Incident Response

Source: https://github.com/meirwah/awesome-incident-response at bfe8326fbed2
License: Apache-2.0
Read the English original

This edition is an AI-assisted translation.

Réponse exceptionnelle à l’incident

Une liste d’outils et de ressources pour l’intervention en cas d’incident de sécurité, destinée à aider les analystes de la sécurité et DFIR les équipes.

Les équipes de police judiciaire numérique et d’intervention en cas d’incident sont des groupes de personnes dans une organisation responsable de la gestion de l’intervention en cas d’incident de sécurité, y compris la collecte de preuves de l’incident, l’assainissement de ses effets et la mise en place de contrôles pour empêcher que l’incident ne se reproduise à l’avenir.

Sommaire

• Emulation d’adversaires
• Outils tout-en-un
• Livres
• Communautés
• Outils de création d’image de disque
• Collecte de preuves
• Gestion des incidents
• Bases de connaissances
• Distributions Linux
• Collection de preuves Linux
• Outils d’analyse des journaux
• Outils d’analyse de mémoire
• Outils d’imagerie mémoire
• Collecte de preuves OSX
• Autres listes
• Autres outils
• Livres de lecture
• Outils à décharge de processus
• Outils de bac à sable/renversement
• Outils de numérisation
• Outils de chronologie
• Vidéos
• Collecte de preuves Windows

Collection d’outils IR

Emulation d’adversaires

• APTSimulator - Windows Batch script qui utilise un ensemble d’outils et de fichiers de sortie pour faire un système comme s’il était compromis.
• Atomic Red Team (ART) - Des tests de détection de petite taille et très portatifs ont été cartographiés dans le cadre MITRE ATT&CK.
• AutoTTP - Techniques et procédures tactiques automatisées. Relancer manuellement des séquences complexes pour les tests de régression, les évaluations de produits, générer des données pour les chercheurs.
• Caldera - Système automatisé d’émulation adversaire qui effectue un comportement adversaire post-compromis au sein des réseaux Windows Enterprise. Il génère des plans en cours d’exploitation à l’aide d’un système de planification et d’un modèle d’adversaire préconfiguré basé sur le projet de tactique, de techniques et de connaissances communes (ATT&CKTM).
• DumpsterFire - Outil modulaire, à menus, multiplateforme pour la construction d’événements de sécurité reproductibles, retardés et distribués. Créez facilement des chaînes d’événements personnalisées pour les perceuses Blue Team et la cartographie de capteur / alerte. Les équipes rouges peuvent créer des incidents de leurres, des distractions et des leurres pour soutenir et étendre leurs opérations.
• Metta - Outil de préparation à la sécurité de l’information pour faire la simulation contradictoire.
• Network Flight Simulator - Utilitaire léger utilisé pour générer du trafic réseau malveillant et aider les équipes de sécurité à évaluer les contrôles de sécurité et la visibilité du réseau.
• Red Team Automation (RTA) - RTA fournit un cadre de scripts conçus pour permettre aux équipes bleues de tester leurs capacités de détection contre les embarcations malveillantes, modélisées après MITRE ATT&CK.
• RedHunt-OS - Machine virtuelle pour l’émulation adverse et la chasse aux menaces.

Outils tout-en-un

• Belkasoft Evidence Center - La boîte à outils va rapidement extraire des preuves numériques de plusieurs sources en analysant les disques durs, les images de disque, les sauvegardes mémoire, iOS, Blackberry et Android sauvegardes, UFED, JTAG et puce-off dumps.
• CimSweep - Suite d’outils basés sur CIM/WMI qui permettent d’effectuer des interventions d’incident et des opérations de chasse à distance dans toutes les versions de Windows.
• CIRTkit - CIRTKit n’est pas seulement une collection d’outils, mais aussi un cadre pour aider à l’unification continue des processus d’intervention en cas d’incident et d’enquête médico-légale.
• Cyber Triage - Cyber Triage recueille et analyse les données hôtes pour déterminer si elles sont compromises. Il est système de notation et moteur de recommandation vous permettent de vous concentrer rapidement sur les artefacts importants. Il peut importer des données de son outil de collecte, des images de disque et d’autres collecteurs (comme KAPE). Il peut fonctionner sur le bureau d’un examinateur ou dans un modèle de serveur. Développé par Sleuth Kit Labs, qui fabrique également l’autopsie.
• Cynative - Agent de recherche profond pour votre infra - Sableboxed, en lecture seule, couvre AWS, GCP, Azure, K8s, GitHub et GitLab.
• Dissect - Dissect est un cadre et un ensemble d’outils d’intervention en cas d’incident et de criminalistique numérique qui vous permet d’accéder rapidement et d’analyser des artefacts médico-légaux à partir de différents formats de disques et de fichiers, développés par Fox-IT (partie du groupe NCC).
• Doorman - gestionnaire de flotte d’osquery qui permet la gestion à distance des configurations d’osquery récupérées par les nœuds. Il profite de la configuration TLS d’osquery, de logger et de terminaux de lecture/écriture distribués, pour donner une visibilité aux administrateurs sur une flotte d’appareils avec un minimum de frais généraux et d’intrusion.
• Falcon Orchestrator - Application extensible basée sur Windows qui fournit l’automatisation du flux de travail, la gestion de cas et la fonctionnalité de réponse de sécurité.
• Flare - Une distribution de sécurité entièrement personnalisable, basée sur Windows pour l’analyse de logiciels malveillants, la réponse incidente, les tests de pénétration.
• Fleetdm - Plateforme de surveillance de l’état de la technique pour les hôtes adaptée aux experts en sécurité. Grâce au projet d’osquerie éprouvé par Facebook, Fleetdm offre des mises à jour continues, des fonctionnalités et des réponses rapides aux grandes questions.
• GRR Rapid Response - Le cadre d’intervention en cas d’incident était axé sur la médecine légale en direct à distance. Il se compose d’un agent python (client) qui est installé sur les systèmes cibles, et d’une infrastructure de serveur python qui peut gérer et parler à l’agent. Outre le client API Python inclus, PowerGRR fournit une bibliothèque client d’API dans PowerShell travaillant sur Windows, Linux et macOS pour l’automatisation et le script de GRR.
• IRIS - IRIS est une plateforme de collaboration en ligne pour les analystes d’intervention en cas d’incident permettant de partager les enquêtes au niveau technique.
• Kuiper - Plateforme d’enquête médico-légale numérique
• Limacharlie - Endpoint security plate-forme composée d’une collection de petits projets tous ensemble qui vous donne un environnement de bas niveau multiplateforme (Windows, OSX, Linux, Android et iOS) pour gérer et pousser des modules supplémentaires dans la mémoire afin d’étendre sa fonctionnalité.
• Matano: Ouvrez la plate-forme du lac de sécurité sans serveur sur AWS qui vous permet d’ingérer, de stocker et d’analyser des petaoctets de données de sécurité dans un lac de données Apache Iceberg et d’exécuter des détections Python en temps réel comme code.
• MozDef - Automatise le processus de gestion des incidents de sécurité et facilite les activités en temps réel des responsables des incidents.
• MutableSecurity - Programme CLI pour automatiser l’installation, la configuration et l’utilisation des solutions de cybersécurité.
• nightHawk - Application construite pour la présentation de données médico-légales asynchrones en utilisant ElasticSearch comme moteur. Il est conçu pour ingérer les collections Redline.
• Open Computer Forensics Architecture - Un autre cadre populaire distribué de l’informatique libre. Ce cadre a été construit sur la plate-forme Linux et utilise la base de données postgreSQL pour stocker les données.
• osquery - Posez facilement des questions sur votre infrastructure Linux et macOS en utilisant un langage de requête similaire à SQL; le fourni trousse d’intervention vous aide à détecter les violations et à y répondre.
• Redline - Fournit aux utilisateurs des capacités d’enquête d’accueil pour trouver des signes d’activité malveillante par l’analyse de la mémoire et des fichiers, et l’élaboration d’un profil d’évaluation des menaces.
• SOC Multi-tool - Une extension de navigateur puissante et conviviale qui rationalise les enquêtes pour les professionnels de la sécurité.
• The Sleuth Kit & Autopsy - Unix et Windows outil basé qui aide à l’analyse médico-légale des ordinateurs. Il est livré avec divers outils qui aident dans la médecine légale numérique. Ces outils aident à analyser les images sur disque, à effectuer une analyse approfondie des systèmes de fichiers et d’autres choses.
• TheHive - Solution open source et libre scalable 3-en-1 conçue pour faciliter la vie des COS, des CSIRT, des CERT et de tout praticien de la sécurité de l’information traitant d’incidents de sécurité qui doivent faire l’objet d’enquêtes et d’interventions rapides.
• VanGuard - Boîte à outils multiplateforme avec 28 cas d’utilisation préconstruits dans un seul binaire zéro installation. Recueille des artefacts de mémoire, de disque, de réseau et de nuage avec génération de timeline automatisée.
• Velociraptor - Visibilité de l’extrémité et outil de collecte
• X-Ways Forensics - Outil médico-légal pour le clonage de disques et l’imagerie. Il peut être utilisé pour trouver les fichiers supprimés et l’analyse de disque.
• Zentral - Combine les puissantes caractéristiques de l’inventaire des paramètres d’osquery avec un cadre de notification et d’action souple. Cela permet d’identifier et de réagir aux changements sur les clients OS X et Linux.

Livres

• Applied Incident Response - Le livre de Steve Anson sur la réponse aux incidents.
• Art of Memory Forensics - Détection des logiciels malveillants et des menaces dans Windows, Linux et Mac Memory.
• Crafting the InfoSec Playbook: Security Monitoring and Incident Response Master Plan - par Jeff Bollinger, Brandon Enright et Matthew Valites.
• Digital Forensics and Incident Response: Incident response techniques and procedures to respond to modern cyber threats - par Gérard Johansen.
• Introduction to DFIR - Par Scott J. Roberts.
• Incident Response & Computer Forensics, Third Edition - Le guide définitif d’intervention en cas d’incident.
• Incident Response Techniques for Ransomware Attacks - Un excellent guide pour construire une stratégie de réponse incidente pour les attaques ransomware. Par Oleg Skulkin.
• Incident Response with Threat Intelligence - Une excellente référence à l’élaboration d’un plan d’intervention en cas d’incident basé également sur le renseignement de menace. Par Roberto Martinez.
• Intelligence-Driven Incident Response - Par Scott J. Roberts, Rebekah Brown.
• Operator Handbook: Red Team + OSINT + Blue Team Reference - Excellente référence pour les intervenants.
• Practical Memory Forensics - Le guide définitif de la médecine légale de la mémoire. Par Svetlana Ostrovskaya et Oleg Skulkin.
• The Practice of Network Security Monitoring: Understanding Incident Detection and Response - Le livre de Richard Bejtlich sur les IR.

Communautés

• Digital Forensics Discord Server - Communauté de plus de 8 000 professionnels de l’application de la loi, du secteur privé et de la médecine légale. De plus, beaucoup d’étudiants et d’amateurs! Guide here.
• Slack DFIR channel - Slack DFIR Voie de communication - Signup here.

Outils de création d’image de disque

• AccessData FTK Imager - Outil médico-légal dont le but principal est de prévisualiser les données récupérables à partir d’un disque de tout type. FTK Imager peut également acquérir une mémoire en direct et un fichier de recherche sur les systèmes 32bit et 64bit.
• Bitscout - Bitscout by Vitaly Kamluk vous aide à construire votre image LiveCD/LiveUSB entièrement personnalisable pour être utilisé pour la médecine légale numérique à distance (ou peut-être toute autre tâche de votre choix). Il est conçu pour être transparent et contrôlable par le propriétaire du système, scientifiquement sain, personnalisable et compact.
• GetData Forensic Imager - Programme basé sur Windows qui va acquérir, convertir, ou vérifier une image médico-légale dans l’un des formats de fichiers médico-légaux communs suivants.
• Guymager - Imageur médico-légal gratuit pour l’acquisition de médias sur Linux.
• Magnet ACQUIRE - ACQUIRE by Magnet Forensics permet d’effectuer différents types d’acquisitions de disques sur Windows, Linux et OS X ainsi que sur les systèmes d’exploitation mobiles.

Collecte de preuves

• Acquire - Acquérir est un outil pour rassembler rapidement des artefacts judiciaires à partir d’images de disque ou d’un système en direct dans un conteneur léger. Cela fait de Acquérir un excellent outil pour, entre autres, accélérer le processus de triage médico-légal numérique. Il utilise Dissect recueillir ces informations sur le disque brut, si possible.
• artifactcollector - Le projet artefactcollector fournit un logiciel qui collecte des artefacts médico-légaux sur les systèmes.
• bulk_extractor - Outil de criminalistique informatique qui scanne une image disque, un fichier, ou un répertoire de fichiers et extrait des informations utiles sans analyser le système de fichiers ou les structures du système de fichiers. En ignorant la structure du système de fichiers, le programme se distingue par sa rapidité et sa rigueur.
• Cold Disk Quick Response - Liste simplifiée des analyseurs pour analyser rapidement un fichier d’image médico-légale (dd, E01, .vmdk, etc.) et produit neuf rapports.
• CyLR - L’outil CyLR collecte des artefacts médico-légaux à partir d’hôtes avec des systèmes de fichiers NTFS rapidement, en toute sécurité et minimise l’impact sur l’hôte.
• Forensic Artifacts - Dépôt d’artéfacts médico-légaux
• ir-rescue - Windows Batch script et un script Unix Bash pour collecter des données médico-légales de l’hôte pendant la réponse incidente.
• Live Response Collection - Outil automatisé qui recueille des données volatiles de Windows, OSX et *nix systèmes d’exploitation basés.
• Margarita Shotgun - Utilitaire de ligne de commande (qui fonctionne avec ou sans instances Amazon EC2) pour paralléliser l’acquisition de mémoire distante.
• SPECTR3 - Acquérir, trier et rechercher des preuves à distance via l’accès en lecture seule portable iSCSI
• UAC - UAC (Unix-like Artifacts Collector) est un script de la collection Live Response pour Incident Response qui utilise des binaires et des outils natifs pour automatiser la collection d’objets de systèmes AIX, Android, ESXi, FreeBSD, Linux, macOS, NetBSD, NetScaler, OpenBSD et Solaris.

Gestion des incidents

• Catalyst - Un système SOAR gratuit qui permet d’automatiser la manipulation des alertes et les processus de réponse aux incidents.
• CyberCPR - Outil communautaire et commercial de gestion des incidents avec Need-to-Know intégré pour soutenir la conformité au RGPD tout en traitant les incidents sensibles.
• Cyphon - Cyphon élimine les maux de tête de la gestion des incidents en rationalisant une multitude de tâches connexes à travers une plateforme unique. Il reçoit, traite et trie des événements pour fournir une solution complète pour votre workflow analytique — agréger les données, regrouper et hiérarchiser les alertes, et permettre aux analystes d’enquêter et de documenter les incidents.
• CORTEX XSOAR - Orchestration de sécurité Paloalto, automatisation et plate-forme de réponse avec gestion complète du cycle de vie d’Incident et de nombreuses intégrations pour améliorer l’automatisation.
• DFTimewolf - Un cadre pour orchestrer la collecte, le traitement et l’exportation de données médico-légales.
• DFIRTrack - Intervention en cas d’incident Suivi de l’application traitant un ou plusieurs incidents au moyen de cas et de tâches comportant de nombreux systèmes et artefacts touchés.
• Fast Incident Response (FIR) - Plateforme de gestion des incidents de cybersécurité conçue avec agilité et rapidité. Il permet de créer, de suivre et de signaler facilement les incidents de cybersécurité et est utile pour les CSIRT, les CERT et les COS.
• RTIR - Request Tracker for Incident Response (RTIR) est le premier système de traitement des incidents open source destiné aux équipes de sécurité informatique. Nous avons travaillé avec plus d’une douzaine d’équipes CERT et CSIRT à travers le monde pour vous aider à gérer le volume sans cesse croissant de rapports d’incident. RTIR s’appuie sur toutes les fonctionnalités de Request Tracker.
• Sandia Cyber Omni Tracker (SCOT) - La collaboration avec les intervenants et l’outil de saisie des connaissances étaient axés sur la flexibilité et la facilité d’utilisation. Notre objectif est d’ajouter de la valeur au processus d’intervention sans surcharger l’utilisateur.
• Shuffle - Une plateforme générale d’automatisation de sécurité axée sur l’accessibilité.
• threat_note - Carnet d’enquête léger qui permet aux chercheurs en sécurité d’enregistrer et de récupérer des indicateurs liés à leur recherche.
• Zenduty - Zendety est une nouvelle plate-forme de gestion des incidents offrant une alerte d’incident de bout en bout, une gestion sur appel et une orchestration d’intervention, donnant aux équipes un meilleur contrôle et une plus grande automatisation sur le cycle de vie de la gestion des incidents.

Bases de connaissances

• Digital Forensics Artifact Knowledge Base - Base de connaissances sur les artéfacts judiciaires numériques
• Windows Events Attack Samples - Windows Events Extraits d’attaque
• Windows Registry Knowledge Base - Base de connaissances du registre Windows

Distributions Linux

• The Appliance for Digital Investigation and Analysis (ADIA) - Appareil basé sur VMware utilisé pour l’investigation numérique et l’acquisition et est construit entièrement à partir de logiciels de domaine public. Parmi les outils contenus dans l’ADIA sont l’autopsie, le kit Sleuth, le Digital Forensics Framework, log2timeline, Xplico, et Wireshark. La plupart de la maintenance du système utilise Webmin. Il est conçu pour les enquêtes et acquisitions numériques de petite à moyenne taille. L’appareil fonctionne sous Linux, Windows et Mac OS. i386 (32 bits) et x86_Les versions 64 (64 bits) sont disponibles.
• Computer Aided Investigative Environment (CAINE) - Contient de nombreux outils qui aident les enquêteurs pendant leur analyse, y compris la collecte de preuves médico-légales.
• CCF-VM - CyLR CDQR Machine virtuelle de criminalistique (CCF-VM): Une solution tout-en-un pour analyser les données collectées, ce qui permet de rechercher facilement avec des recherches communes intégrées, permet de rechercher simultanément des hôtes uniques et multiples.
• NST - Network Security Toolkit - Distribution Linux qui comprend une vaste collection d’applications de sécurité réseau open source de qualité supérieure utiles au professionnel de la sécurité réseau.
• NullSec Linux - Distribution Linux axée sur la sécurité avec 140 outils de sécurité préinstallés et offensants, noyau durci personnalisé et workflows intégrés de réponse aux incidents.
• PALADIN - Distribution Linux modifiée pour effectuer diverses tâches médico-légales de manière légale. Il est livré avec de nombreux outils de médecine légale open source inclus.
• Security Onion - Distro Linux spécial destiné à la surveillance de la sécurité du réseau avec des outils d’analyse avancés.
• SANS Investigative Forensic Toolkit (SIFT) Workstation - Démontre que les capacités avancées d’intervention en cas d’incident et les techniques médico-légales numériques de plongée profonde aux intrusions peuvent être accomplies à l’aide d’outils de pointe à source ouverte qui sont librement disponibles et fréquemment mis à jour.

Collection de preuves Linux

• FastIR Collector Linux - FastIR pour Linux collecte différents artefacts sur Linux en direct et enregistre les résultats dans les fichiers CSV.
• MAGNET DumpIt - Acquisition rapide de mémoire outil open source pour Linux écrit dans Rust. Générer des décharges complètes de machines Linux.

Outils d’analyse des journaux

• AppCompatProcessor - AppCompatProcesseur a été conçu pour extraire une valeur supplémentaire des données AppCompat / AmCache à l’échelle de l’entreprise au-delà des techniques classiques de gerbage et de gerbage.
• APT Hunter - APT-Hunter est l’outil de chasse aux menaces pour les journaux d’événements Windows.
• Chainsaw - Chainsaw fournit une puissante « première réponse » pour identifier rapidement les menaces dans les journaux d’événements Windows.
• Event Log Explorer - Outil développé pour analyser rapidement les fichiers journaux et d’autres données.
• Event Log Observer - Afficher, analyser et surveiller les événements enregistrés dans les journaux d’événements Microsoft Windows avec cet outil GUI.
• Hayabusa - Hayabusa est un générateur de chronologie et un outil de chasse à la menace créé par le groupe Yamato Security au Japon.
• Kaspersky CyberTrace - Outil de fusion et d’analyse du renseignement de menace qui intègre les flux de données de menace avec les solutions SIEM. Les utilisateurs peuvent immédiatement utiliser les renseignements relatifs aux menaces pour les activités de surveillance de la sécurité et de rapport d’incident (IR) dans le déroulement de leurs opérations de sécurité existantes.
• Log Parser Lizard - Exécuter les requêtes SQL contre les données de log structurées : journaux de serveur, événements Windows, système de fichiers, répertoire actif, journaux log4net, textes séparés par virgule/tab, fichiers XML ou JSON. Fournit également une interface graphique à Microsoft LogParser 2.2 avec des éléments d’interface utilisateur puissants: éditeur de syntaxe, grille de données, graphique, table de pivot, tableau de bord, gestionnaire de requêtes et plus encore.
• Lorg - Outil pour l’analyse avancée de sécurité HTTPD logfile et la criminalistique.
• Logdissect - Utilitaire CLI et API Python pour l’analyse des fichiers journaux et autres données.
• NullSec LogReaper - Outil d’analyse de log à grande vitesse et de criminalistique avec analyse multiformat, correspondance de patrons, reconstruction chronologique et détection d’anomalies pour la réponse aux incidents.
• LogonTracer - Outil pour enquêter sur le logo malveillant de Windows en visualisant et en analysant le journal des événements de Windows.
• Sigma - Format de signature générique pour les systèmes SIEM contenant déjà un ensemble de règles étendu.
• StreamAlert - Cadre d’analyse des données en temps réel sans serveur, capable d’ingérer des sources de données personnalisées et de déclencher des alertes en utilisant une logique définie par l’utilisateur.
• SysmonSearch - SysmonSearch rend l’analyse des journaux d’événements Windows plus efficace et moins longue par l’agrégation des journaux d’événements.
• WELA - Windows Event Log Analyzer vise à être le couteau de l’Armée suisse pour les journaux d’événements Windows.
• Zircolite - Un outil de détection autonome et rapide basé sur SIGMA pour EVTX ou JSON.

Outils d’analyse de mémoire

• AVML - Un outil portable d’acquisition de mémoire volatile pour Linux.
• Evolve - Interface Web pour le cadre judiciaire de la mémoire de volatilité.
• inVtero.net - Analyse de mémoire avancée pour Windows x64 avec support hyperviseur imbriqué.
• LiME - Module de noyau chargeable (LKM), qui permet l’acquisition de la mémoire volatile à partir des périphériques Linux et Linux, anciennement appelés DMD.
• MalConfScan - MalConfScan est un plugin Volatility extrait des données de configuration de logiciels malveillants connus. Volatilité est un cadre de médecine légale en mémoire ouverte pour la réponse incidente et l’analyse de malware. Cet outil recherche des logiciels malveillants dans les images de mémoire et décharge les données de configuration. De plus, cet outil a une fonction pour lister les chaînes auxquelles se réfère le code malveillant.
• Memoryze - Logiciel judiciaire de mémoire libre qui aide les intervenants d’incidents trouver le mal dans la mémoire en direct. Memoryze peut acquérir et/ou analyser des images de mémoire, et sur les systèmes en direct, peut inclure le fichier de recherche dans son analyse.
• Memoryze for Mac - Memoryze pour Mac est Memoryze mais ensuite pour Macs. Un nombre inférieur de caractéristiques, cependant.
• [MemProcFS] (https://github.com/ufrisk/MemProcFS) - MemProcFS est un moyen facile et pratique de visualiser la mémoire physique comme des fichiers dans un système de fichiers virtuel.
• Orochi - Orochi est un cadre open source pour l’analyse collaborative des décharges de mémoire légale.
• Rekall - Outil open source (et bibliothèque) pour l’extraction d’objets numériques à partir d’échantillons de mémoire volatile (RAM).
• Volatility - Cadre scientifique de la mémoire avancée.
• Volatility 3 - Le cadre d’extraction de mémoire volatile (successeur de volatilité)
• VolatilityBot - L’outil d’automatisation pour les chercheurs coupe toutes les conjectures et tâches manuelles hors de la phase d’extraction binaire, ou pour aider l’investigateur dans les premières étapes d’une enquête d’analyse de mémoire.
• VolDiff - Malware Memory Footprint Analyse basée sur la volatilité.
• WindowsSCOPE - Mémoire criminalistique et outil d’ingénierie inverse utilisé pour analyser la mémoire volatile offrant la capacité d’analyser le noyau Windows, les pilotes, DLLs, et la mémoire virtuelle et physique.

Outils d’imagerie mémoire

• Belkasoft Live RAM Capturer - Petit outil médico-légal gratuit pour extraire de façon fiable l’ensemble du contenu de l’ordinateur – même s’il est protégé par un système actif anti-débogue ou anti-dumping.
• Linux Memory Grabber - Script pour vider la mémoire Linux et créer des profils de volatilité.
• MAGNET DumpIt - Outil d’acquisition de mémoire rapide pour Windows (x86, x64, ARM64). Générer des décharges complètes d’écrasement de mémoire de machines Windows.
• Magnet RAM Capture - Outil d’imagerie libre conçu pour capturer la mémoire physique d’un ordinateur suspect. Prend en charge les versions récentes de Windows.
• OSForensics - Outil pour acquérir la mémoire en direct sur les systèmes 32-bit et 64-bit. Une décharge d’un processus individuel espace mémoire ou mémoire physique décharge peut être faite.

Collecte de preuves OSX

• Knockknock - Affiche les éléments persistants (scripts, commandes, binaires, etc.) qui sont définis pour s’exécuter automatiquement sur OSX.
• macOS Artifact Parsing Tool (mac_apt) - Cadre scientifique basé sur le plugin pour le triage rapide de mac qui fonctionne sur des machines en direct, des images de disque ou des fichiers d’artefact individuels.
• OSX Auditor - Outil Mac OS X gratuit de criminalistique informatique.
• OSX Collector - Dépannage de l’auditeur OSX pour une réponse en direct.
• The ESF Playground - Un outil pour visualiser les événements dans Apple Endpoint Security Framework (ESF) en temps réel.

Autres listes

• Awesome Event IDs - Collecte de ressources d’identification de l’événement utiles pour la médecine légale numérique et la réponse aux incidents.
• Awesome Forensics - Une liste des outils et des ressources d’analyse médico-légale géniales.
• Didier Stevens Suite - Collecte d’outils
• Eric Zimmerman Tools - Une liste actualisée d’outils médico-légaux créée par Eric Zimmerman, instructeur pour l’institut SANS.
• List of various Security APIs - Liste collective des API JSON publiques à utiliser en sécurité.

Autres outils

• Cortex - Cortex vous permet d’analyser des observables tels que des adresses IP et email, des URL, des noms de domaine, des fichiers ou des hachages un par un ou en mode vrac à l’aide d’une interface Web. Les analystes peuvent également automatiser ces opérations en utilisant son API REST.
• Crits - Outil basé sur le Web qui combine un moteur analytique avec une base de données de cybermenaces.
• Diffy - L’outil DFIR développé par le SIRT de Netflix qui permet à un enquêteur de saisir rapidement un compromis entre des instances cloud (cas Linux sur AWS, actuellement) lors d’un incident et de trier efficacement ces instances pour des actions de suivi en montrant des différences par rapport à une base de référence.
• domfind - Python DNS rampeur pour trouver des noms de domaine identiques sous différents TLD.
• Fileintel - Tirez l’intelligence par hachage de fichier.
• HELK - Plateforme de chasse aux menaces.
• Hindsight - Histoire de l’Internet médico-légal pour Google Chrome/Chromium.
• Hostintel - Tirez l’intelligence par hôte.
• IPASIS - La réputation IP en temps réel et l’API de validation de courriel pour enquêter sur les interactions suspectes. Retourne un score Interaction Trust (0-100) combinant la détection VPN/proxy/Tor et l’évaluation du risque par courriel en un seul appel API.
• imagemounter - Utilitaire de ligne de commande et paquet Python pour faciliter le (dé)montage des images disque médico-légal.
• Kansa - Cadre modulaire d’intervention en cas d’incident à PowerShell.
• MFT Browser - MFT répertoire arbre reconstruction & information d’enregistrement.
• Munin - Vérification de hachage en ligne pour VirusTotal et d’autres services.
• PowerSponse - PowerSponse est un module PowerShell axé sur le confinement ciblé et l’assainissement pendant l’intervention en cas d’incident de sécurité.
• PyaraScanner - Très simple multi-threaded de nombreuses règles à de nombreux fichiers YARA numérisation Python script pour les zoos malveillants et IR.
• rastrea2r - Permet d’analyser les disques et la mémoire des CIO en utilisant YARA sur Windows, Linux et OS X.
• RaQet - Outil d’acquisition et de triage à distance non conventionnel qui permet le triage d’un disque d’un ordinateur distant (client) qui est redémarré avec un système d’exploitation judiciaire conçu à dessein.
• Raccine - Une simple protection Ransomware
• Stalk - Recueillir des données médico-légales sur MySQL en cas de problèmes.
• Scout2 - Outil de sécurité qui permet aux administrateurs d’Amazon Web Services d’évaluer la posture de sécurité de leur environnement.
• Stenographer - Solution de capture de paquets qui vise à spool rapidement tous les paquets au disque, puis fournir un accès simple et rapide à des sous-ensembles de ces paquets. Il stocke autant d’historique que possible, gère l’utilisation du disque et supprime lorsque les limites du disque sont atteintes. Il est idéal pour capturer le trafic juste avant et pendant un incident, sans le besoin explicite de stocker tout le trafic réseau.
• sqhunter - Chasseur de menaces basé sur l’osquery et Salt Open (SaltStack) qui peut émettre des requêtes ad-hoc ou distribuées sans le besoin de plugin d’osquery tls. squhunter vous permet de demander des sockets réseau ouverts et de les vérifier contre les sources de renseignement de menace.
• sysmon-config - Modèle de fichier de configuration Sysmon avec traçage d’événements de haute qualité par défaut
• sysmon-modular - Un dépôt de modules de configuration sysmon
• traceroute-circl - Traceroute étendue pour soutenir les activités des exploitants de CSIRT (ou CERT). Habituellement, l’équipe du CSIRT doit gérer les incidents en fonction des adresses IP reçues. Créé par Computer Emergency Response Center Luxembourg.
• X-Ray 2.0 - Utilitaire Windows (pauvrement entretenu ou plus entretenu) pour soumettre des échantillons de virus aux fournisseurs d’AV.

Livres de lecture

• AWS Incident Response Runbook Samples - AWS IR Runbook Échantillons destinés à être personnalisés par chaque entité qui les utilise. Les trois échantillons sont: “Attaque DoS ou DDoS”, “fuite crédible” et “accès non prévu à un godet Amazon S3.
• Counteractive Playbooks - Collecte de livres contre-actifs.
• GuardSIght Playbook Battle Cards - Une collection de cartes de combat Cyber Incident Response Playbook
• IRM - Méthodes de réponse aux incidents par CERT Société Générale.
• PagerDuty Incident Response Documentation - Documents qui décrivent des parties du processus de réponse à l’incident de PagerDuty. Il fournit des renseignements non seulement sur la préparation d’un incident, mais aussi sur ce qu’il faut faire pendant et après. Source GitHub.
• Phantom Community Playbooks - Phantom Community Playbooks pour Spunk mais aussi personnalisable pour une autre utilisation.
• ThreatHunter-Playbook - Playbook pour aider au développement des techniques et des hypothèses pour les campagnes de chasse.

Outils à décharge de processus

• Microsoft ProcDump - Dompte toute image de mémoire de Win32 en cours d’exécution à la volée.
• PMDump - Outil qui vous permet de jeter le contenu de mémoire d’un processus dans un fichier sans arrêter le processus.

Outils de bac à sable/renversement

• Any Run - Service interactif d’analyse de logiciels malveillants en ligne pour la recherche dynamique et statique de la plupart des types de menaces utilisant n’importe quel environnement.
• CAPA - détecte les capacités dans les fichiers exécutables. Vous l’exécutez contre un module PE, ELF, .NET ou un fichier shellcode et il vous indique ce qu’il pense que le programme peut faire.
• CAPEv2 - Configuration des logiciels malveillants et extraction de charge utile.
• Cuckoo - Open Source Outil de bac à sable hautement configurable.
• Cuckoo-modified - Fourche Cuckoo fortement modifiée développée par la communauté.
• Cuckoo-modified-api - Bibliothèque Python pour contrôler un bac à sable modifié au coucou.
• Cutter - Plateforme d’ingénierie inverse libre et ouverte alimentée par rizin.
• Ghidra - Cadre d’ingénierie inverse du logiciel.
• Hybrid-Analysis - Boîte à sable gratuite en ligne puissant par CrowdStrike.
• Intezer - Intezer Analyze plonge dans les binaires Windows pour détecter les similarités de micro-code aux menaces connues, afin de fournir des résultats précis mais faciles à comprendre.
• Joe Sandbox (Community) - Joe Sandbox détecte et analyse les fichiers malveillants potentiels et les URL sur Windows, Android, Mac OS, Linux et iOS pour des activités suspectes; fournissant des rapports d’analyse complets et détaillés.
• Mastiff - Cadre d’analyse statique qui automatise le processus d’extraction des caractéristiques clés d’un certain nombre de formats de fichiers différents.
• Metadefender Cloud - Plateforme gratuite de renseignement sur les menaces fournissant des analyses multiples, la désinfection des données et l’évaluation de la vulnérabilité des fichiers.
• Radare2 - Cadre d’ingénierie inversé et outillage en ligne de commande.
• Reverse.IT - Domaine alternatif pour l’outil d’analyse hybride fourni par CrowdStrike.
• Rizin - framework et outils en ligne de commande comme UNIX
• StringSifter - Un outil d’apprentissage automatique qui classe les chaînes en fonction de leur pertinence pour l’analyse des logiciels malveillants.
• Threat.Zone - Plateforme d’analyse de la menace basée sur le nuage, qui comprend le bac à sable, le CDR et l’analyse interactive pour les chercheurs.
• Valkyrie Comodo - Valkyrie utilise le comportement d’exécution et des centaines de fonctionnalités d’un fichier pour effectuer une analyse.
• Viper - Analyse binaire et cadre de gestion basé sur Python, qui fonctionne bien avec Cuckoo et YARA.
• Virustotal - Service en ligne gratuit qui analyse les fichiers et les URL permettant l’identification des virus, vers, trojans et autres types de contenu malveillant détectés par les moteurs antivirus et les scanners de site Web.
• Visualize_Logs - Bibliothèque de visualisation open source et outils de ligne de commande pour les journaux (Cuckoo, Procmon, plus à venir).
• Yomi - MultiSandbox gratuit géré et hébergé par Yoroi.

Outils de numérisation

• Fenrir - Un simple scanner du CIO. Il permet de scanner n’importe quel système Linux/Unix/OSX pour les CIO en simple bash. Créé par les créateurs de THOR et LOKI.
• LOKI - Scanner IR gratuit pour scanner le paramètre avec des règles de yara et d’autres indicateurs (IOC).
• Spyre - Simple scanner CIO basé sur YARA écrit en Go

Outils de chronologie

• Aurora Incident Response - La plate-forme a été conçue pour établir facilement un calendrier détaillé d’un incident.
• Highlighter - Outil gratuit disponible à partir de Fire/Mandiant qui représentera le fichier journal/texte qui peut mettre en évidence des zones sur le graphique, qui correspond à un mot clé ou une phrase. Bon pour le temps encadrant une infection et ce qui a été fait après compromis.
• Morgue - Application web PHP par Etsy pour la gestion des postmortems.
• Plaso - un moteur de moteur de moteur Python pour l’outil log2timeline.
• Timesketch - Outil open source pour l’analyse collaborative des délais judiciaires.

Vidéos

• The Future of Incident Response - Présenté par Bruce Schneier à l’OWASP AppSecUSA 2015.

Collecte de preuves Windows

• AChoir - Outil de framework/scripting pour normaliser et simplifier le processus de script des utilitaires d’acquisition en direct pour Windows.
• Crowd Response - Application console Windows légère conçue pour aider à la collecte d’informations système pour la réponse incidente et les engagements de sécurité. Il dispose de nombreux modules et formats de sortie.
• Cyber Triage - Cyber Triage a un outil de collection léger qui est libre d’utiliser. Il recueille les fichiers sources (tels que les urnes de registre et les journaux d’événements), mais les analyse aussi sur l’hôte en direct afin qu’il puisse également collecter les exécutables auxquels se réfèrent les éléments de démarrage, le calendrier, les tâches, etc. La sortie est un fichier JSON qui peut être importé dans la version gratuite de Cyber Triage. Cyber Triage est fabriqué par Sleuth Kit Labs, qui fabrique également l’autopsie.
• DFIR ORC - DFIR ORC est une collection d’outils spécialisés dédiés à l’analyse fiable et à la collecte d’artefacts critiques tels que le MFT, les ruches d’enregistrement ou les journaux d’événements. DFIR ORC collecte des données, mais ne les analyse pas : il ne s’agit pas de trier des machines. Il fournit un instantané scientifiquement pertinent des machines sous Microsoft Windows. Le code se trouve sur GitHub.
• FastIR Collector - Outil qui collecte différents artefacts sur les systèmes Windows en direct et enregistre les résultats dans les fichiers csv. Avec l’analyse de ces artefacts, un compromis précoce peut être détecté.
• Fibratus - Outil d’exploration et de traçage du noyau Windows.
• Hoarder - Recueillir les artefacts les plus précieux pour les enquêtes médico-légales ou d’intervention en cas d’incident.
• IREC - Tout-en-un IR Evidence Collector qui capture RAM Image, $MFT, EventLogs, WMI Scripts, Registry Hives, System Restore Points et bien plus encore. Il est GRATUIT, éclair rapide et facile à utiliser.
• Invoke-LiveResponse - Invoke-LiveResponse est un outil de réponse en direct pour la collection ciblée.
• IOC Finder - Outil gratuit de Mandiant pour la collecte des données du système hôte et la déclaration de la présence d’Indicateurs de compromis (IOC). Support pour Windows seulement. N’est plus entretenu. Uniquement pris en charge jusqu’à Windows 7 / Windows Server 2008 R2.
• IRTriage - Triage de la réponse aux incidents - Collecte de preuves Windows pour l’analyse médico-légale.
• KAPE - Kroll Artifact Parser et Extractor (KAPE) par Eric Zimmerman. Un outil de tri qui trouve les artefacts numériques les plus répandus et les analyse rapidement. Grande et approfondie quand le temps est de l’essence.
• LOKI - Scanner IR gratuit pour scanner le paramètre avec des règles de yara et d’autres indicateurs (IOC).
• MEERKAT - Triage basé sur PowerShell et chasse aux menaces pour Windows.
• Panorama - Aperçu rapide des incidents sur les systèmes Windows en direct.
• PowerForensics - Plate-forme d’analyse scientifique sur disque, avec PowerShell.
• PSRecon - PSRecon recueille les données d’un hôte Windows distant à l’aide de PowerShell (v2 ou ultérieur), organise les données dans des dossiers, hache toutes les données extraites, hache PowerShell et diverses propriétés du système, et envoie les données à l’équipe de sécurité. Les données peuvent être poussées à une part, envoyées par courriel ou conservées localement.
• RegRipper - Outil open source, écrit en Perl, pour extraire et analyser des informations (clés, valeurs, données) du Registre et les présenter pour analyse.