搜索

[28541] 2020-08-30_应急响应大合集

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-19
2020-08-30_应急响应大合集 应 急 响 应 大 合 集 O t s 安 全   2 0 2 0 - 0 8 - 3 0 用 于 安 全 事 件 响 应 的 工 具 与 资 源 的 列 表 ， 旨 在 帮 助 安 全 分 析 师 与   D F I R   团 队 。 D F I R   团 队 是 组 织 中 负 责 安 全 事 件 响 应 （ 包 括 事 件 证 据 、 影 响 修 复 等 ） 的 人 员 组 织 ， 以 防 止 组 织 将 来 再 次 发 生 该 事 件 。 目 录 目 录 对 抗 模 拟 工 具 集 书 籍 社 区 磁 盘 镜 像 创 建 工 具 证 据 收 集 事 件 管 理 L i n u x   发 行 版 L i n u x   证 据 收 集 日 志 分 析 工 具 内 存 分 析 工 具 内 存 镜 像 工 具 O S X   证 据 收 集 其 它 清 单 其 他 工 具 P l a y b o o k s 进 程   D u m p   工 具 沙 盒   /   逆 向 工 具 时 间 线 工 具 视 频 W i n d o w s   证 据 收 集 I R   工 具 收 集 工 具 收 集 对 抗 模 拟 对 抗 模 拟 A P T S i m u l a t o r   -   使 用 一 组 工 具 与 输 出 文 件 处 理 操 作 系 统 的   W i n d o w s   批 处 理 脚 本 ， 使 得 系 统 看 上 去 像 被 攻 陷 了 。
A t o m i c   R e d   T e a m   ( A R T )   -   与   M i t r e   A T T ＆ C K   框 架 匹 配 的 便 携 测 试 工 具 。 A u t o T T P   -   自 动 策 略 技 术 与 程 序 。 手 动 重 复 运 行 复 杂 序 列 进 行 回 归 测 试 ， 产 品 评 估 ， 为 研 究 人 员 生 成 数 据 。 B l u e   T e a m   T r a i n i n g   T o o l k i t   ( B T 3 )   -   用 于 防 御 性 安 全 培 训 的 软 件 ， 将 网 络 分 析 培 训 课 程 ， 事 件 响 应 演 练 和   R e d   T e a m   合 作 提 升 到 一 个 新 的 水 平 。 C a l d e r a   -   在   W i n d o w s   E n t e r p r i s e   网 络 中 攻 陷 系 统 后 执 行 敌 对 行 为 的 自 动 对 手 仿 真 系 统 。 运 行 时 的 行 为 由 计 划 系 统 和 基 于 A T T ＆ C K ™   项 目 预 先 配 置 的 对 手 模 型 生 成 。 D u m p s t e r F i r e   -   D u m p s t e r F i r e   工 具 集 是 一 个 模 块 化 、 菜 单 驱 动 的 跨 平 台 工 具 ， 用 于 构 建 可 重 复 的 分 布 式 安 全 事 件 。 创 建 B l u e   T e a m   演 戏 与 传 感 器 报 警 映 射 关 系 的 自 定 义 事 件 链 。 R e d   T e a m   可 以 制 造 诱 饵 事 件 ， 分 散 防 守 方 的 注 意 力 以 支 持 和 扩 大 战 果 。 M e t t a   -   用 于 进 行 敌 对 模 拟 的 信 息 安 全 防 御 工 具 。 N e t w o r k   F l i g h t   S i m u l a t o r   -   用 于 生 成 恶 意 网 络 流 量 并 帮 助 安 全 团 队 评 估 安 全 控 制 和 网 络 可 见 性 的 轻 量 级 程 序 。 R e d   T e a m   A u t o m a t i o n   ( R T A )   -   R T A   提 供 了 一 个 旨 在 让   B l u e   T e a m   在 经 历 过   M I T R E   A T T & C K   模 型 为 指 导 的 攻 击 行 为 后 的 检 测 能 力 的 脚 本 框 架 。 R e d H u n t - O S   -   用 于 模 拟 对 手 与 威 胁 狩 猎 的 虚 拟 机 。 工 具 集 工 具 集 B e l k a s o f t   E v i d e n c e   C e n t e r   -   该 工 具 包 可 以 快 速 从 多 个 数 据 源 提 取 电 子 证 据 ， 包 括 硬 盘 、 硬 盘 镜 像 、 内 存 转 储 、 i O S 、 黑 莓 与 安 卓 系 统 备 份 、 U F E D 、 J T A G   与   c h i p - o f f   转 储 。 C i m S w e e p   -   C i m S w e e p   是 一 套 基 于   C I M / W M I   的 工 具 ， 提 供 在 所 有 版 本 的   W i n d o w s   上 执 行 远 程 事 件 响 应 和 追 踪 。 C I R T k i t   -   C I R T K i t   不 仅 是 一 个 工 具 集 合 ， 更 是 一 个 框 架 ， 统 筹 事 件 响 应 与 取 证 调 查 的 进 程 。 C y b e r   T r i a g e   -   C y b e r   T r i a g e   远 程 收 集 分 析 终 端 数 据 ， 以 帮 助 确 定 计 算 机 是 否 被 入 侵 。 其 专 注 易 用 性 与 自 动 化 ， 采 用 无 代 理 的 部 署 方 法 使 公 司 在 没 有 重 大 基 础 设 施 及 取 证 专 家 团 队 的 情 况 下 做 出 响 应 。 其 分 析 结 果 用 于 决 定 该 终 端 是 否 应 该 被 擦 除 或 者 进 行 进 一 步 调 查 。 D i g i t a l   F o r e n s i c s   F r a m e w o r k   -   D F F   是 一 个 建 立 在 专 用   A P I   之 上 的 开 源 计 算 机 取 证 平 台 ， D F F   提 出 了 一 种 替 代 目 前 老 旧 的 数 字 取 证 解 决 方 案 。 其 设 计 简 单 、 更 加 易 于 自 动 化 。 D F F   接 口 可 以 帮 助 用 户 进 行 数 字 调 查 取 证 的 主 要 步 骤 ， 专 业 与 非 专 业 人 员 都 可 以 快 速 的 进 行 数 字 取 证 并 执 行 事 件 响 应 。 D o o r m a n   -   D o o r m a n   是 一 个   o s q u e r y   的 管 理 平 台 ， 可 以 远 程 管 理 节 点 的   o s q u e r y   配 置 。 它 利 用   o s q u e r y   的   T L S   配 置 记 录 器 分 布 式 读 写 等 优 势 仅 以 最 小 开 销 和 侵 入 性 为 管 理 员 提 供 一 组 设 备 的 管 理 可 见 性 。 E n v d b   -   E n v d b   将 你 的 生 产 开 发 云 等 环 境 变 成 数 据 库 集 群 ， 你 可 以 使 用   o s q u e r y   作 为 基 础 搜 索 。 它 将   o s q u e r y   的 查 询 进 程 和 一 个 a g e n t 打 包 在 一 起 向 一 个 集 中 位 置 发 送 。 F a l c o n   O r c h e s t r a t o r   -   F a l c o n   O r c h e s t r a t o r   是 由   C r o w d S t r i k e   提 供 的 一 个 基 于   W i n d o w s   可 扩 展 的 应 用 程 序 ， 提 供 工 作 流 自 动 化 、 案 例 管 理 与 安 全 应 急 响 应 等 功 能 。 G R R   R a p i d   R e s p o n s e   -   G R R   R a p i d   R e s p o n s e   是 一 个 用 来 远 程 现 场 实 时 取 证 的 应 急 响 应 框 架 ， 其 带 有 一 个 p y t h o n 客 户 端 安 装 在 目 标 系 统 以 及 一 个 可 以 管 理 客 户 端 的   P y t h o n   编 写 的 服 务 器 。
K o l i d e   F l e e t   -   K o l i d e   F l e e t   是 一 个 为 安 全 专 家 定 制 的 先 进 的 主 机 监 控 平 台 。 通 过 利 用 F a c e b o o k 经 过 实 战 检 验 的   o s q u e r y   项 目 ， K o l i d e   能 够 快 速 回 答 复 杂 问 题 。 L i m a c h a r l i e   -   一 个 终 端 安 全 平 台 ， 它 本 身 是 一 个 小 项 目 的 集 合 ， 并 提 供 了 一 个 跨 操 作 系 统 的 低 级 环 境 ， 你 可 以 管 理 并 推 送 附 加 功 能 进 入 内 存 给 程 序 扩 展 功 能 。 M I G   -   M o z i l l a   I n v e s t i g a t o r   ( M I G )   是 一 个 在 远 程 终 端 执 行 调 查 的 平 台 ， 它 可 以 在 大 量 系 统 中 并 行 获 取 数 据 ， 从 而 加 速 事 故 调 查 与 日 常 业 务 安 全 M o z D e f   -   M o z i l l a   D e f e n s e   P l a t f o r m   ( M o z D e f )   旨 在 帮 助 安 全 事 件 处 理 自 动 化 ， 并 促 进 事 件 的 实 时 处 理 。 n i g h t H a w k   -   n i g h t H a w k   R e s p o n s e   P l a t f o r m   是 一 个 以   E l a s t i c S e a r c h   为 后 台 的 异 步 取 证 数 据 呈 现 的 应 用 程 序 ， 设 计 与   R e d l i n e   配 合 调 查 。 O p e n   C o m p u t e r   F o r e n s i c s   A r c h i t e c t u r e   -   O p e n   C o m p u t e r   F o r e n s i c s   A r c h i t e c t u r e   ( O C F A )   是 另 一 个 分 布 式 开 源 计 算 机 取 证 框 架 ， 这 个 框 架 建 立 在   L i n u x   平 台 上 ， 并 使 用   p o s t g r e S Q L   数 据 库 来 存 储 数 据 。 O s q u e r y   -   o s q u e r y   可 以 找 到   L i n u x   与   O S X   基 础 设 施 的 问 题 , 无 论 你 是 要 入 侵 检 测 、 基 础 架 构 可 靠 性 检 查 或 者 合 规 性 检 查 ， o s q u e r y   都 能 够 帮 助 你 提 高 公 司 内 部 的 安 全 组 织 能 力 ,   i n c i d e n t - r e s p o n s e   p a c k   可 以 帮 助 你 进 行 检 测 响 应 活 动 。 R e d l i n e   -   为 用 户 提 供 主 机 调 查 工 具 ， 通 过 内 存 与 文 件 分 析 来 找 到 恶 意 行 为 的 活 动 迹 象 ， 包 括 对 威 胁 评 估 配 置 文 件 的 开 发 T h e   S l e u t h   K i t   &   A u t o p s y   -   S l e u t h   K i t   是 基 于   U n i x   和   W i n d o w s   的 工 具 ， 可 以 帮 助 计 算 机 取 证 分 析 ， 其 中 包 含 各 种 协 助 取 证 的 工 具 ， 比 如 分 析 磁 盘 镜 像 、 文 件 系 统 深 度 分 析 等 T h e H i v e   -   T h e H i v e   是 一 个 可 扩 展 的 三 合 一 开 源 解 决 方 案 ， 旨 在 让   S O C 、 C S I R T 、 C E R T   或 其 他 任 何 信 息 安 全 从 业 人 员 快 速 地 进 行 安 全 事 件 调 查 。 X - W a y s   F o r e n s i c s   -   X - W a y s   是 一 个 用 于 磁 盘 克 隆 、 镜 像 的 工 具 ， 可 以 查 找 已 经 删 除 的 文 件 并 进 行 磁 盘 分 析 。 Z e n t r a l   -   与   o s q u e r y   强 大 的 端 点 清 单 保 护 能 力 相 结 合 ， 通 知 与 行 动 都 灵 活 的 框 架 ， 可 以 快 速 对   O S   X   与   L i n u x   客 户 机 上 的 更 改 做 出 识 别 与 响 应 。 书 籍 书 籍 D f i r   i n t r o )   -   作 者 : S c o t t   J .   R o b e r t s T h e   P r a c t i c e   o f   N e t w o r k   S e c u r i t y   M o n i t o r i n g :   U n d e r s t a n d i n g   I n c i d e n t   D e t e c t i o n   a n d   R e s p o n s e   -   作 者 : R i c h a r d   B e j t l i c h 社 区 社 区 a u g m e n t d   -   这 是 一 家 社 区 驱 动 的 网 站 ， 上 面 提 供 了 一 个 可 通 过 不 同 的 常 用 安 全 工 具 部 署 执 行 的 搜 索 清 单 S a n s   D F I R   m a i l i n g   l i s t   -   M a i l i n g   l i s t   b y   S A N S   f o r   D F I R S l a c k   D F I R   c h a n n e l   -   S l a c k   D F I R   C o m m u n i t i y   c h a n n e l   -   S i g n u p   h e r e 磁 盘 镜 像 创 建 工 具 磁 盘 镜 像 创 建 工 具 A c c e s s D a t a   F T K   I m a g e r   -   A c c e s s D a t a   F T K   I m a g e r   是 一 个 从 任 何 类 型 的 磁 盘 中 预 览 可 恢 复 数 据 的 取 证 工 具 ， F T K   I m a g e r   可 以 在   3 2 6 4   位 系 统 上 实 时 采 集 内 存 与 页 面 文 件 。
B i t s c o u t   -   V i t a l y   K a m l u k   开 发 的   B i t s c o u t   可 以 帮 助 你 定 制 一 个 完 全 可 信 的   L i v e C D / L i v e U S B   镜 像 以 供 远 程 数 字 取 证 使 用 （ 或 者 你 需 要 的 其 它 任 务 ） 。 它 对 系 统 所 有 者 透 明 且 可 被 监 控 ， 同 时 可 用 于 法 庭 质 证 、 可 定 制 且 紧 凑 。 G e t D a t a   F o r e n s i c   I m a g e r   -   G e t D a t a   F o r e n s i c   I m a g e r   是 一 个 基 于   W i n d o w s   程 序 ， 将 常 见 的 镜 像 文 件 格 式 进 行 获 取 转 换 验 证 取 证 G u y m a g e r   -   G u y m a g e r   是 一 个 用 于   L i n u x   上 媒 体 采 集 的 免 费 镜 像 取 证 器 。 M a g n e t   A C Q U I R E   -   M a g n e t   F o r e n s i c s   开 发 的   A C Q U I R E   可 以 在 不 同 类 型 的 磁 盘 上 执 行 取 证 , 包 括   W i n d o w s L i n u x O S   X   与 移 动 操 作 系 统 。 证 据 收 集 证 据 收 集 b u l k _ e x t r a c t o r   -   b u l k _ e x t r a c t o r   是 一 个 计 算 机 取 证 工 具 ， 可 以 扫 描 磁 盘 镜 像 、 文 件 、 文 件 目 录 ， 并 在 不 解 析 文 件 系 统 或 文 件 系 统 结 构 的 情 况 下 提 取 有 用 的 信 息 ， 由 于 其 忽 略 了 文 件 系 统 结 构 ， 程 序 在 速 度 和 深 入 程 度 上 都 相 比 其 它 工 具 有 了 很 大 的 提 高 。 C o l d   D i s k   Q u i c k   R e s p o n s e   -   使 用 精 简 的 解 析 器 列 表 来 快 速 分 析 取 证 镜 像 文 件 ( d d ,   E 0 1 ,   . v m d k ,   e t c ) 并 输 出 报 告 。 i r - r e s c u e   -   i r - r e s c u e   是 一 个   W i n d o w s   批 处 理 脚 本 与 一 个   U n i x   B a s h   脚 本 , 用 于 在 事 件 响 应 期 在 主 机 全 面 收 集 证 据 。 L i v e   R e s p o n s e   C o l l e c t i o n   -   B r i M o r   开 发 的   L i v e   R e s p o n s e   c o l l e c t i o n   是 一 个 用 于 从   W i n d o w s 、 O S X 、 * n i x   等 操 作 系 统 中 收 集 易 失 性 数 据 的 自 动 化 工 具 。 M a r g a r i t a   S h o t g u n   -   用 于 并 行 远 程 内 存 获 取 的 命 令 行 程 序 事 件 管 理 事 件 管 理 C y b e r C P R   -   处 理 敏 感 事 件 时 为 支 持   G D P R   而 构 建 的 社 区 和 商 业 事 件 管 理 工 具 C y p h o n   -   C y p h o n   通 过 一 个 单 一 的 平 台 来 组 织 一 系 列 相 关 联 的 工 作 消 除 了 事 件 管 理 的 开 销 。 它 对 事 件 进 行 收 集 、 处 理 、 分 类 。 D e m i s t o   -   D e m i s t o   免 费 的 社 区 版 提 供 全 事 件 生 命 周 期 的 管 理 ， 事 件 披 露 报 告 ， 团 队 任 务 分 配 与 协 作 ， 以 及 众 多 增 强 自 动 化 的 系 统 集 成 （ 如   A c t i v e   D i r e c t o r y ,   P a g e r D u t y ,   J i r a   等 ） 。 F I R   -   F a s t   I n c i d e n t   R e s p o n s e   ( F I R )   是 一 个 网 络 安 全 事 件 管 理 平 台 ， 在 设 计 时 考 虑 了 敏 捷 性 与 速 度 。 其 可 以 轻 松 创 建 、 跟 踪 、 报 告 网 络 安 全 应 急 事 件 并 用 于   C S I R T 、 C E R T   与   S O C   等 人 员 。 K A P E   -   审 核 工 具 ， 用 于 查 找 最 普 遍 的 数 字 证 据 然 后 进 行 快 速 地 解 析 ， 效 率 很 高 。 R T I R   -   R e q u e s t   T r a c k e r   f o r   I n c i d e n t   R e s p o n s e   ( R T I R )   对 于 安 全 团 队 来 说 是 首 要 的 开 源 事 件 处 理 系 统 , 其 与 世 界 各 地 的 十 多 个 C E R T   与   C S I R T   合 作 ， 帮 助 处 理 不 断 增 加 的 事 件 报 告 ， R T I R   包 含   R e q u e s t   T r a c k e r   的 全 部 功 能 。 S a n d i a   C y b e r   O m n i   T r a c k e r   ( S C O T )   -   S a n d i a   C y b e r   O m n i   T r a c k e r   ( S C O T )   是 一 个 应 急 响 应 协 作 与 知 识 获 取 工 具 ， 为 事 件 响 应 的 过 程 在 不 给 用 户 带 来 负 担 的 情 况 下 增 加 价 值 。 t h r e a t _ n o t e   -   一 个 轻 量 级 的 调 查 笔 记 ， 允 许 安 全 研 究 人 员 注 册 、 检 索 他 们 需 要 的   I O C   数 据 。 L i n u x   发 行 版 发 行 版 A D I A   -   A p p l i a n c e   f o r   D i g i t a l   I n v e s t i g a t i o n   a n d   A n a l y s i s   ( A D I A )   是 一 个 基 于   V M w a r e   的 应 用 程 序 ， 用 于 进 行 数 字 取 证 。 其 完 全
由 公 开 软 件 构 建 ， 包 含 的 工 具 有   A u t o p s y S l e u t h   K i t D i g i t a l   F o r e n s i c s   F r a m e w o r k l o g 2 t i m e l i n e X p l i c o W i r e s h a r k 。 大 多 数 系 统 维 护 使 用   W e b m i n 。 它 为 中 小 规 模 的 数 字 取 证 设 计 ， 可 在   L i n u x 、 W i n d o w s   及   M a c   O S   下 使 用 。 C A I N E   -   C o m p u t e r   A i d e d   I n v e s t i g a t i v e   E n v i r o n m e n t   ( C A I N E )   包 含 许 多 帮 助 调 查 人 员 进 行 分 析 的 工 具 ， 包 括 取 证 工 具 。 C C F - V M   -   C y L R   C D Q R   F o r e n s i c s   V i r t u a l   M a c h i n e   ( C C F - V M ) :   一 款 多 合 一 的 解 决 方 案 ， 能 够 解 析 收 集 的 数 据 ， 将 它 转 化 得 易 于 使 用 內 建 的 常 见 搜 索 ， 也 可 并 行 搜 索 一 个 或 多 个 主 机 。 D E F T   -   D i g i t a l   E v i d e n c e   &   F o r e n s i c s   T o o l k i t   ( D E F T )   是 一 个 用 于 计 算 机 取 证 的   L i n u x   发 行 版 ， 它 与   W i n d o w s   上 的   D i g i t a l A d v a n c e d   R e s p o n s e   T o o l k i t   ( D A R T )   捆 绑 在 一 起 。 D E F T   的 轻 量 版 被 成 为   D E F T   Z e r o ， 主 要 关 注 可 用 于 法 庭 质 证 的 取 证 环 节 。 N S T   -   N e t w o r k   S e c u r i t y   T o o l k i t   -   包 括 大 量 的 优 秀 开 源 网 络 安 全 应 用 程 序 的   L i n u x   发 行 版 P A L A D I N   -   P A L A D I N   是 一 个 附 带 许 多 开 源 取 证 工 具 的 改   L i n u x   发 行 版 ， 用 于 以 可 被 法 庭 质 证 的 方 式 执 行 取 证 任 务 S e c u r i t y   O n i o n   -   S e c u r i t y   O n i o n   是 一 个 特 殊 的   L i n u x   发 行 版 ， 旨 在 利 用 高 级 的 分 析 工 具 进 行 网 络 安 全 监 控 S I F T   W o r k s t a t i o n   -   S A N S   I n v e s t i g a t i v e   F o r e n s i c   T o o l k i t   ( S I F T )   使 用 前 沿 的 优 秀 开 源 工 具 以 实 现 高 级 事 件 响 应 与 入 侵 深 度 数 字 取 证 ， 这 些 功 能 免 费 提 供 并 且 经 常 更 新 。 L i n u x   证 据 收 集 证 据 收 集 F a s t I R   C o l l e c t o r   L i n u x   -   F a s t I R   在   L i n u x   系 统 上 收 集 不 同 的 信 息 并 将 结 果 存 入   C S V   文 件 日 志 分 析 工 具 日 志 分 析 工 具 K a s p e r s k y   C y b e r T r a c e   -   将 威 胁 数 据 与   S I E M   集 成 的 分 析 工 具 ， 用 户 可 以 在 现 有 安 全 运 营 和 工 作 流 中 利 用 威 胁 情 报 进 行 安 全 监 控 与 事 件 响 应 。 L o r g   -   一 个 用   H T T P D   日 志 进 行 高 级 安 全 分 析 与 取 证 的 工 具 L o g d i s s e c t   -   用 于 分 析 日 志 文 件 和 其 他 数 据 的   C L I   实 用 程 序 和   P y t h o n   A P I S t r e a m A l e r t   -   S e r v e r l e s s ,   r e a l - t i m e   l o g   d a t a   a n a l y s i s   f r a m e w o r k ,   c a p a b l e   o f   i n g e s t i n g   c u s t o m   d a t a   s o u r c e s   a n d   t r i g g e r i n g   a l e r t s   u s i n g u s e r - d e f i n e d   l o g i c . S y s m o n S e a r c h   -   S y s m o n S e a r c h   通 过 聚 合 事 件 日 志 使 分 析   W i n d o w s   事 件 日 志 的 效 率 更 高 。 内 存 分 析 工 具 内 存 分 析 工 具 E v o l v e   -   V o l a t i l i t y   内 存 取 证 框 架 的   W e b   界 面 i n V t e r o . n e t   -   支 持   h y p e r v i s o r   的   W i n d o w s   x 6 4   高 级 内 存 分 析 K n T L i s t   -   计 算 机 内 存 分 析 工 具 L i M E   -   L i M E   是   L o a d a b l e   K e r n e l   M o d u l e   ( L K M ) ， 可 以 从   L i n u x   以 及 基 于   L i n u x   的 设 备 采 集 易 失 性 内 存 数 据 。 M a l C o n f S c a n   -   M a l C o n f S c a n   是 使 用   V o l a t i l i t y   提 取 已 知 恶 意 软 件 配 置 信 息 的 插 件 ， V o l a t i l i t y   是 用 于 事 件 响 应 与 恶 意 软 件 分 析 的 开 源 内 存 取 证 框 架 。 该 插 件 在 内 存 中 搜 索 恶 意 软 件 并 提 取 配 置 信 息 ， 此 外 该 工 具 具 有 列 出 恶 意 代 码 使 用 的 字 符 串 的 功 能 。 M e m o r y z e   -   由   M a n d i a n t   开 发 的   M e m o r y z e   是 一 个 免 费 的 内 存 取 证 软 件 ， 可 以 帮 助 应 急 响 应 人 员 在 内 存 中 定 位 恶 意 部 位 ,
M e m o r y z e   也 可 以 分 析 内 存 镜 像 或 者 在 正 在 运 行 的 系 统 上 把 页 面 文 件 加 入 它 的 分 析 。 M e m o r y z e   f o r   M a c   -   M e m o r y z e   f o r   M a c   是   M e m o r y z e   但 仅 限 于   M a c , 且 功 能 较 少 。 R e k a l l   -   用 于 从   R A M   中 提 取 样 本 的 开 源 工 具 R e s p o n d e r   P R O   -   R e s p o n d e r   P R O   是 一 个 工 业 级 的 物 理 内 存 及 自 动 化 恶 意 软 件 分 析 解 决 方 案 V o l a t i l i t y   -   高 级 内 存 取 证 框 架 V o l a t i l i t y B o t   -   V o l a t i l i t y B o t   是 一 个 自 动 化 工 具 ， 帮 助 研 究 员 减 少 在 二 进 制 程 序 提 取 解 析 阶 段 的 手 动 任 务 ， 或 者 帮 助 研 究 人 员 进 行 内 存 分 析 调 查 的 第 一 步 V o l D i f f   -   基 于   V o l a t i l i t y   的   恶 意 软 件 足 迹 分 析 W i n d o w s S C O P E   -   一 个 用 来 分 析 易 失 性 内 存 的 取 证 与 逆 向 工 程 工 具 ， 被 用 于 对 恶 意 软 件 进 行 逆 向 分 析 ， 提 供 了 分 析 W i n d o w s   内 核 驱 动 程 序 D L L 虚 拟 与 物 理 内 存 的 功 能 。 内 存 镜 像 工 具 内 存 镜 像 工 具 B e l k a s o f t   L i v e   R A M   C a p t u r e r   -   轻 量 级 取 证 工 具 , 即 使 有 反 调 试 反 转 储 的 系 统 保 护 下 也 可 以 方 便 地 提 取 全 部 易 失 性 内 存 的 内 容 。 L i n u x   M e m o r y   G r a b b e r   -   用 于   d u m p   L i n u x   内 存 并 创 建   V o l a t i l i t y   配 置 文 件 的 脚 本 。 M a g n e t   R A M   C a p t u r e   -   M a g n e t   R A M   C a p t u r e   是 一 个 免 费 的 镜 像 工 具 ， 可 以 捕 获 可 疑 计 算 机 中 的 物 理 内 存 ， 支 持 最 新 版 的 W i n d o w s 。 O S F o r e n s i c s   -   O S F o r e n s i c s   可 以 获 取   3 2 / 6 4   位 系 统 的 实 时 内 存 ， 可 以 将 每 个 独 立 进 程 的 内 存 空 间   d u m p   下 来 。 O S X   证 据 收 集 证 据 收 集 K n o c k k n o c k   -   显 示 那 些 在   O S X   上 被 设 置 为 自 动 执 行 的 那 些 脚 本 、 命 令 、 程 序 等 。 m a c _ a p t   -   m a c O S   A r t i f a c t   P a r s i n g   T o o l   -   基 于 插 件 的 取 证 框 架 ， 可 以 对 正 在 运 行 的 系 统 、 硬 盘 镜 像 或 者 单 个 文 件 。 O S X   A u d i t o r   -   O S X   A u d i t o r   是 一 个 面 向   M a c   O S   X   的 免 费 计 算 机 取 证 工 具 。 O S X   C o l l e c t o r   -   O S X   A u d i t o r   的 实 时 响 应 版 。 其 它 清 单 其 它 清 单 E r i c   Z i m m e r m a n   T o o l s   -   由   S A N S   的 讲 师   E r i c   Z i m m e r m a n   创 建 的 取 证 工 具 列 表 L i s t   o f   v a r i o u s   S e c u r i t y   A P I s   -   一 个 包 括 了 在 安 全 领 域 使 用 的 公 开   J S O N   A P I   的 汇 总 清 单 其 他 工 具 其 他 工 具 C o r t e x   -   C o r t e x   可 以 通 过   W e b   界 面 逐 个 或 批 量 对   I P   地 址 邮 件 地 址 U R L 域 名 文 件 哈 希 的 分 析 , 还 可 以 使 用   R E S T   A P I   来 自 动 执 行 这 些 操 作 C r i t s   -   一 个 将 分 析 引 擎 与 网 络 威 胁 数 据 库 相 结 合 且 带 有   W e b   界 面 的 工 具 D i f f y   -   N e t f l i x   d e   S I R T   开 发 的   D F I R   工 具 ， 允 许 调 查 人 员 快 速 地 跨 越 云 主 机 （ A W S   的   L i n u x   实 例 ） 并 通 过 审 查 基 线 的 的 差 异 来 有 效 地 审 查 这 些 实 例 以 便 进 行 后 续 操 作
d o m f i n d   -   d o m f i n d   一 个 用   P y t h o n   编 写 的   D N S   爬 虫 ， 它 可 以 找 到 在 不 同 顶 级 域 名 下 面 的 相 同 域 名 . F e n r i r   -   F e n r i r   是 一 个 简 单 的   I O C   扫 描 器 , 可 以 在 纯   b a s h   中 扫 描 任 意   L i n u x / U n i x / O S X   系 统 , 由   T H O R   与   L O K I   的 开 发 者 创 作 F i l e i n t e l   -   为 每 个 文 件 哈 希 值 提 供 情 报 H E L K   -   威 胁 捕 捉 H i n d s i g h t   -   针 对   G o o g l e   C h r o m e / C h r o m i u m   中 浏 览 历 史 的 数 字 取 证 H o s t i n t e l   -   为 每 个 主 机 提 供 情 报 i m a g e m o u n t e r   -   命 令 行 工 具 及   P y t h o n   包 ， 可 以 简 单 地   m o u n t / u n m o u n t   数 字 取 证 的 硬 盘 镜 像 K a n s a   -   K a n s a   是 一 个   P o w e r S h e l l   的 模 块 化 应 急 响 应 框 架 P y a r a S c a n n e r   -   P y a r a S c a n n e r   是 一 个 非 常 简 单 的 多 线 程 、 多 规 则 、 多 文 件 的   Y A R A   扫 描 脚 本 r a s t r e a 2 r   -   使 用   Y A R A   在   W i n d o w s 、 L i n u x   与   O S   X   上 扫 描 硬 盘 或 内 存 R a Q e t   -   R a Q e t   是 一 个 非 常 规 的 远 程 采 集 与 分 类 工 具 ， 允 许 对 那 些 为 取 证 构 建 的 操 作 系 统 进 行 远 端 计 算 机 的 遴 选 S t a l k   -   收 集 关 于   M y S Q L   的 取 证 数 据 S c o u t 2   -   帮 助   A m a z o n   W e b   服 务 管 理 员 评 估 其 安 全 态 势 的 工 具 S e a r c h G i a n t   -   从 云 服 务 中 获 取 取 证 数 据 的 命 令 行 程 序 S t e n o g r a p h e r   -   S t e n o g r a p h e r   是 一 个 数 据 包 捕 获 解 决 方 案 ， 旨 在 快 速 将 全 部 数 据 包 转 储 到 磁 盘 中 ， 然 后 提 供 对 这 些 数 据 包 的 快 速 访 问 。 它 存 储 尽 可 能 多 的 历 史 记 录 并 且 管 理 磁 盘 的 使 用 情 况 ， 在 大 小 达 到 设 定 的 上 限 时 删 除 记 录 ， 非 常 适 合 在 事 件 发 生 前 与 发 生 中 捕 获 流 量 ， 而 不 是 显 式 存 储 所 有 流 量 。 s q h u n t e r   -   一 个 基 于   o s q u e r y   和   S a l t   O p e n   ( S a l t S t a c k )   的 威 胁 捕 捉 工 具 ， 它 无 需   o s q u e r y   的   t l s   插 件 就 能 发 出 临 时 的 或 者 分 布 式 的 查 询 。 s q h u n t e r   也 可 以 查 询 开 放 的   s o c k e t s ， 并 将 它 们 与 威 胁 情 报 进 行 比 对 。 t r a c e r o u t e - c i r c l   -   由   C o m p u t e r   E m e r g e n c y   R e s p o n c e   C e n t e r   L u x e m b o u r g   开 发 的   t r a c e r o u t e - c i r c l   是 一 个 增 强 型 的   t r a c e r o u t e   来 帮 助   C S I R T C E R T   的 工 作 人 员 ， 通 常   C S I R T   团 队 必 须 根 据 收 到 的   I P   地 址 处 理 事 件 X - R a y   2 . 0   -   一 个 用 来 向 反 病 毒 厂 商 提 供 样 本 的   W i n d o w s   实 用 工 具 ( 几 乎 不 再 维 护 ) P l a y b o o k s D e m i s t o   P l a y b o o k s   C o l l e c t i o n   -   P l a y b o o k   集 锦 I R M   -   C E R T   S o c i e t e   G e n e r a l e   开 发 的 事 件 响 应 方 法 论 I R   W o r k f l o w   G a l l e r y   -   不 同 的 通 用 事 件 响 应 工 作 流 程 , 例 如 恶 意 软 件 爆 发 、 数 据 窃 取 、 未 经 授 权 的 访 问 等 ， 每 个 工 作 流 程 都 有 七 个 步 骤 : 准 备 、 检 测 、 分 析 、 遏 制 、 根 除 、 恢 复 、 事 后 处 理 。 P a g e r D u t y   I n c i d e n t   R e s p o n s e   D o c u m e n t a t i o n   -   描 述   P a g e r D u t y   应 急 响 应 过 程 的 文 档 ， 不 仅 提 供 了 关 于 事 件 准 备 的 信 息 ， 还 提 供 了 在 此 前 与 之 后 要 做 什 么 工 作 ， 源 在   G i t H u b   上 。 进 程 进 程   D u m p   工 具 工 具 M i c r o s o f t   U s e r   M o d e   P r o c e s s   D u m p e r   -   用 户 模 式 下 的 进 程   d u m p   工 具 ， 可 以   d u m p   任 意 正 在 运 行 的   W i n 3 2   进 程 内 存 映 像 P M D u m p   -   P M D u m p   是 一 个 可 以 在 不 停 止 进 程 的 情 况 下 将 进 程 的 内 存 内 容   d u m p   到 文 件 中 的 工 具
沙 盒 ／ 逆 向 工 具 沙 盒 ／ 逆 向 工 具 A M A a a S   -   安 卓 恶 意 软 件 分 析 服 务 ， 在 原 生 安 卓 环 境 中 执 行 A n y   R u n   -   交 互 式 恶 意 软 件 分 析 服 务 ， 对 大 多 数 类 型 的 威 胁 进 行 静 态 与 动 态 分 析 C A P E   -   恶 意 软 件 配 置 与   P a y l o a d   提 取 C u c k o o   -   开 源 沙 盒 工 具 ， 高 度 可 定 制 化 C u c k o o - m o d i f i e d   -   社 区 基 于   C u c k o o   的 大 修 版 C u c k o o - m o d i f i e d - a p i   -   一 个 用 来 控 制   C u c k o o   沙 盒 设 置 的   P y t h o n   库 H y b r i d - A n a l y s i s   -   H y b r i d - A n a l y s i s   是 一 个 由   P a y l o a d   S e c u r i t y   提 供 的 免 费 在 线 沙 盒 I n t e z e r   -   深 入 分 析   W i n d o w s   二 进 制 文 件 ， 检 测 与 已 知 威 胁 的   m i c r o - c o d e   相 似 性 ， 以 便 提 供 准 确 且 易 于 理 解 的 结 果 J o e   S a n d b o x   ( C o m m u n i t y )   -   J o e   S a n d b o x   沙 盒 分 析 检 测   W i n d o w s 、 A n d r o i d 、 M a c   O S 、 L i n u x   和   i O S   中 的 恶 意 软 件 与   U R L ， 查 找 可 疑 文 件 并 提 供 全 面 、 详 细 的 分 析 报 告 M a s t i f f   -   M A S T I F F   是 一 个 静 态 分 析 框 架 ， 可 以 自 动 化 的 从 多 种 文 件 格 式 中 提 取 关 键 特 征 。 M e t a d e f e n d e r   C l o u d   -   M e t a d e f e n d e r   是 一 个 免 费 的 威 胁 情 报 平 台 ， 提 供 多 点 扫 描 、 数 据 清 理 以 及 对 文 件 的 脆 弱 性 分 析 R e v e r s e . I T   -   由   C r o w d S t r i k e   提 供 支 持 的 分 析 工 具 V a l k y r i e   C o m o d o   -   V a l k y r i e   使 用 运 行 时 行 为 与 文 件 的 数 百 个 特 征 进 行 分 析 V i p e r   -   V i p e r   是 一 个 基 于   P y t h o n   的 二 进 制 程 序 分 析 及 管 理 框 架 ， 支 持   C u c k o o   与   Y A R A V i r u s t o t a l   -   V i r u s t o t a l ,   G o o g l e   的 子 公 司 ， 一 个 免 费 在 线 分 析 文 件 / U R L 的 厂 商 ， 可 以 分 析 病 毒 蠕 虫 木 马 以 及 其 他 类 型 被 反 病 毒 引 擎 或 网 站 扫 描 器 识 别 的 恶 意 内 容 V i s u a l i z e _ L o g s   -   C u c k o o 、 P r o c m o n 等 日 志 的 开 源 可 视 化 库 时 间 线 工 具 时 间 线 工 具 H i g h l i g h t e r   -   F i r e / M a n d i a n t   开 发 的 免 费 工 具 ， 来 分 析 日 志 / 文 本 文 件 ， 可 以 对 某 些 关 键 字 或 短 语 进 行 高 亮 显 示 ， 有 助 于 时 间 线 的 整 理 M o r g u e   -   一 个   E t s y   开 发 的   P H P   W e b   应 用 ， 可 用 于 管 理 事 后 处 理 P l a s o   -   一 个 基 于   P y t h o n   用 于   l o g 2 t i m e l i n e   的 后 端 引 擎 T i m e s k e t c h   -   用 于 协 作 取 证 时 间 线 分 析 的 开 源 工 具 视 频 视 频 D e m i s t o   I R   v i d e o   r e s o u r c e s   -   应 急 响 应 与 取 证 分 析 的 视 频 资 源 T h e   F u t u r e   o f   I n c i d e n t   R e s p o n s e   -   B r u c e   S c h n e i e r   在   O W A S P   A p p S e c U S A   2 0 1 5   上 的 分 享 W i n d o w s   证 据 收 集 证 据 收 集 A C h o i r   -   A c h o i r   是 一 个 将 对   W i n d o w s   的 实 时 采 集 工 具 脚 本 化 变 得 更 标 准 与 简 单 的 框 架 B i n a r y f o r a y   -   一 个   W i n d o w s   取 证 的 免 费 工 具 列 表   ( h t t p : / / b i n a r y f o r a y . b l o g s p o t . c o . i l / )
C r o w d   R e s p o n s e   -   由   C r o w d S t r i k e   开 发 的   C r o w d   R e s p o n s e   是 一 个 轻 量 级   W i n d o w s   终 端 应 用 , 旨 在 收 集 用 于 应 急 响 应 与 安 全 操 作 的 系 统 信 息 ， 其 包 含 许 多 模 块 与 输 出 格 式 。 D F I R   O R C   -   D F I R   O R C   是 专 门 用 于 证 据 收 集 的 关 键 组 件 ， 提 供 了   W i n d o w s   计 算 机 的 取 证 快 照 ， 代 码 在   G i t H u b   上 找 到 F a s t I R   C o l l e c t o r   -   F a s t I R   C o l l e c t o r   在   W i n d o w s   系 统 中 实 时 收 集 各 种 信 息 并 将 结 果 记 录 在   C S V   文 件 中 ， 通 过 对 这 些 信 息 的 分 析 ， 我 们 可 以 发 现 早 期 的 入 侵 痕 迹 F E C T   -   F a s t   E v i d e n c e   C o l l e c t o r   T o o l k i t   ( F E C T )   是 一 个 轻 量 级 的 应 急 响 应 工 具 集 ， 用 于 在 可 疑 的   W i n d o w s   计 算 机 上 取 证 ， 它 可 以 让 非 技 术 调 查 人 员 更 专 业 的 进 行 应 急 处 理 。 F i b r a t u s   -   探 索 与 跟 踪   W i n d o w s   内 核 的 工 具 。 I R E C   -   免 费 、 高 效 、 易 用 的 集 成   I R   证 据 收 集 工 具 ， 可 收 集 内 存 映 像 、 $ M F T 、 事 件 日 志 、 W M I   脚 本 、 注 册 表 ， 系 统 还 原 点 等 I O C   F i n d e r   -   I O C   F i n d e r   是 由   M a n d i a n t   开 发 的 免 费 工 具 ， 用 来 收 集 主 机 数 据 并 报 告 存 在 危 险 的   I O C ， 仅 支 持   W i n d o w s 。 F i d e l i s   T h r e a t S c a n n e r   -   F i d e l i s   T h r e a t S c a n n e r   是 一 个 由   F i d e l i s   C y b e r s e c u r i t y   开 发 的 免 费 工 具 ， 使 用   O p e n I O C   和   Y A R A   来 报 告 终 端 设 备 的 安 全 状 态 ， T h r e a t S c a n n e r   衡 量 系 统 的 运 行 状 态 后 会 出 具 匹 配 情 况 的 报 告 ， 仅 限   W i n d o w s 。 L O K I   -   L o k i   是 一 个 使 用   Y A R A   与 其 他   I O C   对 终 端 进 行 扫 描 的 免 费   I R   扫 描 器 P a n o r a m a   -   W i n d o w s   系 统 运 行 时 的 快 速 事 件 概 览 P o w e r F o r e n s i c s   -   P o w e r S h e l l   开 发 的 实 时 硬 盘 取 证 框 架 P S R e c o n   -   P S R e c o n   使 用   P o w e r S h e l l   在 远 程   W i n d o w s   主 机 上 提 取 / 整 理 数 据 ， 并 将 数 据 发 送 到 安 全 团 队 ， 数 据 可 以 通 过 邮 件 来 传 送 数 据 或 者 在 本 地 留 存 R e g R i p p e r   -   R e g r i p p e r   是 用   P e r l   编 写 的 开 源 工 具 ， 可 以 从 注 册 表 中 提 取 / 解 析 数 据 ( 键 值 数 据 ) 提 供 分 析 T R I A G E - I R   -   T r i a g e - I R   是 一 个   W i n d o w s   下 的   I R   收 集 工 具 项 目 地 址 ： h t t p s : / / g i t h u b . c o m / m e i r w a h / a w e s o m e - i n c i d e n t - r e s p o n s e / b l o b / m a s t e r / R E A D M E _ c h . m d 阅 读 原 文

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理