falcon-sensor-visibility - Falcon Sensor coverage verification / visibility a

项目说明

falcon-sensor-

CrowdStrike Falcon Sensor 覆盖度核查 / 可见性审计工具(防御性)。

Companion to *Inside the Falcon — How CrowdStrike Catches You*(DbgMan, 2026-07-31)。

这是什么

对 CrowdStrike Falcon Sensor 进行只读覆盖度核查:确认传感器是否已加载、其可观察指纹(内核驱动、用户态进程、Windows 服务、文件系统 MiniFilter、WFP callout、AMSI Provider、ZeroTrust 评估文件)是否与预期一致,并对照原始逆向分析中整理的 12 个结构性盲点输出审计清单。

> 本工具是蓝队/防御用途:只运行只读系统命令,不做任何篡改、规避或禁用 EDR 的操作。如需验证环境能力,请先在测试机上运行。

用法

Windows + Python 3.6+:

部分检查(尤其 netsh wfp show state)需要管理员权限的 shell;非管理员运行时对应项会标记为 SKIP,不会误报为异常。在非 Windows 上运行会全部优雅降级为 SKIP。

检查项

| # | 检查 | 依据(来自逆向分析) |
|---|---|---|
| 1 | 内核驱动 dri | csagent.sys(主力驱动)、cspcm4.sys(Pinned Code Module) |
| 2 | 用户态进程 tasklist | CSFalconService.exe、CSFalconContainer.exe |
| 3 | Windows 服务 sc query | CSFalconService 等服务运行状态 |
| 4 | 文件系统 MiniFilter fltmc filters | MiniFilter 注册状态 |
| 5 | WFP 网络引擎 netsh wfp show state | callout GUID 前缀 4838FD4EC5996155 等 |
| 6 | AMSI Provider 注册表 | HKLM\SOFTWARE\Microsoft\AMSI\Pro |
| 7 | ZeroTrust 评估文件 | %ProgramData%\CrowdStrike\ZeroTrustAssessment\data.zta |
| 8 | 命名管道(PowerShell) | \\.\pipe\CrowdStrike\、\\.\pipe\CS\ |
| 9 | RPC 接口 | UUID 88F4E894-942A-40D8-BA06-89442D8DA600(需 ring-0 内省,仅提示) |

所有指纹均取自 DbgMan 的公开逆向分析,未包含任何绕过/利用代码。

12 个结构性盲点审计

工具输出的最后一部分把原始分析中整理的 12 个结构性盲点(ExGetPre 信任边界、引擎未就绪窗口、10,000 流上限、重置式杀除竞态、静态指纹可枚举等)逐一列出,并标注"可核查 / 不可直接核查"与对应的审计动作,帮助运营团队对照自身部署评估覆盖范围。

参考链接

免责声明

许可

MIT License,Copyright (c) 2026 HackSpeak。原始逆向分析版权归作者 DbgMan 所有。

项目信息

开发语言：Python

Star 数：2

技术要点

该项目属于防护思路方向的开源资源，代码结构清晰，适合安全研究人员学习参考。项目围绕Falcon Sensor coverage verification / visibility audit (defensive) — companion to DbgMan's CrowdStrike teardown; for authorized security testing展开，提供了可运行的实现，对理解相关安全机制、工具原理与攻防技术具有较高的研究价值。

从技术实现角度看，此类项目的核心在于对底层原理的深入理解与工程化落地。开发者在研究过程中可以结合官方文档与社区讨论，梳理项目的初始化流程、核心模块职责与数据流转，逐步掌握其中的技术细节与设计思路。

使用与学习建议

1. 下载源码压缩包，解压到本地环境。

2. 根据项目类型准备对应的运行环境与依赖。

3. 按照 README 中的步骤完成配置与部署。

4. 在隔离的测试环境中运行验证，避免影响生产系统。

免责声明

本资源来源于开源社区，仅供安全研究、技术学习与合法授权范围内的攻防演练使用，请勿用于任何非法或侵害他人权益的用途。使用本项目产生的一切后果由使用者自行承担。