memOptix

Dieses Jupyter-Notebook wurde erstellt, um DFIR-Experten bei der Triagierung von Windows-Speicherabbildern zu unterstützen.

Bitte beachten Sie, dass dieses Notebook auf der Grundlage der Ausgabe erstellt wurde, die mit dem Supermem-Python-Skript von CrowdStrike (https://github.com/CrowdStrike/SuperMem) erzeugt wurde. SuperMem-Triage-Modus 2 oder 3 sollte vor der Ausführung dieses Notebooks gegen das Speicherabbild ausgeführt werden. Eine separate Volatility-Verarbeitungszelle ist Teil dieses Notebooks, falls Sie Volatility interaktiv gegen ein Speicherabbild ausführen möchten, um die erforderliche Ausgabe zu erzeugen.

Die folgenden Open-Source-Projekte werden in diesem Notebook verwendet

https://github.com/microsoft/msticpy

https://github.com/volatilityfoundation/volatility3

https://github.com/CrowdStrike/SuperMem

Autor : J Marasinghe

Voraussetzungen

• Python 3.8 oder höher
• Volatility3
• Die folgenden API-Schlüssel sind erforderlich, um MSTICPY bei seinen Anreicherungen zu unterstützen. GeoIPLite, GreyNoise und OTX

Verwendung

1. git clone https://github.com/blueteam0ps/memOptix.git
2. Aktualisieren Sie msticpyconfig.yaml und fügen Sie die in den Voraussetzungen beschriebenen API-Schlüssel hinzu
3. Öffnen Sie memOptix-analyst.ipynb in Jupyter und befolgen Sie die Anweisungen im Notebook
4. Wenn Sie nicht vorhaben, Supermem auszuführen, und die für das Notebook erforderlichen CSVs generieren möchten, führen Sie bitte die folgende Zelle aus. Wenn Sie die CSVs bereits haben, aktualisieren Sie den Pfad wie angegeben und überspringen Sie die CSV-Generierung.

Screenshots

Bildnachweis Speicher-Symbole erstellt von Darius Dan - Flaticon