1.1.0で、psortの出力形式としてElasticSearchが追加されました。2013年後半頃から、OSSの検索エンジンであるElasticSearch(http://www.elasticsearch.org/)とそのフロントエンドのKibana(http://www.elasticsearch.org/overview/kibana/)、そしてログデータを収集、管理するlogstath(http://logstash.net/)またはfluentd(http://www.fluentd.org)を組み合わせて、データを可視化するという取り組みが注目を集めています。plasoの組み合わせでタイムライン解析の可視化が可能となります。KibanaはSplunkの代替になるともいわれています。plasoをセットアップするまでの手順を紹介します。基本的には以下のURLに記載されている内容がベースとなっています。3.0にインストールされているplasoのバージョンが1.0.2のため、1.1.0以上にアップデートする必要があります。SIFTのaptレポジトリを追加すれば関連ライブラリを全てaptで扱うことができます。http://plaso.kiddaland.net/developer/building-the-tool/linux)。1)OK以下のコマンド実行は必須ではありませんが、インストールされているplasoのバージョンとアップデート可能なバージョン情報を確認することができます。/var/lib/dpkg/status現在は1.0.2-3がインストールされており、1.1.0へのアップグレードが可能なことがわかります。apt-getコマンドを使ってplasoをアップデートします。python-plaso(出力結果は長いため省略)この時点でアップデートが完了し、バージョンが1.1.0以上になっているはずです。1.1.0ElasticSearchをインストール、起動するElasticSearch公式サイトのダウンロードページからDEBパッケージを入手します。以下はwgetで直接取得する例です。[26930866/26930866]バージョンの部分1.3.2は2014/08/16時点でリリースされている最新のバージョンです。入手したdebパッケージをインストールします。...インストール後に起動します。9300番でリッスンしているはずです。7915/java...(略)PyElasticSearchモジュールをインストールするplasoのElasticSearch形式の出力を扱うためにpyelasticsearchが必要です。gitレポジトリを取得します。done.次にビルドします。'pyelasticsearch.egg-info/SOURCES.txt'root権限でインストールします。pyelasticsearch==0.6.1この段階でElastiSearchのOutputモジュールが有効になっているはずです。outputter.--------------------------------------------------------------------------------Elasticの行があればここまでの手順は正しくできています。KibanaをインストールするKibanaはWebアプリケーションでありWebサーバが必要なため、nginxをインストールします。nginx(出力結果は省略)ElasticSearch公式サイト内のKibanaのページからtar.gzパッケージを入手します。以下はwgetで直接取得する例です。[1,073,033/1,073,033]バージョンの部分3.1.0は2014/08/16時点でリリースされている最新のバージョンです。入手したtar.gzを展開してアクセ可能な場所に配置します(ここでは/usr/share/kibana3に配置)。/usr/share/kibana3/nginxのサンプル用設定ファイルを取得し、有効にします。.設定ファイルを編集してserver_name項目をホスト名に変更しておきます。localhost変更後、nginxを起動します。nginx.これで最低限の設定は完了です。9300)やWebサーバに対するアクセス制限を適切にしなければなりません。ブラウザでlocalhostにアクセスするとkibanaのスタート画面が表示されるはずです。plaso用のサンプルダッシュボードのファイルを入手し、配置します。/usr/share/kibana3/app/dashboards/plaso.jsonブラウザでhttp://localhost/#/dashboard/file/plaso.jsonにアクセスするとplaso用のダッシュボード画面が出てきます。後は、log2timeline等で生成したplasoストレージに対して、psortをElastic出力モジュールに設定して実行します。2008のサンプル証拠ファイルに対して実行した例です。556038ブラウザをリロードすればpsortで処理したイベントが読み込まれます。この後の機能についてはまだ試していませんが、plaso用に用意されているサンプルの設定ファイルを用いた状態でもそれなりに解析等に使えそうです。注意点はplasoがアルファ版と強調しているため、正しくパースできていないイベントがあるということを考慮しなければなりません。