Incident Response

Source: https://github.com/meirwah/awesome-incident-response at bfe8326fbed2
License: Apache-2.0
Read the English original

This edition is an AI-assisted translation.

Потрясающий ответ на инцидент

Список инструментов и ресурсов для реагирования на инциденты безопасности, предназначенных для помощи аналитикам по безопасности. DFIR команды.

Команды цифровой криминалистики и реагирования на инциденты (DFIR) представляют собой группы людей в организации, ответственные за управление реакцией на инцидент безопасности, включая сбор доказательств инцидента, устранение его последствий и осуществление контроля для предотвращения повторения инцидента в будущем.

Содержание

• Эмуляция противника
• Инструменты All-In-One
• Книги
• Общины
• Инструменты создания образов Disk
• Сбор доказательств
• Управление инцидентами
• Базы знаний
• Распределения Linux
• Сбор доказательств Linux
• Инструменты лог-анализа
• Инструменты анализа памяти
• Инструменты визуализации памяти
• Свидетельства OSX
• Другие списки
• Другие инструменты
• Игровые книги
• Инструменты Dump Tools
• Инструменты для песочницы/обновления
• Инструменты сканирования
• Инструменты Timeline
• Видео
• Сбор доказательств Windows

Коллекция инструментов IR

Эмуляция противника

• APTSimulator - Скрипт Windows Batch, который использует набор инструментов и выводит файлы, чтобы система выглядела так, как будто она была скомпрометирована.
• Atomic Red Team (ART) - Небольшие и очень портативные тесты обнаружения, отображаемые в MITRE ATT & CK Framework.
• AutoTTP - Автоматизированные тактические методы и процедуры. Перезапуск сложных последовательностей вручную для регрессионных тестов, оценки продуктов, генерации данных для исследователей.
• Caldera - Автоматизированная система эмуляции противника, которая выполняет посткомпромиссное состязательное поведение в сетях Windows Enterprise. Он генерирует планы во время работы с использованием системы планирования и предварительно сконфигурированной модели противника на основе проекта Adversarial Tactics, Techniques & Common Knowledge (ATT & CKTM).
• DumpsterFire - Модульный, управляемый меню, кроссплатформенный инструмент для создания повторяемых, отложенных по времени распределенных событий безопасности. Легко создавать пользовательские цепочки событий для буров Blue Team и отображения датчиков / оповещений. Красные команды могут создавать приманки, отвлекающие факторы и приманки для поддержки и масштабирования своих операций.
• Metta - Инструмент обеспечения готовности к информационной безопасности для проведения состязательного моделирования.
• Network Flight Simulator - Легкая утилита используется для генерации вредоносного сетевого трафика и помогает командам безопасности оценивать средства управления безопасностью и видимость сети.
• Red Team Automation (RTA) - RTA предоставляет основу сценариев, предназначенных для того, чтобы позволить синим командам тестировать свои возможности обнаружения вредоносных торговых операций, смоделированных после MITRE ATT & CK.
• RedHunt-OS - Виртуальная машина для эмуляции противника и охоты за угрозами.

Инструменты All-In-One

• Belkasoft Evidence Center - Инструментарий быстро извлекает цифровые доказательства из нескольких источников, анализируя жесткие диски, изображения дисков, свалки памяти, резервные копии iOS, Blackberry и Android, UFED, JTAG и сливки чипов.
• CimSweep - Набор инструментов на основе CIM/WMI, позволяющих удаленно выполнять операции реагирования на инциденты и охоты во всех версиях Windows.
• CIRTkit - CIRTKit - это не только набор инструментов, но и основа для содействия в продолжающейся унификации процессов расследования инцидентов и криминалистики.
• Cyber Triage - Cyber Triage собирает и анализирует данные хоста, чтобы определить, скомпрометированы ли они. Это система подсчета очков и система рекомендаций, которая позволяет быстро сосредоточиться на важных артефактах. Он может импортировать данные из своего инструмента сбора, образов дисков и других коллекторов (таких как KAPE). Он может работать на рабочем столе экзаменатора или в серверной модели. Разработан компанией Sleuth Kit Labs, которая также занимается вскрытием.
• Cynative - Глубокий исследовательский агент для вашей инфраструктуры - Sandboxed, только для чтения, охватывает AWS, GCP, Azure, K8s, GitHub и GitLab.
• Dissect - Dissect - это цифровая система судебной экспертизы и реагирования на инциденты и набор инструментов, который позволяет быстро получать доступ и анализировать судебно-медицинские артефакты из различных форматов дисков и файлов, разработанных Fox-IT (часть NCC Group).
• Doorman - диспетчер флота запросов, который позволяет удаленно управлять конфигурациями запросов, извлекаемыми узлами. Он использует конфигурацию TLS osquery, регистратор и распределенные конечные точки чтения / записи, чтобы обеспечить администраторам видимость на флоте устройств с минимальными накладными расходами и навязчивостью.
• Falcon Orchestrator - Расширяемое приложение на базе Windows, которое обеспечивает автоматизацию рабочего процесса, управление делами и функциональность реагирования на безопасность.
• Flare - Полностью настраиваемый дистрибутив безопасности на основе Windows для анализа вредоносных программ, реагирования на инциденты, тестирования на проникновение.
• Fleetdm - Современная платформа мониторинга хостов, предназначенная для экспертов по безопасности. Используя проверенный в бою проект Facebook, Fleetdm предоставляет непрерывные обновления, функции и быстрые ответы на большие вопросы.
• GRR Rapid Response - Система реагирования на инциденты была сосредоточена на удаленной живой криминалистике. Он состоит из агента python (клиента), который установлен на целевых системах, и инфраструктуры сервера python, которая может управлять и общаться с агентом. В дополнение к клиенту Python API, PowerGRR предоставляет клиентскую библиотеку API в PowerShell, работающую на Windows, Linux и macOS для автоматизации GRR и сценариев.
• IRIS - IRIS является веб-платформой для аналитиков реагирования на инциденты, позволяющей обмениваться расследованиями на техническом уровне.
• Kuiper - Платформа Digital Forensics Investigation
• Limacharlie - Платформа безопасности Endpoint, состоящая из набора небольших проектов, работающих вместе, дает вам кросс-платформенную (Windows, OSX, Linux, Android и iOS) среду низкого уровня для управления и продвижения дополнительных модулей в память для расширения ее функциональности.
• MatanoПлатформа без серверов с открытым исходным кодом на AWS, которая позволяет глотать, хранить и анализировать петабайт данных безопасности в озеро данных Apache Iceberg и запускать обнаружение Python в режиме реального времени в качестве кода.
• MozDef - Автоматизирует процесс обработки инцидентов безопасности и облегчает действия в режиме реального времени.
• MutableSecurity - Программа CLI для автоматизации настройки, настройки и использования решений кибербезопасности.
• nightHawk - Приложение, созданное для асинхронного представления судебных данных с использованием ElasticSearch в качестве бэкэнда. Он предназначен для проглатывания коллекций Redline.
• Open Computer Forensics Architecture - Еще одна популярная распределенная компьютерная криминалистика с открытым исходным кодом. Этот фреймворк был построен на платформе Linux и использует базу данных postgreSQL для хранения данных.
• osquery - Легко задавайте вопросы о вашей инфраструктуре Linux и macOS, используя язык запросов, похожий на SQL; пакет реагирования на инциденты Помогает обнаруживать и реагировать на нарушения.
• Redline - Обеспечивает хостовые возможности для поиска пользователями признаков вредоносной активности посредством анализа памяти и файлов, а также разработки профиля оценки угроз.
• SOC Multi-tool - Мощное и удобное для пользователя расширение браузера, которое упрощает расследования для специалистов по безопасности.
• The Sleuth Kit & Autopsy - Инструмент на основе Unix и Windows, который помогает в судебно-медицинской экспертизе компьютеров. Он поставляется с различными инструментами, которые помогают в цифровой криминалистике. Эти инструменты помогают в анализе образов диска, выполнении глубокого анализа файловых систем и других вещей.
• TheHive - Масштабируемое решение с открытым исходным кодом 3-в-1, предназначенное для облегчения жизни SOC, CSIRT, CERT и любого специалиста по информационной безопасности, имеющего дело с инцидентами безопасности, которые необходимо расследовать и быстро реагировать.
• VanGuard - Кроссплатформенный инструментарий реагирования на инциденты с 28 предварительно построенными вариантами использования в одном двоичном файле с нулевой установкой. Собирает память, диск, сеть и облачные артефакты с автоматической генерацией временных линий.
• Velociraptor - Видимость конечной точки и инструмент сбора
• X-Ways Forensics - Инструмент криминалистики для клонирования диска и визуализации. Его можно использовать для поиска удаленных файлов и анализа диска.
• Zentral - Комбинирует мощные функции инвентаризации конечных точек osquery с гибкой системой уведомлений и действий. Это позволяет идентифицировать и реагировать на изменения в клиентах OS X и Linux.

Книги

• Applied Incident Response - Книга Стива Энсона «Ответ на инциденты».
• Art of Memory Forensics - Обнаружение вредоносных программ и угроз в Windows, Linux и Mac Memory.
• Crafting the InfoSec Playbook: Security Monitoring and Incident Response Master Plan - Джефф Боллинджер, Брэндон Энрайт и Мэттью Валитес.
• Digital Forensics and Incident Response: Incident response techniques and procedures to respond to modern cyber threats - Джерард Йохансен.
• Introduction to DFIR - Скотт Джей Робертс.
• Incident Response & Computer Forensics, Third Edition - Полное руководство по реагированию на инциденты.
• Incident Response Techniques for Ransomware Attacks - Отличное руководство по созданию стратегии реагирования на инциденты для атак вымогателей. Олег Скулкин.
• Incident Response with Threat Intelligence - Отличная ссылка на создание плана реагирования на инциденты, основанного также на Threat Intelligence. Роберто Мартинес.
• Intelligence-Driven Incident Response - Скотт Робертс, Ребекка Браун.
• Operator Handbook: Red Team + OSINT + Blue Team Reference - Отличный справочник для ответчиков на инциденты.
• Practical Memory Forensics - Окончательное руководство по практике криминалистики памяти. Светлана Островская и Олег Скулкин.
• The Practice of Network Security Monitoring: Understanding Incident Detection and Response - Книга Ричарда Бейтлиха об ИК.

Общины

• Digital Forensics Discord Server - Сообщество из более чем 8000 работающих специалистов из правоохранительных органов, частного сектора и судебных поставщиков. Кроме того, много студентов и любителей! Руководство here.
• Slack DFIR channel - Слэк ДФИР Общественный канал - Signup here.

Инструменты создания образов Disk

• AccessData FTK Imager - Инструмент криминалистики, основной целью которого является предварительный просмотр восстанавливаемых данных с любого диска. FTK Imager также может приобретать живую память и файл подкачки на 32- и 64-битных системах.
• Bitscout - Bitscout от Виталия Камлюка поможет вам создать полностью доверенное настраиваемое изображение LiveCD/LiveUSB, которое будет использоваться для удаленной цифровой криминалистики (или, возможно, любой другой задачи по вашему выбору). Он должен быть прозрачным и контролируемым владельцем системы, судебно обоснованным, настраиваемым и компактным.
• GetData Forensic Imager - Программа на базе Windows, которая будет приобретать, конвертировать или проверять судебно-медицинское изображение в одном из следующих распространенных форматов судебных файлов.
• Guymager - Бесплатный судебный имиджер для приобретения медиа на Linux.
• Magnet ACQUIRE - ACQUIRE от Magnet Forensics позволяет выполнять различные типы приобретений дисков в Windows, Linux и OS X, а также в мобильных операционных системах.

Сбор доказательств

• Acquire - Приобретение - это инструмент для быстрого сбора судебно-медицинских артефактов из изображений диска или живой системы в легкий контейнер. Это делает приобретение отличного инструмента для ускорения процесса цифровой судебной сортировки. Он использует Dissect собирать эту информацию с диска, если это возможно.
• artifactcollector - Проект Artifactcollector предоставляет программное обеспечение, которое собирает судебные артефакты на системах.
• bulk_extractor - Инструмент компьютерной криминалистики, который сканирует образ диска, файл или каталог файлов и извлекает полезную информацию без анализа файловой системы или структур файловой системы. Из-за игнорирования структуры файловой системы программа отличается скоростью и тщательностью.
• Cold Disk Quick Response - Оптимизированный список парсеров для быстрого анализа файла криминалистического изображенияdd, E01, .vmdkи т.д.) и представить девять докладов.
• CyLR - Инструмент CyLR собирает судебные артефакты с файловых систем NTFS быстро, безопасно и минимизирует воздействие на хост.
• Forensic Artifacts - Репозиторий артефактов Digital Forensics
• ir-rescue - Сценарий Windows Batch и скрипт Unix Bash для всестороннего сбора данных судебной экспертизы во время реагирования на инциденты.
• Live Response Collection - Автоматизированный инструмент, который собирает летучие данные из Windows, OSX и*Операционные системы на основе nix.
• Margarita Shotgun - Утилита командной строки (которая работает с экземплярами Amazon EC2 или без них) для параллельного получения удаленной памяти.
• SPECTR3 - Приобретать, сортировать и исследовать удаленные улики через портативный доступ iSCSI
• UAC - UAC (Unix-like Artifacts Collector) - это скрипт коллекции Live Response для Incident Response, который использует нативные двоичные файлы и инструменты для автоматизации коллекции артефактов систем AIX, Android, ESXi, FreeBSD, Linux, macOS, NetBSD, NetScaler, OpenBSD и Solaris.

Управление инцидентами

• Catalyst - Бесплатная система SOAR, которая помогает автоматизировать обработку предупреждений и процессы реагирования на инциденты.
• CyberCPR - Инструмент управления общественными и коммерческими инцидентами с встроенной функцией Need-to-Know для поддержки соблюдения GDPR при работе с чувствительными инцидентами.
• Cyphon - Cyphon устраняет головные боли управления инцидентами, оптимизируя множество связанных задач через единую платформу. Он получает, обрабатывает и сортирует события, чтобы обеспечить всеобъемлющее решение для вашего аналитического рабочего процесса. — агрегирование данных, объединение и определение приоритетов оповещений, а также предоставление аналитикам возможности расследовать и документировать инциденты.
• CORTEX XSOAR - Платформа управления безопасностью, автоматизации и реагирования Paloalto с полным управлением жизненным циклом инцидентов и множеством интеграций для повышения автоматизации.
• DFTimewolf - Рамки для организации судебного сбора, обработки и экспорта данных.
• DFIRTrack - Приложение для отслеживания реагирования на инциденты, обрабатывающее один или несколько инцидентов через случаи и задачи с большим количеством затронутых систем и артефактов.
• Fast Incident Response (FIR) - Платформа управления инцидентами в области кибербезопасности разработана с учетом гибкости и скорости. Он позволяет легко создавать, отслеживать и сообщать об инцидентах кибербезопасности и полезен для CSIRT, CERT и SOC.
• RTIR - Request Tracker for Incident Response (RTIR) является ведущей системой обработки инцидентов с открытым исходным кодом, предназначенной для команд компьютерной безопасности. Мы работали с более чем дюжиной команд CERT и CSIRT по всему миру, чтобы помочь вам справиться с постоянно растущим объемом сообщений об инцидентах. RTIR использует все возможности Request Tracker.
• Sandia Cyber Omni Tracker (SCOT) - Сотрудничество в области реагирования на инциденты и инструмент сбора знаний ориентированы на гибкость и простоту использования. Наша цель - повысить ценность процесса реагирования на инциденты, не обременяя пользователя.
• Shuffle - Платформа автоматизации безопасности общего назначения, ориентированная на доступность.
• threat_note - Легкий блокнот исследования, который позволяет исследователям безопасности регистрировать и извлекать индикаторы, связанные с их исследованиями.
• Zenduty - Zenduty - это новая платформа управления инцидентами, обеспечивающая сквозное оповещение об инцидентах, управление вызовами и организацию реагирования, предоставляя командам больший контроль и автоматизацию жизненного цикла управления инцидентами.

Базы знаний

• Digital Forensics Artifact Knowledge Base - База знаний Digital Forensics Artifact
• Windows Events Attack Samples - Windows Events Attack Samples скачать
• Windows Registry Knowledge Base - База знаний реестра Windows

Распределения Linux

• The Appliance for Digital Investigation and Analysis (ADIA) - Прибор на основе VMware используется для цифрового исследования и приобретения и полностью построен из программного обеспечения для общественного достояния. Среди инструментов, содержащихся в ADIA, — Autopsy, Sleuth Kit, Digital Forensics Framework, log2timeline, Xplico и Wireshark. Большая часть системного обслуживания использует Webmin. Он предназначен для небольших и средних цифровых исследований и приобретений. Устройство работает под Linux, Windows и Mac OS. Оба i386 (32-разрядный) и x86_Доступны 64 (64-битные) версии.
• Computer Aided Investigative Environment (CAINE) - Содержит многочисленные инструменты, которые помогают следователям во время их анализа, включая сбор судебных доказательств.
• CCF-VM - CyLR CDQR Forensics Virtual Machine (CCF-VM): Решение «все в одном» для анализа собранных данных, что делает его легко доступным для поиска со встроенными общими поисками, позволяет одновременно искать один и несколько хостов.
• NST - Network Security Toolkit - Дистрибутив Linux, который включает в себя обширную коллекцию лучших приложений сетевой безопасности с открытым исходным кодом, полезных для профессионалов в области сетевой безопасности.
• NullSec Linux - Дистрибутив Linux, ориентированный на безопасность, с предустановленными судебными и наступательными инструментами безопасности 140+, пользовательским закаленным ядром и интегрированными рабочими процессами реагирования на инциденты.
• PALADIN - Модифицированный дистрибутив Linux для выполнения различных судебно-медицинских задач в судебно-медицинской манере. Он поставляется со многими инструментами судебной экспертизы с открытым исходным кодом.
• Security Onion - Специальный дистрибутив Linux, предназначенный для мониторинга сетевой безопасности с использованием передовых инструментов анализа.
• SANS Investigative Forensic Toolkit (SIFT) Workstation - Демонстрирует, что расширенные возможности реагирования на инциденты и глубокие цифровые методы судебной экспертизы для вторжений могут быть выполнены с использованием передовых инструментов с открытым исходным кодом, которые свободно доступны и часто обновляются.

Сбор доказательств Linux

• FastIR Collector Linux - FastIR для Linux собирает различные артефакты в реальном времени и записывает результаты в файлы CSV.
• MAGNET DumpIt - Быстрый инструмент с открытым исходным кодом для Linux, написанный на Rust. Создавайте сбои полной памяти машин Linux.

Инструменты лог-анализа

• AppCompatProcessor - AppCompatProcessor был разработан для извлечения дополнительной ценности из общекорпоративных данных AppCompat / AmCache за пределами классических методов укладки и сбора.
• APT Hunter - APT-Hunter - это инструмент Threat Hunting для журналов событий Windows.
• Chainsaw - Chainsaw предоставляет мощную возможность быстрого выявления угроз в журналах событий Windows.
• Event Log Explorer - Инструмент, разработанный для быстрого анализа файлов журналов и других данных.
• Event Log Observer - Просмотр, анализ и мониторинг событий, записанных в журналах событий Microsoft Windows с помощью этого инструмента GUI.
• Hayabusa - Hayabusa - это быстрый генератор графика событий Windows и инструмент для поиска угроз, созданный группой Yamato Security в Японии.
• Kaspersky CyberTrace - Инструмент слияния и анализа данных об угрозах, который интегрирует потоки данных об угрозах с решениями SIEM. Пользователи могут немедленно использовать информацию об угрозах для мониторинга безопасности и отчетов об инцидентах в рабочем процессе своих существующих операций безопасности.
• Log Parser Lizard - Выполняйте SQL-запросы против структурированных данных журнала: журналы сервера, события Windows, файловая система, Active Directory, журналы log4net, разделенный текст с запятой / вкладкой, файлы XML или JSON. Также предоставляет графический интерфейс для Microsoft LogParser 2.2 с мощными элементами пользовательского интерфейса: редактор синтаксиса, сетка данных, диаграмма, таблица поворотов, приборная панель, менеджер запросов и многое другое.
• Lorg - Инструмент для расширенного анализа безопасности HTTPD-файлов и криминалистики.
• Logdissect - Утилита CLI и API Python для анализа файлов журналов и других данных.
• NullSec LogReaper - Высокоскоростной инструмент анализа журналов и криминалистики с многоформатным анализом, сопоставлением шаблонов, реконструкцией временной шкалы и обнаружением аномалий для реагирования на инциденты.
• LogonTracer - Инструмент для исследования вредоносного логотипа Windows путем визуализации и анализа журнала событий Windows.
• Sigma - Общий формат подписи для систем SIEM, уже содержащих обширный набор правил.
• StreamAlert - Бессерверная система анализа данных в режиме реального времени, способная принимать пользовательские источники данных и запускать оповещения с использованием пользовательской логики.
• SysmonSearch - SysmonSearch делает анализ журналов событий Windows более эффективным и менее трудоемким за счет агрегирования журналов событий.
• WELA - Windows Event Log Analyzer является швейцарским армейским ножом для журналов событий Windows.
• Zircolite - Автономный и быстрый инструмент обнаружения SIGMA для EVTX или JSON.

Инструменты анализа памяти

• AVML - Портативный инструмент для приобретения нестабильной памяти для Linux.
• Evolve - Веб-интерфейс для Volatility Memory Forensics Framework.
• inVtero.net - Расширенный анализ памяти для Windows x64 с поддержкой вложенного гипервизора.
• LiME - Загружаемый модуль ядра (LKM), который позволяет приобретать нестабильную память с устройств на базе Linux и Linux, ранее называвшихся DMD.
• MalConfScan - MalConfScan - это плагин Volatility, извлекающий конфигурационные данные известных вредоносных программ. Волатильность - это среда судебной экспертизы с открытым исходным кодом для реагирования на инциденты и анализа вредоносных программ. Этот инструмент ищет вредоносные программы в изображениях памяти и сбрасывает данные конфигурации. Кроме того, этот инструмент имеет функцию перечисления строк, на которые ссылается вредоносный код.
• Memoryze - Бесплатное программное обеспечение для судебной экспертизы памяти, которое помогает респондентам находить зло в живой памяти. Memoryze может получать и/или анализировать изображения памяти, а в живых системах может включать файл подкачки в свой анализ.
• Memoryze for Mac - Memoryze для Mac — это Memoryze, а затем для Mac. Однако меньшее количество особенностей.
• [MemProcFS]https://github.com/ufrisk/MemProcFS) - MemProcFS - это простой и удобный способ просмотра физической памяти в виде файлов в виртуальной файловой системе.
• Orochi - Orochi - это фреймворк с открытым исходным кодом для совместного криминалистического анализа памяти.
• Rekall - Инструмент с открытым исходным кодом (и библиотека) для извлечения цифровых артефактов из летучих образцов памяти (ОЗУ).
• Volatility - Продвинутая система криминалистики памяти.
• Volatility 3 - Нестабильная структура извлечения памяти (преемник волатильности)
• VolatilityBot - Инструмент автоматизации для исследователей вырезает все догадки и ручные задачи из фазы бинарного извлечения или помогает исследователю на первых этапах выполнения исследования анализа памяти.
• VolDiff - Анализ следов вредоносной памяти на основе волатильности.
• WindowsSCOPE - Криминалистика памяти и инструмент обратной инженерии, используемый для анализа нестабильной памяти, предлагающий возможность анализа ядра Windows, драйверов, DLL и виртуальной и физической памяти.

Инструменты визуализации памяти

• Belkasoft Live RAM Capturer - Крошечный бесплатный судебный инструмент для надежного извлечения всего содержимого нестабильной памяти компьютера – Даже если они защищены активной антиотладочной или антидемпинговой системой.
• Linux Memory Grabber - Скрипт для сброса памяти Linux и создания профилей волатильности.
• MAGNET DumpIt - Быстрый инструмент приобретения памяти для Windows (x86, x64, ARM64). Создавайте свалки полной памяти машин Windows.
• Magnet RAM Capture - Бесплатный инструмент визуализации, предназначенный для захвата физической памяти компьютера подозреваемого. Поддерживает последние версии Windows.
• OSForensics - Инструмент для приобретения живой памяти на 32-битных и 64-битных системах. Может быть произведен сброс пространства памяти отдельного процесса или сброс физической памяти.

Свидетельства OSX

• Knockknock - Отображает постоянные элементы (скрипты, команды, двоичные файлы и т.д.), которые настроены на автоматическое выполнение на OSX.
• macOS Artifact Parsing Tool (mac_apt) - Плагин на основе криминалистической основы для быстрой сортировки mac, которая работает на живых машинах, изображениях диска или отдельных файлах артефактов.
• OSX Auditor - Бесплатный инструмент компьютерной криминалистики Mac OS X.
• OSX Collector - OSX Auditor ответит в прямом эфире.
• The ESF Playground - Инструмент для просмотра событий в Apple Endpoint Security Framework (ESF) в режиме реального времени.

Другие списки

• Awesome Event IDs - Сбор ресурсов Event ID, полезных для цифровой криминалистики и реагирования на инциденты.
• Awesome Forensics - Список потрясающих инструментов и ресурсов судебно-медицинского анализа.
• Didier Stevens Suite - Коллекция инструментов
• Eric Zimmerman Tools - Обновленный список судебных инструментов, созданных Эриком Циммерманом, инструктором института SANS.
• List of various Security APIs - Коллективный список общедоступных JSON API для использования в сфере безопасности.

Другие инструменты

• Cortex - Cortex позволяет анализировать наблюдаемые объекты, такие как IP-адреса и адреса электронной почты, URL-адреса, доменные имена, файлы или хэши один за другим или в массовом режиме с использованием веб-интерфейса. Аналитики также могут автоматизировать эти операции с помощью REST API.
• Crits - Веб-инструмент, который объединяет аналитический движок с базой данных о киберугрозах.
• Diffy - Инструмент DFIR, разработанный SIRT от Netflix, позволяет следователю быстро масштабировать компромисс по облачным экземплярам (в настоящее время экземпляры Linux на AWS) во время инцидента и эффективно сортировать эти экземпляры для последующих действий, показывая различия по базовому уровню.
• domfind - Python DNS сканер для поиска идентичных доменных имен под разными TLD.
• Fileintel - Вытаскивайте интеллект на хэш файла.
• HELK - Платформа для поиска угроз.
• Hindsight - Интернет-экспертизы истории для Google Chrome / Chrome.
• Hostintel - Вытаскивай интеллект на хозяина.
• IPASIS - Репутация IP в реальном времени и API проверки электронной почты для расследования подозрительных взаимодействий. Возвращает оценку доверия взаимодействия (0-100), сочетающую обнаружение VPN / прокси / Tor с оценкой риска по электронной почте в одном вызове API.
• imagemounter - Утилита командной строки и пакет Python для облегчения (не)монтажа изображений судебно-медицинских дисков.
• Kansa - Модульная система реагирования на инциденты в PowerShell.
• MFT Browser - Реконструкция дерева каталога MFT и информация о записи.
• Munin - Онлайн хеш-проверка для VirusTotal и других сервисов.
• PowerSponse - PowerSponse - это модуль PowerShell, ориентированный на целенаправленное сдерживание и восстановление во время реагирования на инциденты безопасности.
• PyaraScanner - Очень простой многопоточный многоправильный многофайловый скрипт YARA для сканирования Python для вредоносных зоопарков и ИК.
• rastrea2r - Позволяет сканировать диски и память для IOC, используя YARA в Windows, Linux и OS X.
• RaQet - Нетрадиционный инструмент дистанционного сбора и сортировки, позволяющий сортировать диск удаленного компьютера (клиента), который перезапускается с специально построенной судебной операционной системой.
• Raccine - Простая защита Ransomware
• Stalk - Собирайте судебные данные о MySQL, когда возникают проблемы.
• Scout2 - Инструмент безопасности, который позволяет администраторам веб-сервисов Amazon оценивать состояние безопасности своей среды.
• Stenographer - Решение для захвата пакетов, которое направлено на то, чтобы быстро переместить все пакеты на диск, а затем обеспечить простой и быстрый доступ к подмножествам этих пакетов. Он хранит как можно больше истории, управляя использованием диска и удаляя при нажатии ограничений на диск. Он идеально подходит для захвата трафика непосредственно перед и во время инцидента, без необходимости явного хранения всего сетевого трафика.
• sqhunter - Охотник за угрозами на основе osquery и Salt Open (SaltStack), который может выдавать специальные или распределенные запросы без необходимости использования плагина tls osquery. sqhunter позволяет запрашивать открытые сетевые розетки и проверять их на наличие источников информации об угрозах.
• sysmon-config - Шаблон конфигурационных файлов Sysmon с высококачественным отслеживанием событий по умолчанию
• sysmon-modular - Репозиторий модулей конфигурации sysmon
• traceroute-circl - Расширенная трассировка для поддержки деятельности операторов CSIRT (или CERT). Обычно команда CSIRT должна обрабатывать инциденты на основе полученных IP-адресов. Компьютерный центр экстренного реагирования Люксембург.
• X-Ray 2.0 - Утилита Windows (плохо поддерживается или больше не поддерживается) для отправки образцов вирусов поставщикам AV.

Игровые книги

• AWS Incident Response Runbook Samples - AWS IR Runbook Samples предназначен для настройки каждого объекта, использующего их. Три образца: «DoS или DDoS-атака», «утечка учетных данных» и «непреднамеренный доступ к ведру Amazon S3».
• Counteractive Playbooks - Контрактивная коллекция PLaybooks.
• GuardSIght Playbook Battle Cards - Сборник боевых карт Cyber Incident Response Playbook
• IRM - Методология реагирования на инциденты CERT Societe Generale.
• PagerDuty Incident Response Documentation - Документы, описывающие части процесса реагирования на инциденты PagerDuty. Он предоставляет информацию не только о подготовке к инциденту, но и о том, что делать во время и после. Источник доступен на GitHub.
• Phantom Community Playbooks - Phantom Community Playbooks для Splunk, но также настраиваемый для других целей.
• ThreatHunter-Playbook - Playbook помогает разрабатывать методы и гипотезы для охотничьих кампаний.

Инструменты Dump Tools

• Microsoft ProcDump - Бросает любой запущенный Win32 обрабатывает изображение памяти на лету.
• PMDump - Инструмент, который позволяет сбрасывать содержимое памяти процесса в файл, не останавливая процесс.

Инструменты для песочницы/обновления

• Any Run - Интерактивный онлайн-сервис анализа вредоносных программ для динамического и статического исследования большинства типов угроз с использованием любой среды.
• CAPA - Обнаруживает возможности в исполняемых файлах. Вы запускаете его против модуля PE, ELF, .NET или файла кода оболочки, и он сообщает вам, что, по его мнению, может сделать программа.
• CAPEv2 - Конфигурация вредоносного ПО и извлечение полезной нагрузки.
• Cuckoo - Open Source Высоконастраиваемый инструмент для песочницы.
• Cuckoo-modified - Сильно модифицированная вилка кукушки, разработанная сообществом.
• Cuckoo-modified-api - Библиотека Python для управления песочницей, модифицированной кукушкой.
• Cutter - Бесплатная и обратная инженерная платформа с открытым исходным кодом на базе rizin.
• Ghidra - Программное обеспечение Reverse Engineering Framework.
• Hybrid-Analysis - Бесплатная мощная онлайн-песочница от CrowdStrike
• Intezer - Intezer Analyze погружается в двоичные файлы Windows, чтобы обнаружить сходство микрокода с известными угрозами, чтобы обеспечить точные, но простые для понимания результаты.
• Joe Sandbox (Community) - Joe Sandbox обнаруживает и анализирует потенциальные вредоносные файлы и URL-адреса в Windows, Android, Mac OS, Linux и iOS для подозрительных действий; предоставляя подробные аналитические отчеты.
• Mastiff - Система статического анализа, автоматизирующая процесс извлечения ключевых характеристик из различных форматов файлов.
• Metadefender Cloud - Бесплатная платформа для анализа угроз, обеспечивающая мультисканирование, дезинфицирование данных и оценку уязвимостей файлов.
• Radare2 - Обратная инженерная структура и набор инструментов командной строки.
• Reverse.IT - Альтернативный домен для инструмента гибридного анализа, предоставляемого CrowdStrike.
• Rizin - UNIX-подобная структура обратной инженерии и набор инструментов командной строки
• StringSifter - Инструмент машинного обучения, который ранжирует строки на основе их релевантности для анализа вредоносных программ.
• Threat.Zone - Облачная платформа анализа угроз, которая включает в себя песочницу, CDR и интерактивный анализ для исследователей.
• Valkyrie Comodo - Valkyrie использует поведение во время выполнения и сотни функций из файла для выполнения анализа.
• Viper - Python на основе двоичного анализа и управления фреймворком, который хорошо работает с Cuckoo и YARA.
• Virustotal - Бесплатный онлайн-сервис, который анализирует файлы и URL-адреса, позволяющие идентифицировать вирусы, черви, трояны и другие виды вредоносного контента, обнаруженного антивирусными движками и сканерами веб-сайтов.
• Visualize_Logs - Библиотека визуализации с открытым исходным кодом и инструменты командной строки для журналов (Cuckoo, Procmon, далее).
• Yomi - Free MultiSandbox управляется и размещается компанией Yoroi.

Инструменты сканирования

• Fenrir - Простой сканер МОК. Он позволяет сканировать любую систему Linux / Unix / OSX для IOC в обычном режиме. Созданы создателями Тора и Локи.
• LOKI - Бесплатный ИК-сканер для сканирования конечной точки с помощью правил яры и других индикаторов (МОК).
• Spyre - Простой сканер МОК на основе YARA, написанный в Go

Инструменты Timeline

• Aurora Incident Response - Платформа разработана, чтобы легко построить подробную хронологию инцидента.
• Highlighter - Бесплатный инструмент, доступный от Fire / Mandiant, который будет отображать лог / текстовый файл, который может выделять области на графике, которые соответствуют ключевому слову или фразе. Хорошо для времени, выстилающего инфекцию и то, что было сделано после компромисса.
• Morgue - PHP веб-приложение Etsy для управления посмертными сообщениями.
• Plaso - бэкэнд-движок на основе Python для log2timeline инструмента.
• Timesketch - Инструмент с открытым исходным кодом для совместного криминалистического анализа сроков.

Видео

• The Future of Incident Response - Представлено Брюсом Шнайером на OWASP AppSecUSA 2015.

Сбор доказательств Windows

• AChoir - Инструмент Framework/Scripting для стандартизации и упрощения процесса создания сценариев для Windows.
• Crowd Response - Легкое консольное приложение Windows, предназначенное для сбора системной информации для реагирования на инциденты и обеспечения безопасности. Он имеет множество модулей и выходных форматов.
• Cyber Triage - Cyber Triage имеет легкий инструмент сбора, который можно использовать бесплатно. Он собирает исходные файлы (такие как ульи реестра и журналы событий), но также анализирует их на живом хосте, чтобы он также мог собирать исполняемые файлы, на которые ссылаются элементы запуска, запланированные задачи и т. Д. Это вывод JSON-файла, который можно импортировать в бесплатную версию Cyber Triage. Cyber Triage производится Sleuth Kit Labs, которая также производит вскрытие.
• DFIR ORC - DFIR ORC - это коллекция специализированных инструментов, предназначенных для надежного анализа и сбора критических артефактов, таких как MFT, ульи реестра или журналы событий. DFIR ORC собирает данные, но не анализирует их: он не предназначен для сортировки машин. Он обеспечивает судебно-значимый снимок машин под управлением Microsoft Windows. Код можно найти на GitHub.
• FastIR Collector - Инструмент, который собирает различные артефакты в живых системах Windows и записывает результаты в файлы csv. При анализе этих артефактов можно обнаружить ранний компромисс.
• Fibratus - Инструмент для исследования и отслеживания ядра Windows.
• Hoarder - Сбор наиболее ценных артефактов для судебно-медицинской экспертизы или расследования инцидентов.
• IREC - All-in-one IR Evidence Collector, который захватывает RAM Image, $MFT, EventLogs, WMI Scripts, Registry Hives, System Restore Points и многое другое. Он бесплатный, молниеносный и простой в использовании.
• Invoke-LiveResponse - Invoke-LiveResponse - это инструмент прямого ответа для целевой коллекции.
• IOC Finder - Бесплатный инструмент от Mandiant для сбора данных хост-системы и отчетности о наличии индикаторов компромисса (IOC). Поддержка только для Windows. Больше не поддерживается. Полностью поддерживается только до Windows 7 / Windows Server 2008 R2.
• IRTriage - Проверка реагирования на инциденты - Сбор доказательств Windows для криминалистического анализа.
• KAPE - Kroll Artifact Parser and Extractor (KAPE) Эрика Циммермана. Инструмент сортировки, который находит наиболее распространенные цифровые артефакты, а затем быстро их анализирует. Великолепно и основательно, когда время имеет значение.
• LOKI - Бесплатный ИК-сканер для сканирования конечной точки с помощью правил яры и других индикаторов (МОК).
• MEERKAT - PowerShell на основе сортировки и поиска угроз для Windows.
• Panorama - Быстрый обзор инцидентов в живых системах Windows.
• PowerForensics - Прямая дисковая криминалистическая платформа, использующая PowerShell.
• PSRecon - PSRecon собирает данные с удаленного хоста Windows с помощью PowerShell (v2 или более поздней версии), организует данные в папки, хэширует все извлеченные данные, хэширует PowerShell и различные свойства системы и отправляет данные в команду безопасности. Данные могут быть перенесены на общий доступ, отправлены по электронной почте или сохранены локально.
• RegRipper - Инструмент с открытым исходным кодом, написанный на Perl, для извлечения / сбора информации (ключей, значений, данных) из реестра и представления ее для анализа.