memOptix

تم إنشاء دفتر Jupyter هذا لمساعدة محترفي DFIR في فرز تفريغات ذاكرة Windows.

يُرجى ملاحظة أن هذا الدفتر أُنشئ بناءً على المخرجات المُولَّدة من سكربت Supermem الخاص بـ CrowdStrike (https://github.com/CrowdStrike/SuperMem). يجب تشغيل وضع الفرز (triage) 2 أو 3 من SuperMem على تفريغ الذاكرة قبل تشغيل هذا الدفتر. كما يتم توفير خلية معالجة Volatility منفصلة كجزء من هذا الدفتر، إذا قررت تشغيل Volatility على تفريغ الذاكرة بشكل تفاعلي لتوليد المخرجات المطلوبة.

تُستخدم المشاريع مفتوحة المصدر التالية في هذا الدفتر

https://github.com/microsoft/msticpy

https://github.com/volatilityfoundation/volatility3

https://github.com/CrowdStrike/SuperMem

المؤلف: J Marasinghe

المتطلبات الأساسية

• Python 3.8 أو أحدث
• Volatility3
• مفاتيح API التالية مطلوبة لدعم عمليات إثراء MSTICPY. GeoIPLite، GreyNoise و OTX

الاستخدام

1. git clone https://github.com/blueteam0ps/memOptix.git
2. حدّث msticpyconfig.yaml وأدرج مفاتيح API الموصوفة في المتطلبات الأساسية
3. افتح memOptix-analyst.ipynb داخل Jupyter واتبع التعليمات الموجودة داخل الدفتر
4. إذا كنت لا تخطط لتشغيل Supermem وترغب في توليد ملفات CSV المطلوبة للدفتر، فيرجى تشغيل الخلية التالية. إذا كانت لديك بالفعل ملفات CSV، فحدّث المسار كما هو موضح وتخطَّ توليد ملفات CSV.

لقطات الشاشة

حقوق الصورة أيقونات الذاكرة من إنشاء Darius Dan - Flaticon