Incident Response

Source: https://github.com/meirwah/awesome-incident-response at bfe8326fbed2
License: Apache-2.0
Read the English original

This edition is an AI-assisted translation.

Awesome Incident Response

Una lista curada de herramientas y recursos para la respuesta a incidentes de seguridad, dirigida a ayudar a analistas y analistas de seguridad DFIR equipos.

Los equipos de Digital Forensics and Incident Response (DFIR) son grupos de personas en una organización responsable de gestionar la respuesta a un incidente de seguridad, incluyendo reunir pruebas del incidente, remediar sus efectos, e implementar controles para evitar que el incidente vuelva a ocurrir en el futuro.

Índice

• Emulación adversaria
• Herramientas todo-en-uno
• Libros
• Comunidades
• Herramientas de creación de imágenes de disco
• Evidence Collection
• Incident Management
• Bases de conocimientos
• Distribución de Linux
• Linux Evidence Collection
• Herramientas de análisis de registros
• Herramientas de análisis de memoria
• Herramientas de imagen de memoria
• OSX Evidence Collection
• Otras listas
• Otras herramientas
• Playbooks
• Herramientas de extracción de procesos
• Herramientas de Sandboxing/Reversing
• Herramientas de escáner
• Herramientas de línea de tiempo
• Videos
• Colección de pruebas de Windows

IR Tools Collection

Emulación adversaria

• APTSimulator - Windows Batch script que utiliza un conjunto de herramientas y archivos de salida para hacer que un sistema parezca como si estuviera comprometido.
• Atomic Red Team (ART) - Pruebas de detección pequeñas y altamente portátiles mapeadas al Marco MITRE ATT.
• AutoTTP - Técnicas y procedimientos de táctica automatizada. Realizar secuencias complejas manualmente para pruebas de regresión, evaluaciones de productos, generar datos para investigadores.
• Caldera - Sistema de emulación de adversarios automatizado que realiza el comportamiento adversario post-compromiso dentro de las redes de Windows Enterprise. Genera planes durante la operación utilizando un sistema de planificación y un modelo de adversario preconfigurado basado en el proyecto Aversarial Tactics, Techniques & Common Knowledge (ATT simultáneamenteCKTM).
• DumpsterFire - Herramienta modular, de menú, multiplataforma para construir eventos de seguridad repetibles, retardados por el tiempo. Cree fácilmente cadenas de eventos personalizadas para perforaciones Blue Team y mapeo de sensores / alerta. Los equipos rojos pueden crear incidentes de decoy, distracciones y señuelos para apoyar y escalar sus operaciones.
• Metta - Herramienta de preparación para la seguridad de la información para hacer simulación adversaria.
• Network Flight Simulator - Utilidad ligera utilizada para generar tráfico de red malicioso y ayudar a los equipos de seguridad a evaluar controles de seguridad y visibilidad de la red.
• Red Team Automation (RTA) - RTA proporciona un marco de scripts diseñados para permitir que los equipos azules prueben sus capacidades de detección contra el oficio malicioso, modelado después de MITRE ATT PulCK.
• RedHunt-OS - Máquina virtual para emulación de adversarios y caza de amenazas.

Herramientas todo-en-uno

• Belkasoft Evidence Center - El toolkit extraerá rápidamente evidencia digital de múltiples fuentes mediante el análisis de discos duros, imágenes de disco, vertederos de memoria, respaldos iOS, Blackberry y Android, UFED, JTAG y vertederos de chip-off.
• CimSweep - Suite de herramientas basadas en CIM/WMI que permiten realizar operaciones de respuesta a incidentes y caza remotamente en todas las versiones de Windows.
• CIRTkit - CIRTKit no es sólo una colección de herramientas, sino también un marco para ayudar en la unificación continua de los procesos de investigación de Incident Response y Forensics.
• Cyber Triage - Cyber Triage recopila y analiza los datos de host para determinar si está comprometido. Su sistema de puntuación y el motor de recomendación le permiten concentrarse rápidamente en los artefactos importantes. Puede importar datos de su herramienta de recogida, imágenes de disco y otros coleccionistas (como KAPE). Puede funcionar en el escritorio de un examinador o en un modelo de servidor. Desarrollado por Sleuth Kit Labs, que también hace Autopsia.
• Cynative - Agente de investigación profunda para su infra - sandboxed, sólo lectura, cubre AWS, GCP, Azure, K8s, GitHub y GitLab.
• Dissect - Dissect es un marco digital de respuesta a incidentes forenses que le permite acceder y analizar rápidamente los artefactos forenses de varios formatos de disco y archivos, desarrollado por Fox-IT (parte del Grupo NCC).
• Doorman - osquery gestor de flotas que permite la gestión remota de configuraciones de osquería recuperadas por nodos. Aprovecha la configuración TLS de osquery, logger y los endpoints de lectura/escritura distribuidos, para dar visibilidad a los administradores en una flota de dispositivos con mínima sobrecarga e intrusividad.
• Falcon Orchestrator - Aplicación ampliable basada en Windows que proporciona automatización de flujo de trabajo, gestión de casos y funcionalidad de respuesta de seguridad.
• Flare - Una distribución de seguridad totalmente personalizable basada en Windows para el análisis de malware, respuesta a incidentes, pruebas de penetración.
• Fleetdm - Plataforma de vigilancia del estado de los anfitriones para expertos en seguridad. Aprovechando el proyecto de osquería de prueba de batalla de Facebook, Fleetdm ofrece actualizaciones continuas, características y respuestas rápidas a grandes preguntas.
• GRR Rapid Response - Marco de respuesta de incidentes centrado en los forenses en directo remotos. Se compone de un agente pitón (cliente) que se instala en los sistemas de destino, y una infraestructura de servidor python que puede gestionar y hablar con el agente. Además del cliente Python API incluido, PowerGRR proporciona una biblioteca cliente API en PowerShell trabajando en Windows, Linux y macOS para la automatización y scripting GRR.
• IRIS - IRIS es una plataforma de colaboración web para analistas de respuesta a incidentes que permite compartir investigaciones a nivel técnico.
• Kuiper - Digital Forensics Investigation Platform
• Limacharlie - Plataforma de seguridad Endpoint compuesta por una colección de pequeños proyectos que trabajan juntos que le da un entorno de bajo nivel (Windows, OSX, Linux, Android e iOS) para gestionar y empujar módulos adicionales en memoria para ampliar su funcionalidad.
• Matano: Open source serverless security lake platform on AWS that lets you ingest, store, and analyse petabytes of security data into an Apache Iceberg data lake and run realtime Python detections as code.
• MozDef - Automatiza el proceso de manejo de incidentes de seguridad y facilita las actividades en tiempo real de los manipuladores de incidentes.
• MutableSecurity - Programa CLI para automatizar la configuración, configuración y uso de soluciones de ciberseguridad.
• nightHawk - Aplicación construida para la presentación asincrónica de datos forenses utilizando ElasticSearch como backend. Está diseñado para ingerir colecciones Redline.
• Open Computer Forensics Architecture - Otro popular marco forense de código abierto. Este marco se construyó en la plataforma Linux y utiliza la base de datos postgreSQL para almacenar datos.
• osquery - Haga preguntas fácilmente sobre su infraestructura Linux y macOS usando un lenguaje de consulta similar a SQL; el proporcionado paquete de respuesta a incidentes le ayuda a detectar y responder a las infracciones.
• Redline - Proporciona capacidades de investigación de host a los usuarios para encontrar signos de actividad maliciosa mediante el análisis de memoria y archivos, y el desarrollo de un perfil de evaluación de amenazas.
• SOC Multi-tool - Una extensión de navegador potente y fácil de usar que simplifica las investigaciones para profesionales de seguridad.
• The Sleuth Kit & Autopsy - Unix y Windows herramienta basada que ayuda en el análisis forense de las computadoras. Viene con varias herramientas que ayudan en los forenses digitales. Estas herramientas ayudan a analizar imágenes de disco, realizar análisis en profundidad de sistemas de archivos y otras cosas.
• TheHive - Scalable 3-in-1 open source and free solution designed to make life easier for SOCs, CSIRTs, CERTs and any information security practitioner dealing with security incidents that need to be investigated and acted upon swiftly.
• VanGuard - Herramienta de respuesta de incidentes multiplataforma con 28 casos de uso preconstruidos en un solo binario de instalación cero. Recoge memoria, disco, red y artefactos en la nube con generación de cronología automatizada.
• Velociraptor - Herramienta de colección y visibilidad de endpoint
• X-Ways Forensics - Herramienta forense para la clonación e imagen de disco. Se puede utilizar para encontrar archivos borrados y análisis de disco.
• Zentral - Combina las potentes características de inventario de endpoint de la osquería con un marco de notificación y acción flexible. Esto permite identificar y reaccionar a los cambios en los clientes de OS X y Linux.

Libros

• Applied Incident Response - El libro de Steve Anson sobre Respuesta de Incidentes.
• Art of Memory Forensics - Detectar Malware y Amenazas en Windows, Linux y Mac Memory.
• Crafting the InfoSec Playbook: Security Monitoring and Incident Response Master Plan - por Jeff Bollinger, Brandon Enright y Matthew Valites.
• Digital Forensics and Incident Response: Incident response techniques and procedures to respond to modern cyber threats - por Gerard Johansen.
• Introduction to DFIR - Por Scott J. Roberts.
• Incident Response & Computer Forensics, Third Edition - La guía definitiva de respuesta a incidentes.
• Incident Response Techniques for Ransomware Attacks - Una gran guía para construir una estrategia de respuesta a incidentes para ataques ransomware. Por Oleg Skulkin.
• Incident Response with Threat Intelligence - Gran referencia para construir un plan de respuesta a incidentes basado también en la Inteligencia de la Amenaza. Por Roberto Martínez.
• Intelligence-Driven Incident Response - Por Scott J. Roberts, Rebekah Brown.
• Operator Handbook: Red Team + OSINT + Blue Team Reference - Gran referencia para emergencias.
• Practical Memory Forensics - La guía definitiva para practicar la memoria forense. Por Svetlana Ostrovskaya y Oleg Skulkin.
• The Practice of Network Security Monitoring: Understanding Incident Detection and Response - El libro de Richard Bejtlich sobre IR.

Comunidades

• Digital Forensics Discord Server - Community of 8,000+ working professionals from Law Enforcement, Private Sector, and Forensic Vendors. ¡Además, muchos estudiantes y hobbyistas! Guía here.
• Slack DFIR channel - Slack DFIR Canal de comunicaciones - Signup here.

Herramientas de creación de imágenes de disco

• AccessData FTK Imager - Herramienta forense cuyo objetivo principal es prever datos recuperables de un disco de cualquier tipo. FTK Imager también puede adquirir memoria en vivo y paging archivo en sistemas de 32bit y 64bit.
• Bitscout - Bitscout de Vitaly Kamluk le ayuda a construir su imagen personalizable totalmente confiable LiveCD/LiveUSB para ser utilizado para forenses digitales remotos (o tal vez cualquier otra tarea de su elección). Está destinado a ser transparente y monitorable por el propietario del sistema, forense, personalizable y compacto.
• GetData Forensic Imager - Programa basado en Windows que adquirirá, convertirá o verificará una imagen forense en uno de los siguientes formatos de archivo forenses comunes.
• Guymager - Imagen forense gratuita para la adquisición de medios en Linux.
• Magnet ACQUIRE - ACQUIRE by Magnet Forensics permite realizar varios tipos de adquisiciones de disco en Windows, Linux y OS X, así como sistemas operativos móviles.

Evidence Collection

• Acquire - Adquirir es una herramienta para reunir rápidamente artefactos forenses de imágenes de disco o un sistema en vivo en un contenedor ligero. Esto hace que Acquire sea una herramienta excelente para, entre otros, acelerar el proceso de triaje forense digital. Utiliza Dissect para reunir esa información del disco crudo, si es posible.
• artifactcollector - El proyecto artifactcollector proporciona un software que recoge artefactos forenses en sistemas.
• bulk_extractor - Herramienta forense de computadora que escanea una imagen de disco, un archivo, o un directorio de archivos y extrae información útil sin analizar el sistema de archivos o estructuras de sistema de archivos. Debido a ignorar la estructura del sistema de archivos, el programa se distingue en términos de velocidad y profundidad.
• Cold Disk Quick Response - Lista simplificada de analizadores para analizar rápidamente un archivo de imagen forense (dd, E01, .vmdk, etc) y nueve informes de salida.
• CyLR - La herramienta CyLR recopila artefactos forenses de hosts con sistemas de archivos NTFS de forma rápida, segura y minimiza el impacto en el host.
• Forensic Artifacts - Repositorio de artefactos forenses digitales
• ir-rescue - Windows Batch script y un script Unix Bash para recopilar datos forenses completos durante la respuesta a incidentes.
• Live Response Collection - Herramienta automatizada que recopila datos volátiles de Windows, OSX y *sistemas operativos basados en nix.
• Margarita Shotgun - Utilidad de línea de comandos (que funciona con o sin instancias de Amazon EC2) para paralelizar la adquisición de memoria remota.
• SPECTR3 - Adquirir, recortar e investigar evidencia remota a través de acceso legible iSCSI
• UAC - UAC (Unix-like Artifacts Collector) es un script de colección Live Response para Incident Response que hace uso de binarios nativos y herramientas para automatizar la colección de artefactos AIX, Android, ESXi, FreeBSD, Linux, macOS, NetBSD, NetScaler, OpenBSD y Solaris.

Incident Management

• Catalyst - Un sistema SOAR gratuito que ayuda a automatizar el manejo de alerta y los procesos de respuesta a incidentes.
• CyberCPR - Herramienta de gestión de incidentes comunitarios y comerciales con Need-to-Know construida para apoyar el cumplimiento del RGPD mientras se manejan incidentes sensibles.
• Cyphon - Cyphon elimina los dolores de cabeza de la gestión de incidentes al racionalizar una multitud de tareas relacionadas a través de una sola plataforma. Recibe, procesos y triages eventos para proporcionar una solución completa para su flujo de trabajo analítico — aggregating data, bundling and prioritizing alerts, and empowering anals to investigate and document incidents.
• CORTEX XSOAR - Plataforma de orquestación, automatización y respuesta de seguridad de Paloalto con gestión completa del ciclo de vida de Incidentes y muchas integraciones para mejorar las automatizaciónes.
• DFTimewolf - Marco para orquestar la recolección, procesamiento y exportación de datos forenses.
• DFIRTrack - Incident Response tracking application handling one or more incidents via cases and tasks with a lot of affected systems and artifacts.
• Fast Incident Response (FIR) - Plataforma de gestión de incidentes de ciberseguridad diseñada con agilidad y velocidad en mente. Permite crear fácilmente, rastrear y reportar incidentes de ciberseguridad y es útil para CSIRTs, CERTs y SOCs por igual.
• RTIR - Request Tracker for Incident Response (RTIR) es el principal sistema de manipulación de incidentes de código abierto dirigido a equipos de seguridad informática. Trabajamos con más de una docena de equipos CERT y CSIRT en todo el mundo para ayudarle a manejar el volumen cada vez mayor de informes de incidentes. RTIR se basa en todas las características de Request Tracker.
• Sandia Cyber Omni Tracker (SCOT) - Incident Response collaboration and knowledge capture tool focused on flexibility and ease of use. Nuestro objetivo es añadir valor al proceso de respuesta al incidente sin cargar al usuario.
• Shuffle - Una plataforma de automatización de seguridad de propósito general centrada en la accesibilidad.
• threat_note - Ligero cuaderno de investigación que permite a los investigadores de seguridad la capacidad de registrar y recuperar indicadores relacionados con su investigación.
• Zenduty - Zenduty es una nueva plataforma de gestión de incidentes que proporciona alertas de incidentes de extremo a extremo, orquestación de respuesta y gestión de locales, dando a los equipos mayor control y automatización sobre el ciclo de vida de gestión de incidentes.

Bases de conocimientos

• Digital Forensics Artifact Knowledge Base - Digital Forensics Artifact Knowledge Base
• Windows Events Attack Samples - Ventanas Eventos Ataque Muestras
• Windows Registry Knowledge Base - Base de conocimientos del Registro de Windows

Distribución de Linux

• The Appliance for Digital Investigation and Analysis (ADIA) - VMware-based appliance used for digital investigation and acquisition and is built entirely from public domain software. Entre las herramientas contenidas en ADIA se encuentran Autopsia, el Kit Sleuth, el Marco Forense Digital, log2timeline, Xplico y Wireshark. La mayoría del mantenimiento del sistema utiliza Webmin. Está diseñado para investigaciones y adquisiciones digitales de tamaño pequeño a medio. El dispositivo se ejecuta bajo Linux, Windows y Mac OS. Tanto i386 (32-bit) como x86_64 (64-bit) versiones están disponibles.
• Computer Aided Investigative Environment (CAINE) - Contiene numerosos instrumentos que ayudan a los investigadores durante su análisis, incluida la recopilación de pruebas forenses.
• CCF-VM - CyLR CDQR Máquina Virtual Forense (CCF-VM): Una solución completa para analizar los datos recogidos, lo que facilita la búsqueda con búsquedas comunes incorporadas, permite la búsqueda de hosts individuales y múltiples simultáneamente.
• NST - Network Security Toolkit - Distribución Linux que incluye una vasta colección de aplicaciones de seguridad de red de código abierto de mejor calidad útiles para el profesional de seguridad de la red.
• NullSec Linux - Distribución Linux centrada en la seguridad con 140+ herramientas de seguridad forense y ofensiva preinstaladas, núcleo endurecido personalizado y flujos de trabajo de respuesta integrada.
• PALADIN - Distribución de Linux modificada para realizar diversas tareas forenses de una manera forense sólida. Viene con muchas herramientas forenses de código abierto incluidas.
• Security Onion - Distro especial de Linux dirigido a monitoreo de seguridad de red con herramientas de análisis avanzadas.
• SANS Investigative Forensic Toolkit (SIFT) Workstation - Demuestra que las capacidades avanzadas de respuesta a incidentes y las técnicas forenses digitales de inmersión profunda a las intrusiones pueden lograrse utilizando herramientas de código abierto de vanguardia que están disponibles libremente y se actualizan con frecuencia.

Linux Evidence Collection

• FastIR Collector Linux - FastIR para Linux recopila diferentes artefactos en Linux en vivo y registra los resultados en archivos CSV.
• MAGNET DumpIt - Herramienta de código abierto para la adquisición de memoria rápida para Linux escrita en Rust. Generar descargas de memoria completa de máquinas Linux.

Herramientas de análisis de registros

• AppCompatProcessor - AppCompatProcessor ha sido diseñado para extraer valor adicional de los datos AppCompat / AmCache de toda la empresa más allá de las técnicas clásicas de apilado y de aglomeración.
• APT Hunter - APT-Hunter es la herramienta de caza de amenazas para los registros de eventos de ventanas.
• Chainsaw - Chainsaw proporciona una poderosa capacidad de ‘primera respuesta’ para identificar rápidamente amenazas dentro de los registros de eventos de Windows.
• Event Log Explorer - Herramienta desarrollada para analizar rápidamente los archivos de registro y otros datos.
• Event Log Observer - Ver, analizar y monitorear eventos registrados en los registros de eventos de Microsoft Windows con esta herramienta GUI.
• Hayabusa - Hayabusa es un registro de eventos de Windows generador de línea temporal forense rápida y herramienta de caza de amenazas creada por el grupo Yamato Security en Japón.
• Kaspersky CyberTrace - Herramienta de fusión y análisis de inteligencia de amenazas que integra los datos de amenazas con soluciones SIEM. Los usuarios pueden aprovechar de inmediato la información sobre amenazas para la vigilancia de la seguridad y el informe sobre incidentes (IR) en el flujo de trabajo de sus operaciones de seguridad existentes.
• Log Parser Lizard - Realizar consultas SQL contra datos de registro estructurados: registros de servidores, Windows Events, sistema de archivos, Active Directory, log4net logs, texto separado coma/tab, archivos XML o JSON. También proporciona un GUI a Microsoft LogParser 2.2 con potentes elementos de interfaz de usuario: editor de sintaxis, cuadrícula de datos, tabla de pivotes, panel de control, gestor de consultas y más.
• Lorg - Herramienta para el análisis avanzado de seguridad de los archivos de HTTPD y forenses.
• Logdissect - Utilidad CLI y API Python para analizar archivos de registro y otros datos.
• NullSec LogReaper - Análisis de registros de alta velocidad y herramienta forense con pares multiformato, emparejamiento de patrones, reconstrucción de línea de tiempo y detección de anomalías para respuesta a incidentes.
• LogonTracer - Herramienta para investigar el logo malicioso de Windows visualizar y analizar el registro de eventos de Windows.
• Sigma - Formato de firma genérico para los sistemas SIEM ya conteniendo un extenso ruleset.
• StreamAlert - Marco de análisis de datos de registro en tiempo real, capaz de ingerir fuentes de datos personalizadas y activar alertas usando lógica definida por el usuario.
• SysmonSearch - SysmonSearch hace que el análisis de registro de eventos de Windows sea más eficaz y con menos tiempo consumiendo por agregación de registros de eventos.
• WELA - Windows Event Log Analyzer pretende ser el cuchillo del ejército suizo para los registros de eventos de Windows.
• Zircolite - Una herramienta de detección independiente y rápida basada en SIGMA para EVTX o JSON.

Herramientas de análisis de memoria

• AVML - Una herramienta de adquisición de memoria volátil portátil para Linux.
• Evolve - Interfaz web para el Marco de la Memoria de Volatilidad.
• inVtero.net - Análisis avanzado de memoria para Windows x64 con soporte de hipervisor anidado.
• LiME - Módulo de kernel Loadable (LKM), que permite la adquisición de memoria volátil de dispositivos basados en Linux y Linux, anteriormente denominado DMD.
• MalConfScan - MalConfScan es un plugin de volatilidad extrae datos de configuración de malware conocido. La volatilidad es un marco forense de memoria de código abierto para la respuesta de incidentes y el análisis de malware. Esta herramienta busca malware en imágenes de memoria y datos de configuración de dumps. Además, esta herramienta tiene una función para enumerar cadenas a las que se refiere el código malicioso.
• Memoryze - Software forense de memoria libre que ayuda a los socorristas a encontrar el mal en la memoria en vivo. Memoryze puede adquirir y/o analizar imágenes de memoria, y en sistemas en vivo, puede incluir el archivo de paging en su análisis.
• Memoryze for Mac - Memoryze para Mac es Memoryze pero luego para Macs. Sin embargo, un menor número de características.
• [MemProcFS]https://github.com/ufrisk/MemProcFS) - MemProcFS es una manera fácil y conveniente de ver la memoria física como archivos en un sistema de archivos virtual.
• Orochi - Orochi es un marco de código abierto para el análisis de la memoria forense colaborativo.
• Rekall - Herramienta de código abierto (y biblioteca) para la extracción de artefactos digitales de muestras de memoria volátil (RAM).
• Volatility - Marco forense de memoria avanzada.
• Volatility 3 - El marco de extracción de memoria volátil (éctor de volatilidad)
• VolatilityBot - Herramienta de automatización para investigadores corta todas las tareas de adivinanza y manual fuera de la fase de extracción binaria, o para ayudar al investigador en los primeros pasos de realizar una investigación de análisis de memoria.
• VolDiff - Malware Memory Footprint Análisis basado en la volatilidad.
• WindowsSCOPE - Memoria forense y herramienta de ingeniería inversa utilizada para analizar la memoria volátil que ofrece la capacidad de analizar el kernel de Windows, controladores, DLLs y memoria virtual y física.

Herramientas de imagen de memoria

• Belkasoft Live RAM Capturer - Pequeña herramienta forense gratuita para extraer de forma fiable todo el contenido de la memoria volátil del ordenador – incluso si está protegido por un sistema antidepuración o antidumping activo.
• Linux Memory Grabber - Script para volcar la memoria de Linux y crear perfiles de volatilidad.
• MAGNET DumpIt - Herramienta de adquisición de memoria rápida para Windows (x86, x64, ARM64). Generar descargas de memoria completa de máquinas Windows.
• Magnet RAM Capture - Herramienta de imagen gratuita diseñada para capturar la memoria física del ordenador del sospechoso. Soporta versiones recientes de Windows.
• OSForensics - Herramienta para adquirir memoria en vivo en sistemas de 32 bits y 64 bits. Se puede hacer un vertedero del espacio de memoria de un proceso individual o del vertedero de memoria física.

OSX Evidence Collection

• Knockknock - Muestra elementos persistentes (scriptos, comandos, binarios, etc.) que se establecen para ejecutar automáticamente en OSX.
• macOS Artifact Parsing Tool (mac_apt) - Marco forense basado en Plugin para el triaje rápido de mac que funciona en máquinas en vivo, imágenes de disco o archivos de artefacto individuales.
• OSX Auditor - Herramienta forense gratuita de Mac OS X.
• OSX Collector - Solución de salida del auditor OSX para respuesta en vivo.
• The ESF Playground - Una herramienta para ver los eventos en Apple Endpoint Security Framework (ESF) en tiempo real.

Otras listas

• Awesome Event IDs - Recopilación de los recursos de identificación de eventos útiles para Digital Forensics and Incident Response.
• Awesome Forensics - Una lista curada de impresionantes herramientas y recursos de análisis forense.
• Didier Stevens Suite - Colección de herramientas
• Eric Zimmerman Tools - Una lista actualizada de herramientas forenses creadas por Eric Zimmerman, instructor del Instituto SANS.
• List of various Security APIs - Lista colectiva de API públicas JSON para uso en seguridad.

Otras herramientas

• Cortex - Cortex le permite analizar observables como IP y direcciones de correo electrónico, URLs, nombres de dominio, archivos o hashes uno por uno o en modo masivo utilizando una interfaz web. Los analistas también pueden automatizar estas operaciones utilizando su API REST.
• Crits - Herramienta basada en la web que combina un motor analítico con una base de datos de amenazas cibernéticas.
• Diffy - Herramienta DFIR desarrollada por el SIRT de Netflix que permite que un investigador alcance rápidamente un compromiso a través de las instancias de la nube (Linux instances on AWS, actualmente) durante un incidente y recortar eficientemente esas instancias para acciones de seguimiento mostrando diferencias contra una base de referencia.
• domfind - Python DNS rastreador para encontrar nombres de dominio idénticos bajo diferentes TLDs.
• Fileintel - Saca inteligencia por archivo hash.
• HELK - Plataforma de caza de amenazas.
• Hindsight - Historia de Internet forenses para Google Chrome / Cromo.
• Hostintel - Saca inteligencia por huésped.
• IPASIS - API de reputación IP en tiempo real y validación de correo electrónico para investigar interacciones sospechosas. Devuelve una puntuación de confianza de interacción (0-100) que combina la detección de VPN/proxy/Tor con la evaluación del riesgo de email en una sola llamada de API.
• imagemounter - La utilidad de la línea de comandos y el paquete Python para facilitar el (un) montaje de imágenes de disco forense.
• Kansa - Marco de respuesta de incidentes modulares en PowerShell.
• MFT Browser - MFT directorio árbol reconstrucción > información récord.
• Munin - Checker en línea para VirusTotal y otros servicios.
• PowerSponse - PowerSponse es un módulo PowerShell centrado en la contención y remediación específicas durante la respuesta a incidentes de seguridad.
• PyaraScanner - Muy simple multi-threaded muchas-rules a muchos-files YARA escanear Python script para zoológicos de malware y IR.
• rastrea2r - Permite escanear discos y memoria para COI usando YARA en Windows, Linux y OS X.
• RaQet - Una herramienta de adquisición remota y triaging no convencional que permite triturar un disco de un equipo remoto (cliente) que se reinicia con un sistema operativo forense construido a propósito.
• Raccine - Una protección simple Ransomware
• Stalk - Recoger datos forenses sobre MySQL cuando ocurren problemas.
• Scout2 - Herramienta de seguridad que permite a los administradores de Amazon Web Services evaluar la postura de seguridad de su entorno.
• Stenographer - Solución de captura de paquete que pretende recortar rápidamente todos los paquetes al disco, luego proporcionar acceso rápido y sencillo a los subconjuntos de esos paquetes. Almacena tanto la historia como sea posible, manejando el uso del disco y eliminando cuando se golpean los límites del disco. Es ideal para capturar el tráfico justo antes y durante un incidente, sin la necesidad explícita de almacenar todo el tráfico de la red.
• sqhunter - Cazador de amenazas basado en osquery y Salt Open (SaltStack) que pueden emitir consultas ad-hoc o distribuidas sin necesidad de plugin tls de osquery. sqhunter le permite buscar enchufes de red abiertos y comprobarlos contra fuentes de inteligencia amenazadas.
• sysmon-config - Plantilla de archivo de configuración de Sysmon con localización de eventos de alta calidad predeterminada
• sysmon-modular - Un repositorio de módulos de configuración de sismón
• traceroute-circl - Trazado extendido para apoyar las actividades de los operadores de CSIRT (o CERT). Por lo general, el equipo de CSIRT tiene que manejar incidentes basados en direcciones IP recibidas. Creado por Computer Emergency Response Center Luxemburgo.
• X-Ray 2.0 - Utilidad de Windows (poorly maintained or no longer maintained) para enviar muestras de virus a proveedores AV.

Playbooks

• AWS Incident Response Runbook Samples - AWS IR Runbook Muestras destinadas a ser personalizado por cada entidad que los utiliza. Las tres muestras son: “Ataque de DoS o DDoS”, “expersión potencial”, y “acceso no deseado a un cubo de Amazon S3”.
• Counteractive Playbooks - Colección de PLaybooks contraactivos.
• GuardSIght Playbook Battle Cards - Una colección de tarjetas de batalla de la respuesta de incidentes cibernéticos
• IRM - Métodos de respuesta de incidentes por CERT Societe Generale.
• PagerDuty Incident Response Documentation - Documentos que describen partes del proceso PagerDuty Incident Response. Proporciona información no sólo sobre la preparación para un incidente, sino también qué hacer durante y después. La fuente está disponible GitHub.
• Phantom Community Playbooks - Phantom Community Playbooks para Splunk pero también personalizable para otro uso.
• ThreatHunter-Playbook - Playbook para ayudar al desarrollo de técnicas e hipótesis para campañas de caza.

Herramientas de extracción de procesos

• Microsoft ProcDump - Bombas cualquier funcionamiento Win32 procesa la imagen de memoria en la mosca.
• PMDump - Herramienta que le permite depositar el contenido de memoria de un proceso a un archivo sin detener el proceso.

Herramientas de Sandboxing/Reversing

• Any Run - Servicio interactivo de análisis de malware en línea para la investigación dinámica y estática de la mayoría de los tipos de amenazas utilizando cualquier entorno.
• CAPA - detecta capacidades en archivos ejecutables. Lo ejecutas contra un archivo PE, ELF, .NET o shellcode y te dice lo que piensa que el programa puede hacer.
• CAPEv2 - Configuración de malware y extracción de carga.
• Cuckoo - Fuente abierta Herramienta de sandboxing altamente configurable.
• Cuckoo-modified - Heavily modificado Cuckoo tenedor desarrollado por la comunidad.
• Cuckoo-modified-api - Biblioteca Python para controlar una caja de arena modificada de cuco.
• Cutter - Plataforma de ingeniería inversa de código libre y abierto propulsada por rizin.
• Ghidra - Programa Marco de ingeniería inversa.
• Hybrid-Analysis - Libre potente caja de arena en línea por CrowdStrike.
• Intezer - Intezer Analyze invierte en binarios de Windows para detectar similitudes de microcódigo a amenazas conocidas, con el fin de proporcionar resultados precisos pero fáciles de entender.
• Joe Sandbox (Community) - Joe Sandbox detecta y analiza posibles archivos maliciosos y URLs en Windows, Android, Mac OS, Linux e iOS para actividades sospechosas; proporcionando informes de análisis completos y detallados.
• Mastiff - Marco de análisis estadístico que automatiza el proceso de extracción de características clave de varios formatos de archivo diferentes.
• Metadefender Cloud - Plataforma de inteligencia de amenazas gratuitas que proporciona multicanning, saneamiento de datos y evaluación de vulnerabilidad de archivos.
• Radare2 - Marco de ingeniería inversa y herramientas de línea de comandos.
• Reverse.IT - Dominio alternativo para la herramienta híbrido-análisis proporcionado por CrowdStrike.
• Rizin - Marco de ingeniería inversa de UNIX y conjunto de herramientas de línea de comandos
• StringSifter - Una herramienta de aprendizaje automático que clasifica cadenas basadas en su relevancia para el análisis de malware.
• Threat.Zone - Plataforma de análisis de amenazas basadas en la nube que incluye sandbox, CDR y análisis interactivo para investigadores.
• Valkyrie Comodo - Valkyrie utiliza el comportamiento de tiempo de ejecución y cientos de características de un archivo para realizar análisis.
• Viper - Marco de análisis binario basado en Python, que funciona bien con Cuckoo y YARA.
• Virustotal - Servicio gratuito en línea que analiza archivos y URLs que permiten la identificación de virus, gusanos, troyanos y otros tipos de contenido malicioso detectados por motores antivirus y escáneres web.
• Visualize_Logs - Biblioteca de visualización de código abierto y herramientas de línea de comandos para registros (Cuckoo, Procmon, más por venir).
• Yomi - Free MultiSandbox gestionado y acogido por Yoroi.

Herramientas de escáner

• Fenrir - Escáner IOC simple. Permite escanear cualquier sistema Linux/Unix/OSX para COI en bash simple. Creado por los creadores de THOR y LOKI.
• LOKI - Escáner IR gratuito para escanear endpoint con reglas yara y otros indicadores (IOCs).
• Spyre - Sencillo escáner IOC basado en YARA escrito en Go

Herramientas de línea de tiempo

• Aurora Incident Response - Platform developed to build easily a detailed timeline of an incident.
• Highlighter - Herramienta gratuita disponible desde Fire/Mandiant que mostrará el archivo log/text que puede resaltar áreas en el gráfico, que correspondió a una palabra clave o frase. Bien por el tiempo recubriendo una infección y lo que se hizo después del compromiso.
• Morgue - Aplicación web PHP por Etsy para gestionar postmortems.
• Plaso - un motor de backend basado en Python para el log2timeline herramienta.
• Timesketch - Herramienta de código abierto para el análisis de cronogramas forenses colaborativos.

Videos

• The Future of Incident Response - Presentado por Bruce Schneier en OWASP AppSecUSA 2015.

Colección de pruebas de Windows

• AChoir - Marco / herramienta de selección para estandarizar y simplificar el proceso de scripting utilidades de adquisición en vivo para Windows.
• Crowd Response - Aplicación de consola de Windows ligera diseñada para ayudar en la reunión de información del sistema para la respuesta de incidentes y compromisos de seguridad. Cuenta con numerosos módulos y formatos de salida.
• Cyber Triage - Cyber Triage tiene una herramienta de recogida ligera que es gratuita. Recopila archivos fuente (como urticaria de registro y registros de eventos), pero también los analiza en el host en vivo para que también pueda recoger los ejecutables que los elementos de inicio, programados, tareas, etc. se refieren. Su salida es un archivo JSON que se puede importar en la versión gratuita de Cyber Triage. Cyber Triage está hecho por Sleuth Kit Labs, que también hace Autopsia.
• DFIR ORC - DFIR ORC es una colección de herramientas especializadas dedicadas a analizar y recoger artefactos críticos como el MFT, urticaria de registro o registros de eventos. DFIR ORC recopila datos, pero no lo analiza: no está destinado a recortar máquinas. Proporciona una instantánea forense relevante de máquinas que ejecutan Microsoft Windows. El código se puede encontrar en GitHub.
• FastIR Collector - Herramienta que recoge diferentes artefactos en sistemas Windows en vivo y registra los resultados en archivos csv. Con los análisis de estos artefactos, se puede detectar un compromiso temprano.
• Fibratus - Herramienta para la exploración y localización del kernel de Windows.
• Hoarder - Recopilar los artefactos más valiosos para investigaciones forenses o de respuesta a incidentes.
• IREC - Todo en uno IR Evidence Collector que captura RAM Image, $MFT, EventLogs, WMI Scripts, Registry Hives, System Restore Points y mucho más. Es GRATIS, relámpago rápido y fácil de usar.
• Invoke-LiveResponse - Invoke-LiveResponse es una herramienta de respuesta en vivo para la colección dirigida.
• IOC Finder - Herramienta gratuita de Mandiant para recopilar datos del sistema anfitrión y reportar la presencia de Indicadores de Compromiso (IOCs). Soporte sólo para Windows. Ya no se mantiene. Sólo totalmente compatible con Windows 7 / Windows Server 2008 R2.
• IRTriage - Triage de respuesta de incidentes - Colección de pruebas de Windows para análisis forense.
• KAPE - Kroll Artifact Parser y Extractor (KAPE) por Eric Zimmerman. Una herramienta de triage que encuentra los artefactos digitales más frecuentes y luego los analiza rápidamente. Grande y minucioso cuando el tiempo es de la esencia.
• LOKI - Escáner IR gratuito para escanear endpoint con reglas yara y otros indicadores (IOCs).
• MEERKAT - Triage basado en PowerShell y caza de amenazas para Windows.
• Panorama - Resumen del incidente rápido en sistemas Windows en vivo.
• PowerForensics - Plataforma forense de disco en vivo, utilizando PowerShell.
• PSRecon - PSRecon recopila datos de un host remoto de Windows usando PowerShell (v2 o posterior), organiza los datos en carpetas, tiene todos los datos extraídos, tiene PowerShell y varias propiedades del sistema, y envía los datos al equipo de seguridad. Los datos pueden ser empujados a una parte, enviados por correo electrónico o retenidos localmente.
• RegRipper - Herramienta de código abierto, escrita en Perl, para la extracción/parificación de información (keys, valores, datos) de la Secretaría y presentarla para su análisis.