен вместе с ней или ещё по каким-то причинам. Мораль: не надо спешить высаживаться на измену если получены неожиданные результаты.
И вторая мораль: VID и PID могут меняться при некоторых условиях или система может видеть их иначе, опять же, при некоторых условиях. Серийный номер USB устройств также может быть подменён, по крайней мере для некоторых устройств.
Сохранение результатов в файл
Если при обработке файла выбрать вторую опцию:
То программа предложит ввести путь до файла (или принять значение по умолчанию) — полученные данные будут сохранены в формате JSON.
Также можно перенаправить вывод программы в файл (не забудьте опцию -q для отключения запроса пользователю):
Ещё у программы есть специальная команда storage, которая позволяет сохранять результаты. В первую очередь storage удобна для работы с Cron, но можно запускать её и вручную.
Команда usbrip storage позволяет сохранять/обновлять/просматривать информацию об истории и нарушениях USB устройств. Подробности смотрите в справке https://kali.tools/?p=4873
Информация будет заархивирована. На архив можно установить пароль.
Пример добавления службы в Cron вы найдёте в файле /usr/usbrip/cron/usbrip.cron. Информацию о настройке Cron вы найдёте в этой статье.
Анализ только последних записей
Если вы анализируете журналы с других компьютеров и вам для этого приходится их конвертировать, то вы можете ограничиться только последними строками. Например, чтобы создать файл, в который будут скопирована только последняя 1000 строк из исходного файла, вы может использовать команду вида:
Если вы конвертируете данные из journalctl, то вы также можете установить дату, после которой вы хотите получить данные.
Всегда нужно начинать с переключения локали (иначе полученный файл будет непонятен программам):
Если я хочу получить информацию о событиях после определённой даты, то нужно использовать опцию -S, после которой нужно указать дату в формате ГГГГ-ММ-ДД, например:
Далее используем уже знакомую команду для конвертации в формат syslog:
И запускаем usbrip с опцией -f, указав подготовленный файл:
Заключение
Итак, мне программа usbrip показалась очень интересной — она выжимает всё, что возможно из системных журналов по событиям, связанным с USB интерфейсом (если, к примеру, у какого-то USB устройства не указан серийный номер, значит и система его тоже не знает). А с учётом возможности конвертировать файлы, это делает её очень универсальной.