Любое реагирование на инцидент начинается с одной и той же задачи: быстро снять с системы нужные данные и превратить их в то, что действительно можно читать. На этой странице мы делимся утилитами, которые используем мы и наши клиенты, — небольшими специализированными инструментами для сбора цифровых доказательств и разбора содержащихся в них артефактов.
Все они бесплатны и имеют открытый исходный код, а большинство — консольные утилиты, одинаково хорошо подходящие и для одиночного сеанса live response, и для сценариев массового сбора.
Сбор триажа#
Триаж — это небольшой набор данных, которого обычно достаточно для анализа системы, и в большинстве случаев он является разумной альтернативой полному образу диска. Однако стандартные решения подходят не для всех окружений: мешают старые версии операционных систем, ограниченное окно доступа или запрет на использование сторонних средств. В таких случаях рабочим решением могут стать утилиты ниже.
Парсеры#
Сбор — это только половина работы. Парсеры ниже превращают отдельные артефакты Windows в структурированный вывод (чаще всего JSON или CSV), который можно передать в таймлайн, в конвейер детектирования или просто в grep.
.evtx). Поддерживает вывод в JSON и пакетную обработку, что делает его удобным для автоматизации, построения таймлайнов и корреляции событий.$Secure:$SDS файловой системы NTFS, раскрывая исторические дескрипторы безопасности. Позволяет анализировать изменения прав доступа и списки контроля доступа.$I в «Корзине» Windows — исходный путь, время удаления и пользователя, — что помогает восстановить информацию об удалённых файлах.certutil. Полезен для выявления операций с сертификатами и обращений к удалённым ресурсам.Amcache.hve, выявляя следы запуска и подозрительные исполняемые файлы, с опциональными проверками через VirusTotal и OpenTIP для обогащения данными threat intelligence.NTUSER.DAT, декодирует записи UserAssist и выводит пользователя, запущенное приложение, число запусков, время последнего запуска, число фокусировок и время в фокусе.Предложить утилиту#
Разрабатываете или используете сборщик либо парсер, который доказал свою полезность в расследованиях? Напишите нам на info @ purpleshift.io, и мы рассмотрим возможность добавить его на эту страницу.
Дисклеймер: перечисленные здесь утилиты разрабатываются и поддерживаются их авторами, а не Purpleshift. Мы делимся ими, потому что сами находим их полезными на практике. Проверьте и протестируйте любую из них, прежде чем использовать в продуктивной среде или при работе с доказательствами.