orchardroot/ir-collector

# ir-collector 跨平台**应急响应取证收集器**。两个独立脚本可以在调查期间快速从端点收集具有取证价值的日志和痕迹（artefacts），并将它们打包成经过哈希校验的便携式证据归档。 | 平台 | 脚本 | 语言 | |----------|--------|----------| | macOS | [`macos/mac_ir_collector.sh`](macos/mac_ir_collector.sh) | Bash | | Windows | [`windows/windows_ir_collector.ps1`](windows/windows_ir_collector.ps1) | PowerShell | 两者都会生成一个 `IR_Collection__/` 目录，其中包含 `manifest.txt`、用于保管链的 SHA256 `hashes.sha256`、`collection.log` 以及 `error_collection.log`，然后将其压缩为单个归档文件。 ## macOS — `mac_ir_collector.sh` 收集 `/var/log`、Apple 统一日志（针对 auth/sudo/SSH/kernel/XProtect/Gatekeeper/Endpoint Security，以及 CrowdStrike Falcon 和 Google Santa）、BSM 审计日志、持久化机制（LaunchDaemons/Agents、cron、登录钩子、kexts、系统扩展）、网络状态、浏览器痕迹（Safari/Chrome/Firefox/Edge，原始 + 已解析）、用户活动（KnowledgeC、最近项目）、安全数据库（TCC、隔离区、XProtect、Gatekeeper）、shell 历史记录、配置/凭证目录以及诊断报告。 ``` sudo ./macos/mac_ir_collector.sh [OUTPUT_DIR] [OPTIONS] ``` | 选项 | 含义 | |--------|---------| | `-n, --dry-run` | 显示将要收集的内容而不进行复制 | | `-v, --verbose` | 详细输出 | | `-u, --unified-hours N` | 要收集的统一日志的小时数（默认 24） | | `--no-unified` | 跳过统一日志（速度更快） | | `-h, --help` | 帮助 | 需要 macOS 10.12+；使用 `sudo` 运行以获取完整的收集结果。 ## Windows — `windows_ir_collector.ps1` 收集系统信息、事件日志（Security/System/Application/PowerShell/Sysmon/Defender）、持久化机制（Run 键、计划任务、服务、启动项、WMI 订阅）、网络状态、浏览器痕迹（Chrome/Firefox/Edge）、用户活动（最近文件、跳转列表、shellbags、UserAssist、RDP 历史记录）、安全痕迹（Defender、AMSI、Credential Guard）、shell 历史记录（PowerShell/CMD/WSL）、应用程序痕迹（Office MRU、Outlook）、配置/凭证文件以及文件系统元数据（USN Journal、MFT 位置）。 ``` # 基本收集（默认输出到桌面） .\windows\windows_ir_collector.ps1 .\windows\windows_ir_collector.ps1 -OutputDir "C:\IR\Collection" .\windows\windows_ir_collector.ps1 -DryRun .\windows\windows_ir_collector.ps1 -EventLogHours 72 .\windows\windows_ir_collector.ps1 -SkipEventLogs ``` 需要 Windows 10/11 或 Server 2016+，PowerShell 5.1+；建议以管理员权限运行。 ## 注意事项 - 某些痕迹需要提升权限；当在非特权状态下运行时，两个脚本都会发出警告并跳过无法访问的项目，并将详细信息记录到 `error_collection.log` 中。 - **敏感数据：**两个收集器都会收集凭证材料（SSH 密钥、`.aws`、`.kube`、云凭证、`.gnupg`）。请妥善保管生成的归档文件。 - 如需在 Windows 上进行完整的 MFT 提取，请使用专用工具（KAPE、MFTECmd、RawCopy）。 ## 历史 此仓库合并了以前独立的 `mac-ir-collector` 和 `win-ir-collector` 项目；两者的原始提交历史均保留在此处的 `macos/` 和 `windows/` 目录下。 ## 作者 **Orchardroot** — [github.com/orchardroot](https://github.com/orchardroot) ## 许可证 MIT — 查看 [LICENSE](LICENSE)。

标签：AI合规, Bash, HTTP工具, IPv6, Libemu, PB级数据处理, PowerShell, 子域名变形, 安全运维, 库, 应急响应, 应用安全, 数字取证, 无线安全, 日志收集, 自动化脚本