Unix 证据包收集器

事件响应中的证据困境

当类 Unix 系统发生安全事件时，时间窗口往往只有几分钟。攻击者可能正在清理日志、删除进程痕迹，而响应人员手动执行 ps、lsof、last、/proc 快照等命令时，不仅容易遗漏关键工件，还可能因命令执行本身改变系统状态，污染现场。

更现实的问题是：不同主机上的日志路径、进程信息、网络连接状态格式各异，手工整理成一份可分析的证据包耗时且易出错。当需要同时处理多台主机时，这种碎片化的收集方式几乎不可行。

用 UAC 自动化工件收集

Unix Evidence Bundle Collector 基于开源工具 UAC（Universal Artifact Collector），将类 Unix 事件响应中常见的易失性和持久性工件一次性采集并打包为结构化证据包。

核心工作流程：

• Shell 访问即用：在目标主机上获得 Shell 访问权限后，直接运行 UAC，无需预先安装代理或额外依赖
• 全面工件捕获：自动收集进程列表、网络连接、登录历史、计划任务、启动项、文件时间戳等关键证据
• 便携式输出：生成压缩包，包含所有原始数据和元信息，便于后续分析或跨团队协作
• 现场完整性：通过自动化脚本减少人工干预，降低对现场的二次污染

适用边界与注意事项

该技能适用于需要快速响应的应急场景，但有几个关键前提：

• 权限要求：需要目标主机的 Shell 访问权限，且运行 UAC 的用户账户需具备读取系统日志和 /proc 的权限
• UAC 运行时依赖：虽然无需安装，但目标主机上需能运行 UAC 的 shell 脚本，通常需要 bash、python 等基础运行时
• 存储空间：证据包可能包含大量数据，需确保输出目录有足够空间
• 网络隔离场景：若目标主机已隔离网络，需通过离线方式传输 UAC 脚本和证据包

对于长期持续监控或需要深度取证的场景，仍建议使用专业取证工具，但作为事件响应初期的快速采集手段，该技能能显著缩短从发现到行动的时间。