alfisyahry/incidentkit

# IncidentKit **快速本地应急响应收集工具包。** 适用于 Linux 系统的本地应急响应收集工具包。 IncidentKit 是一个早期版本的 Bash 工具，专为 Linux 服务器和开发者工作站的防御性操作而设计。它被有意设计得体量小巧、依赖极少，且在运行前易于检查。 ## 为什么会有这个项目 在应对突发事件时，响应人员需要快速获取本地上下文信息，同时避免意外收集到凭证。IncidentKit 会收集基本的系统、进程、会话和网络元数据，并将其打包成带有时间戳的本地报告归档文件。 该项目旨在用于实践学习、个人基础设施、家庭实验室（Homelab）维护以及小型团队操作，在这些场景中，透明的 Shell 工具比庞大的平台更容易进行审查。 ## 主要特性 - 收集本地系统元数据 - 捕获进程和登录上下文 - 在可用时捕获网络套接字样本 - 使用校验和打包报告 - 避免收集凭证和浏览器 Cookie - 支持在实际收集前进行预演审查 ## 应用场景 - 本地服务器维护和备份例行任务。 - 开发者工作站安全检查。 - Homelab 和小型团队的运维工作流。 - 受控环境下的防御性安全实践。 - 可在使用前进行审查的可审计 Shell 自动化操作。 ## 系统要求 - Linux 或类似 Unix 的 Shell 环境。 - Bash 4 或更高版本。 - 标准核心实用程序，例如 ar、find、sha256sum 和 mktemp（具体取决于命令路径）。 - 按功能记录的可选依赖项，例如 openssl、rclone、ssh-keygen 或 ss。 - 具备在目标路径和系统上操作的权限。 ## 安装说明 克隆仓库并在项目根目录下运行安装程序： `ash git clone https://github.com/alfisyahry/incidentkit.git cd incidentkit ./install.sh ` 安装程序会在可能的情况下创建一个本地命令链接。它不会自动安装外部依赖项。 ## 快速入门 从预演模式开始： `ash incidentkit --output ./incident-report --dry-run ` 显示帮助信息： `ash incidentkit --help ` 显示版本信息： `ash incidentkit --version ` ## 命令示例 `ash incidentkit --output ./incident-report --dry-run incidentkit --help incidentkit --version incidentkit --config config/config.example.env --dry-run ` 请查阅 docs/usage.md 和 docs/examples.md 获取更多示例。 ## 配置 配置是可选的。复制示例文件并在本地进行编辑： `ash cp config/config.example.env config/config.env ` 不要提交本地配置文件。将真实路径、令牌、远程名称、Webhook URL 和凭证保留在仓库之外。示例值仅作占位用途。 ## 安全模型 - 仅限防御性用途。 - 提供预演模式，用于审查具有潜在风险的操作流程。 - 破坏性操作需要明确的确认标志。 - 安全辅助程序会拒绝危险路径，例如空路径、`/` 以及宽泛的系统路径。 - 该工具不会收集密码、私钥、浏览器 Cookie 或无关的凭证材料。 - 外部依赖项会在运行时进行检查，但不会自动安装。 ## 安全注意事项 请仅在您拥有所有权或被授权管理的系统和数据上使用此工具。在将此工具用于重要数据之前，请先阅读 SECURITY.md。如果某项命令涉及备份、删除、远程传输或本地审计收集，请务必先在可丢弃的测试数据上进行测试。 ## 局限性 - 这是一个早期版本，在生产环境中使用前应进行审查。 - 它不能替代完整的备份平台、SIEM、EDR、密钥管理服务或应急响应平台。 - 某些检查经过有意保守的设计，可能需要人工审查。 - 远程行为取决于用户管理的配置（例如 rclone remote）。 ## 路线图 - 增加更广泛的测试固件。 - 为 Shell 语法和安全测试添加 CI 验证。 - 改进报告格式。 - 使用更多真实案例扩展文档。 - 如果工具趋于稳定，将增加包管理器安装选项。 ## 常见问题解答 ### 这个工具属于攻击性安全软件吗？ 不是。它是纯防御性工具，旨在用于授权的本地管理、备份、验证和安全学习。 ### 它会自动安装依赖项吗？ 不会。它会报告缺失的依赖项，并将安装决定权留给操作人员。 ### 我可以在生产环境中使用它吗？ 请将当前版本视为 MVP（最小可行性产品）。首先运行预演模式，使用非关键数据进行测试，并在将其应用于重要系统之前审查相关脚本。 ### 我应该将本地机密或真实路径放在哪里？ 请使用不受版本控制的本地配置文件，例如 config/config.env。绝对不要提交真实的机密信息、私钥、rclone 配置或生产环境路径。 ## 贡献指南 有关开发环境设置、编码风格、测试和 Pull Request 要求，请参见 CONTRIBUTING.md。 ## 许可证 MIT。详见 LICENSE。

标签：Bash, checksum校验, ESC漏洞, Mr. Robot, PB级数据处理, SecOps, Shell脚本, TLS, 云安全架构, 后渗透, 安全基线, 安全测试工具, 安全运维, 库, 应急响应, 应用安全, 开源安全工具, 教学环境, 数字取证, 数字取证, 无线安全, 本地安全, 系统元数据, 网络连接, 自动化脚本, 自动化脚本, 蓝军工具, 证据收集, 进程分析, 逆向工程平台, 防御工具