usbrip

usbrip (происходит от «USB Ripper», а не «USB RIP» ?) – это инструмент с открытым исходным кодом с интерфейсом CLI, который позволяет отслеживать артефакты устройства USB (так называемая история событий USB: события «Подключен» и «Отключен») на Linux машинах.

usbrip – это небольшая часть программного обеспечения, написанная на чистом Python 3 (хотя с использованием некоторых внешних модулей, см. Dependencies / PIP), которая анализирует файлы журналов Linux (/var/log/syslog * или /var/log/messages* в зависимости от дистрибутива) для построения таблиц истории событий USB.

Такие таблицы могут содержать следующие столбцы:

«Connected» (дата и время), «User», «VID» (идентификатор поставщика), «PID» (идентификатор продукта), «Product», «Manufacturer», «Serial Number», «Port» и «Disconnected» (дата и время).

Кроме того, он также может:

• экспортировать собранную информацию как дамп JSON (и, разумеется, открывать такие дампы (:);
• генерировать список авторизованных (доверенных) USB-устройств в виде JSON (назван его auth.json);
• поиск «событий нарушения» на основе auth.json: показать (или сгенерировать другой JSON с) USB-устройства, которые появляются в истории и НЕ появляются в auth.json;
• [при установке] создавать зашифрованные хранилища (7zip-архивы) для автоматического резервного копирования и накопления событий USB с помощью утилиты crontab;
  поиск дополнительных сведений о конкретном USB-устройстве по его VID и / или PID.

Установка

git clone https://github.com/snovvcrash/usbrip.git
cd usbrip
python3 -m pip install -r requirements.txt
./install.sh

Предупреждение:

• если вы используете планирование crontab, вы хотите сконфигурировать задание cron с помощью sudo crontab -e, чтобы заставить подмодуль обновления хранилища запускаться от имени пользователя root, а также защитить пароли хранилищ событий USB.
• при использовании опции -s во время установки убедитесь, что системные журналы содержат хотя бы одну запись внешнего USB-устройства. Это необходимое условие для usbrip, чтобы успешно создать список доверенных устройств (и, как следствие, успешно создать хранилище нарушений).

Скрипт uninstall.sh удаляет все артефакты установки из вашей системы.

Использование

Чтобы получить список имен модулей, используйте:

 $ python3 usbrip.py -h 

Чтобы получить список имен субмодулей для конкретного модуля, используйте:

 $ python3 usbrip.py <module> -h 

Чтобы получить список всех переключателей для определенного подмодуля, используйте:

 $ python3 usbrip.py <module> <submodule> -h