DFIR-Companion

DFIR-Forensik-Begleitserver + Capture-Erweiterung

Benutzerhandbuch: https://hasamba.github.io/DFIR-Companion/manual/

Inhaltsverzeichnis

• Schnellstart
• Docker / Docker Compose
• Windows (Chocolatey)
• Linux (AppImage)
• Screenshots
• Was es erzeugt
• Funktionen
• Verwendung Ihrer MCP-Server
• Repository-Layout
• Wie die Teile zusammenpassen
• Umgebungsvariablen (companion/.env)
• npm-Skripte — vollständige CLI-Referenz
• Empfohlene Workflows
• Roadmap
• Tests
• Haftungsausschluss
• Lizenz

Screenshots

Demo-Fall: GlobalTech Industries — BEC & Ransomware-Vorbote, Mai 2026.

Ein vollständig vorbefüllter Fall, den Sie erkunden können, ohne echte Beweise zu importieren — Findings, IOCs, MITRE-Techniken, Analysten-Tags/-Kommentare, Kundenexpositionsdaten und Berichtsmetadaten sind alle vorab befüllt, sodass jedes Dashboard-Panel etwas anzuzeigen hat.

Mit einem Klick laden — klicken Sie auf die Schaltfläche Demo case in der Dashboard-Symbolleiste. Sie funktioniert auch mit der portablen Windows-EXE (kein Node oder npm erforderlich). Die Schaltfläche bestätigt vor dem Überschreiben, falls der Fall bereits existiert.

Oder per CLI befüllen (Dev / Docker):

root@kitploit:~

cd companion && npm run seed-demo              # creates case id "demo"
npm run seed-demo -- --force                  # overwrite an existing demo case
npm run seed-demo -- --case-id globaltech     # use a custom id

Öffnen Sie dann http://127.0.0.1:4773/dashboard und verbinden Sie sich mit dem Fall.

Executive Summary, Narrativ & Angriffspfad

KI-generierte Fallzusammenfassung, minutiöses Narrativ und Angreiferpfad-Beschreibung — vom initialen Zugriff bis zur Ransomware-Bereitstellung.

Forensische Timeline

Analysierte Ereignisse mit Schweregradfiltern, Triage-Tags, Detail-Links pro Zeile und Import-Änderungs- verfolgung (Banner für neue Ereignisse mit erweiterbarem Diff).

Super-Timeline

Jedes jemals importierte Ereignis, vor der Scope-/Schweregradfilterung — Zeilen filtern, taggen, markieren und in die analysierte forensische Timeline hochstufen; nichts wird entfernt, dies ist eine Obermengen-Ansicht.

Timeline-Swimlane

Visuelles Diagramm der Ereignisse nach Asset (Y-Achse) und Zeit (X-Achse), eingefärbt nach Schweregrad — ziehen Sie die Zeit- achse, um die forensische Timeline auf einen Bereich zu filtern.

Findings

KI-generierte Findings mit Konfidenzwerten, Analysten-Triage-Tags und MITRE ATT&CK-Technik- Links; verfolgt, was sich seit dem vorherigen Syntheselauf geändert hat.

Kill Chain

Ereignisse, gruppiert nach MITRE ATT&CK-Taktik — eine Kategorisierung, keine bestätigte Kill-Chain-Phase, deterministisch ohne KI abgeleitet.

Zentrale Untersuchungsfragen

Standard-DFIR-Fragen, automatisch aus dem synthetisierten Fall beantwortet (beantwortet / teilweise / unbekannt), jeweils mit einem Beweishinweis oder einer „das als Nächstes sammeln"-Anweisung.

Playbook

Umsetzbare Remediation-Checkliste, automatisch aus Findings und empfohlenen nächsten Schritten abgeleitet; bei jedem Syntheselauf neu synchronisiert, wobei Analystenstatus, Zugewiesener und Fälligkeitsdaten erhalten bleiben.

Host- & Account-Ranking

Welche Hosts/Accounts den Angriff tragen, bewertet nach Signal (schweregradgewichtete Ereignisse + Techniken + verbindende IOCs) statt nach Volumen, mit einem vorgeschlagenen Scope-Fenster.

Evidence-Chain-Graph

Prozessbäume, laterale Bewegung und Datei-Abstammung zu einem kausalen Angriffsgraphen zusammengefügt. Deterministisch aus importer-befüllten Feldern abgeleitet — keine KI, keine Kosten, läuft offline.

Login-Graph

Wer sich wo angemeldet hat — Accounts und Hosts, verknüpft aus Super-Timeline-Anmeldeereignissen, wobei erfolgreiche, fehlgeschlagene und riskante (RDP/runas/netonly) Anmeldungen unterschieden werden.

Beacon-Kandidaten

Periodische ausgehende Kanäle, zu regelmäßig für menschlichen Datenverkehr — ein Jagdhinweis, kein Urteil, mit Intervall, Jitter und Ereignisanzahl pro Kandidat.

IOCs mit Threat-Intel-Anreicherungen

Indikatoren (IPs · Domains · Hashes · Dateien · Prozesse · Accounts), angereichert gegen VirusTotal, AbuseIPDB, ThreatFox und andere Anbieter — Urteils-Badges, Erkennungswerte, NEW-Import- Hervorhebungen und Analysten-Triage-Labels.

Kompromittierte Assets & IOC-Graph

Interaktiver Graph, der Opfer-Hosts und -Accounts mit den Indikatoren verknüpft, die jeden berührt haben, plus eine Liste bekannter kompromittierter Hosts und Benutzer.

Was es erzeugt

• Forensische Timeline — echte Ereignisse mit Zeitstempeln aus Artefakten, sortier-/filterbar nach Datum/Schweregrad/Quelle
• Findings — analytische Schlussfolgerungen pro Technik mit Schweregrad + MITRE ATT&CK-Zuordnung
• Angeheftete Findings — heften Sie die wichtigsten Findings (📌) an einen Sticky-Streifen oben im Findings-Panel; Drag-to-Reorder, Ein-Klick-Sprung, begrenzte Auswahlliste, pro Fall persistiert (reist im Fallarchiv-Export mit)
• IOCs, MITRE-Abdeckung, Angreiferpfad-Narrativ — quellenübergreifende Bestätigungs-Badges + Kill Chain
• Inline-IOC-Schnellaktionen — klicken Sie auf einen beliebigen erkannten Wert (IP/Hash/Domain/SID/URL/Pfad) in einer Ereigniszeile oder einem IOC-Wert für ein Ein-Klick-Menü: kopieren, als gutartig markieren, als bestätigt bösartig markieren, Jagd vorschlagen — jedes Ergebnis wird im Untersuchungsprotokoll festgehalten
• Angriffsphasen — Timeline gruppiert in Aktivitätsschübe nach Zeitlücke, beschriftet nach dominanter Taktik (deterministisch, keine KI)
• Beacon/C2-Kandidaten — ausgehende Kanäle mit regelmäßigen Zwischenankunftsintervallen (ein Jagdhinweis, kein Beweis)
• Timeline-Anomalien — ereignisratenbezogene Spitzen pro Asset, zwei Baselines: Peer (ein Asset, das weitaus beschäftigter ist als andere Assets im selben Bucket) und Selbst (ein Asset, das über seine eigene typische Rate hinaus ausschlägt — erfasst einen normalerweise ruhigen Host, der ausschlägt, was breite Telemetrie nicht maskieren kann); eingestuft als Kritisch/Hoch/Mittel, verknüpft mit Timeline-Ereignissen (deterministisch, keine KI)
• Log-Lückenanalyse — verdächtige stille Perioden in der Timeline, gekennzeichnet durch Dichte- + Arbeitszeiten-Regeln
• Lückenhypothesen & Schattenartefakte — KI-vorgeschlagene Angreiferaktionen während stiller Fenster + Velociraptor-Sammlungen zur Rekonstruktion fehlender Zeit
• Memory-Forensik-„Next-Step" — beim Volatility 3/Rekall-Import Anomalien erkennen (falsch zugeordnete Prozesse, injizierter Speicher, kodierte Befehle) und den nächsten Analyseschritt vorschlagen
• Gegnerhinweise — MITRE ATT&CK-Gruppen, sortiert nach Technik-Überlappung (Offline-Datensatz, sub-technik-bewusst; Hypothesenbrennstoff, keine Attribution)
• Gegneremulation — wahrscheinliche nächste Techniken: die benannte Handwerkskunst der übereinstimmenden Gruppen, die der Fall noch nicht beobachtet hat, sortiert nach Unterscheidungskraft als Jagdprioritäten, jeweils mit einem Ein-Klick-„das jagen" → Velociraptor VQL
• Mitigationen & defensive Gegenmaßnahmen — konkrete MITRE ATT&CK Mitigations (M-Codes) für die Techniken des Falls, sortiert nach Hebelwirkung (welche eine Mitigation die meisten Techniken abdeckt), plus MITRE D3FEND-Härtungs-/Erkennungs-/Isolationsschritte; offline, keine KI. Überbrückt „was der Angreifer getan hat" zu „was man tatsächlich dagegen tun sollte". Eine Schaltfläche ✨ Generate remediation plan verwandelt es in einen konkreten, vorfallspezifischen IR-Plan (ein KI-Aufruf)
• Kompromittierte Assets — Opfer-Hosts/-Accounts + interaktiver Asset↔IOC-Graph
• Host- & Account-Ranking — welche Hosts/Accounts den Angriff tragen, bewertet nach Signal (schweregradgewichtete Ereignisse + Techniken + verbindende IOCs) statt nach Volumen, mit einem Ein-Klick-vorgeschlagenen Scope-Fenster; klicken Sie auf eine rangierte Zeile, um die Ereignisse/IOCs hinter ihrem Score inline zu erweitern (auf jeweils 50 begrenzt) und direkt zu einem zitierten Ereignis in der Timeline zu springen
• Zentrale Untersuchungsfragen — beantwortet mit Hinweisen auf Beweise oder nächste zu sammelnde Schritte
• Untersuchungsstränge — offene/gelöste Spuren
• Dashboard-Ansichts-Presets — Ein-Klick-Layouts für Analyst/Lead/Executive (Rolle) + Triage/Report/Deep-Dive/Hunt-Prep (Phase), die Panels neu anordnen, nach Schweregrad filtern und eine Berichtsvorlage paaren; pro Fall, vollständig editierbar. Analyst ist der Standard für jeden Fall ohne gespeicherte fallbezogene Auswahl; die explizite Wahl von Custom bleibt über Neuladevorgänge hinweg bestehen
• Berichte — Markdown-, HTML-, PDF-, Word- (.docx), CSV-, JSON-Exporte

Funktionen

Onboarding

• Einrichtungsassistent — ein Erststart-Overlay (auch in den Einstellungen), das KI, Presidio, Integrationen, Anreicherung, Push-Ingest, NSRL und einen Benachrichtigungskanal konfiguriert, jeweils mit einem Live-Test. Alles ist optional

Erfassung & Ingest

• MV3-Browser-Erweiterung mit minimalen Rechten — kein Website-Zugriff bei der Installation, Genehmigung/Widerruf exakt nach Origin in der Konsole, einmalige Erfassung des aktiven Tabs, Timer- + ereignisgesteuerte Erfassung, lokales Berechtigungsaudit, Offline-Warteschlange + Auto-Sync
• Ein-Klick-Artefakt-Push — Splunk/Velociraptor/Kibana/Security Onion/SO-CRATES/CrowdStrike/VolWeb injizieren eine Schaltfläche Push to DFIR-Companion; fängt API-JSON ab oder scrapt Tabellen; das Popup zeigt die automatisch erkannte Konsole mit einem Dropdown, um pro Tab einen anderen Adapter (oder keinen) zu erzwingen
• Rechtsklick „Send to DFIR-Companion" — senden Sie den ausgewählten Text einer Seite, eine nahegelegene Tabelle oder die URL eines Links direkt an den verbundenen Fall, von jeder Seite aus, nicht nur von erkannten Konsolen
• Fallverwaltung — + New case im Dashboard (Vorlagen laden automatisch Incident-Fragen + Import-Hinweise); Erfassungen zu unbekanntem Fall werden abgelehnt
• Fall-Passwortschutz — 🔒 Password… sperrt einen Fall im Dashboard, serverseitig durchgesetzt; die Erfassungs-Ingestion funktioniert weiter, während gesperrt ist
• Einen Fall dauerhaft löschen — 🗑️ Delete… im Fall-Lebenszyklusmenü entfernt das Verzeichnis eines Falls endgültig, mit optional vorher erstelltem ZIP/verschlüsseltem Archiv; weigert sich, ein Verzeichnis anzufassen, das kein echter Fall ist, und löscht nicht den Live-Ordner eines bereits archivierten Falls unter seinem Archiv weg
• Screenshots importieren — Mehrfachauswahl von PNG/JPEG/WebP; eine einzelne Schaltfläche Import erkennt das Artefaktformat automatisch (CSV/JSON/Log)
• „Von welchem Host stammt diese Datei?" — ein Log-Export, der keinen Collector nennt, fragt nach seinem Host; alte Namen werden als frühere Namen eingefügt
• Beweis-Ablageordner — in den drop/-Ordner eines Falls kopierte Dateien werden im Hintergrund importiert, nach _processed/ oder _failed/ verschoben und in drop-log.txt protokolliert; ein Unterordner asset=<HOST> benennt den Host
• Externer Tool-Runner (Einstellungen → Tools) — führen Sie Ihre eigenen Hayabusa-, Chainsaw-, Velociraptor-CLI-, Suricata-, Snort-, YARA- oder benutzerdefinierten Tools auf Rohbeweisen aus und importieren Sie deren Ausgabe; rohe .evtx bytegenau aufbewahrt, Parser-Version und Exit-Code in der Verwahrung, fail-closed, standardmäßig aus
• MCP über Claude Code (Einstellungen → Tools) — senden Sie Fallbeweise an die MCP-Server, die Sie in Claude Code konfiguriert haben (SIFT, REMnux, windows-triage); erfordert Claude Code auf dem Host. Ein Server mit einem Command-Runner bedeutet dort Befehlsausführung — lesen Sie zuerst Verwendung Ihrer MCP-Server
• Import-Rückgängig/Wiederholen — zum exakten Zustand vor dem Import zurück-/vorwärtsrollen (keine Neu-Synthese); mehrstufiger Stapel pro Fall
• Benutzerdefinierte (deklarative) Importer — bringen Sie einem neuen Dateiformat mit einer JSON-Definition bei (kein Code); LLM-verfassbar über einen integrierten Prompt, automatisch erkannt + importiert wie ein integrierter, mit Vorrang integriert/benutzerdefiniert
• Beweis-zuerst — vor der Analyse auf die Festplatte + ins Audit-Log geschrieben; SHA-256-Dedup (deaktivierbar über DFIR_DEDUP=off)
• Beweiskette — jeder Screenshot und Import erhält einen automatischen, hash-verketteten Verwahrungsdatensatz mit einem signierten Manifest
• Automatische Incident-Typ-Playbooks — die Wahl eines Incident-Typs befüllt zentrale Fragen, nächste Schritte und erwartete Findings
• OCR-Volltextsuche für Screenshots — jeder erfasste Screenshot wird lokal im Hintergrund per OCR erfasst; durchsuchen Sie den in Konsolen gesehenen Text (Hostname, „mimikatz", ein Hash, ein Fehler) über die Filterleiste und springen Sie zum Screenshot. Keine KI, nur lokal (DFIR_OCR_SEARCH=off zum Deaktivieren; npm run ocr-index zum Nachbefüllen)
• Nur Localhost — 127.0.0.1 mit CORS + Private-Network-Access für die Erweiterung; lehnt nicht erkannte Hostnamen ab und schließt so DNS-Rebinding-Angriffe (DFIR_ALLOWED_HOSTS)

Beweis-Importer

Alle Importer sind deterministisch (kein KI-Aufruf), lesen die eigenen Zeitstempel des Artefakts und taggen Ereignisse mit dem echten Tool-Namen für quellenübergreifende Korrelation. Dieselbe Datei kann ohne Duplizierung der Timeline erneut importiert werden.

• Kanonisches forensisches Ereignisschema — versionierte strukturierte Identitäten/Provenienz untermauern Importe; Graph-Joins hängen nicht mehr vom Wortlaut der Beschreibung ab| Format | Hauptquellen | Schweregrad abgeleitet aus | |---|---|---| | SIEM / EDR JSON | Elastic, Kibana, Splunk, QRadar, beliebiger JSON/NDJSON-Export | Windows/Sysmon-Tabelle pro EID | | ECAR (EDR-Telemetrie) | EDR Common Activity Record NDJSON (object/action/properties, epoch-ms timestamp_ms) — Prozess-/Flow-/Logon-/Registry-/Modul-/Datei-/Thread-Ereignisse | Info-Evidenz; LOLBin/kodierte Kommandozeile → Anhebung (öffentliche IPs → IOCs) | | Windows Event Log XML | Event Viewer „Speichern unter XML", wevtutil qe /f:xml, Get-WinEvent … ToXml() (Security, Sysmon, System, beliebiger Kanal) | Windows/Sysmon-Tabelle pro EID | | Chainsaw | EVTX-Hunt-JSON/JSONL (chainsaw hunt --json); direkt auf rohen .evtx über den Tool-Runner ausführbar | Übereinstimmende Sigma-Regelstufe | | Hayabusa | json-timeline oder csv-timeline | Übereinstimmende Sigma-Regelstufe | | Velociraptor | JSON-Array, JSONL oder Artifact-Map | Sigma/YARA-Verdikt oder pro EID | | THOR (Nextron) | JSON-Lines-Scan-Ausgabe | THOR-Alarmstufe | | Suricata / Zeek | eve.json, Zeek-JSON-Logs; Telemetrie → nur IOCs | Alarmpriorität / Notice-Schweregrad | | Snort / Suricata IDS (fast) | alert_fast einzeiliges Alarm-Log | Regel-Priority (1→High / 2→Medium / 3→Low) | | YARA | yara -s -m CLI-Scan-Ausgabe (Regel-Treffer + Strings/Meta) | Info→Medium pro Treffer; Anhebung bei Regel-score/threat_level-Meta | | Web-/Proxy-Zugriffslog | Apache/Nginx/Squid combined-Logformat (Webserver- oder Forward-Proxy-Zugriffslog); Request-URL, HTTP Referer und User-Agent erfasst (Secrets in URL/Referer + Scanner-/Bot-/Injection-UAs überleben als Events + IOCs) | Standardmäßig Info; Zugriff verweigert (401/403/407) → Low; Git-Smart-HTTP-Clone/Push → T1213 | | Cisco ASA Firewall-Syslog | %ASA-#-######: Built/Teardown/Deny-Meldungen | Standardmäßig Info (Telemetrie); explizites Deny → Low | | Syslog (plain) | RFC 5424 (<PRI>1 …) + RFC 3164 (Mmm dd …) Linux/Unix-Host-Logs | Standardmäßig Info (Telemetrie); Auth-Fehler oder crit/alert/emerg PRI → Low | | Security Onion | SOC Alerts/Hunt-Events (ECS); gepusht durch die Extension oder einen SOC-API-Export | event.severity_label (Suricata/SO-Label) | | SO-CRATES | Suricata-Alarme + YARA-Dateitreffer (/api/events) und Sigma-Detektionen (/api/sigma-alerts); gepusht durch die Extension oder einen Roh-Export | Suricata-Priorität / Sigma-Level / YARA-Treffer | | Cyber Triage | JSONL / JSON / CSV-Timeline | Cyber-Triage-Item-Score | | M365 / Entra ID | UAL, Entra-Anmelde- + Audit-Logs | BEC-Tradecraft-Tabelle / Entra riskLevel | | Okta | System-Log-Export | IdP-Tradecraft-Tabelle (MFA deaktiviert, Admin-Rechte vergeben, API-Token erstellt, Session imitiert) — nicht die operative Bewertung des Anbieters | | Google Workspace | Admin- + Login-Audit | IdP-Tradecraft-Tabelle (2SV deaktiviert, Rolle vergeben, OAuth zugestimmt, Mail-Monitor hinzugefügt) | | Hindsight (Browser) | Chrome/Edge/Brave-Verlauf, Downloads, Interpretationen (JSON oder CSV) | — (Info-Events: Browser-Artefakte sind Evidenz, keine Verdikte) | | macOS | Unified Log (log show --style json), LSQuarantine-Download-Events, com.apple.quarantine-Attribute, launchd-Plists, Login-Items (klassische Plist, .sfl2, BTM) | Quarantäne-Eintrag ↔ Dateiattribut ↔ Browser-Besuch ↔ Prozessstart, verknüpft über Identifier; eine Plist liest sich als Konfiguration, niemals als Ausführung | | iLEAPP / ALEAPP | iOS- + Android-Extraktionsartefakte aus LEAPP-TSV-Exporten | — (Info-Events; generischer Parser, der auf die Timestamp-Spalte schlüsselt) | | AWS CloudTrail | Records JSON, NDJSON, Athena | API-Aktions-Tabelle (IAM/Logging/S3/Secrets) | | GCP / Azure | Cloud Audit Logs, Azure Activity Log | Aktions-Tabelle (IAM/Logging/Secrets) | | Kubernetes Audit | API-Server-Audit-Log (audit.k8s.io JSON-Lines / EventList) | (Verb, Ressource)-Tabelle — Pod exec/attach T1609, Secret-Zugriff T1552.007, RBAC-Änderung T1098, privilegierter Pod T1610/T1611, anonymer Zugriff T1078 | | osquery | Scheduled-Query-Ergebnislog (differenzielles columns + snapshot) | Info-Telemetrie; konservative Tradecraft-Anhebung bei einer Kommandozeilen-Spalte | | Plaso | psort CSV (dynamic + l2tcsv) | — (Info-Events) | | Sandbox-Berichte | CAPEv2 report.json, Falcon Sandbox Summary | Sample-Verdikt + Verhaltenssignaturen | | Memory-Forensik | Volatility 3 (-r json) + Rekall: pslist/pstree, netscan, malfind, cmdline, svcscan; ein JSON-Run-Envelope (Befehl, Exit-Status, stderr) wird neben dem Export importiert | malfind injizierter Code → High (T1055); Auflistungen → Info/Low; ein Lauf mit null Zeilen oder fehlgeschlagener Lauf sagt, was er belegt | | Intact (getrimmtes VolWeb) | memory_payload.json-Plugin-Tabellen + yarascan_results.jsonl | Gleiches Plugin-Mapping; Memory-YARA-Treffer → Low, ein dichter Cluster vieler Regeln → Info; Zeilenobergrenzen offengelegt | | TheHive | Case-/Alert-JSON-Export, Observable-Liste (TheHive 5) | TheHive-Schweregrad 1–4; MITRE aus ATT&CK-getaggten Tags | | E-Mail | .eml (RFC 2822), Best-Effort .msg | SPF/DKIM/DMARC-Fehler → Sender-Spoofing-Heuristiken (T1566 Phishing) | | Shell-History | .bash_history / .zsh_history (bash HISTTIMEFORMAT #epoch + zsh Extended History) | Standardmäßig Info; konservative Anhebung bei Tradecraft (Reverse Shell, Download-and-Exec, Credential-Zugriff, Log-/History-Manipulation, laterales SSH) | | Linux-Persistenz | SSH authorized keys, Cron, systemd-Units, Shell-Profile, SUID-Auflistungen und PATH aus einer Sammlung | Weltweit beschreibbare Payloads, root führt benutzerbeschreibbare Dateien aus, setuid-Interpreter; nichts wird allein für seine Existenz bewertet | | Linux auditd | rohe audit.log / ausearch-Records, aureport-Tabellen | Record-Type-Tabelle (Logins, Account-Verwaltung, sudo, SELinux, Audit-Manipulation) | | systemd journald | journalctl -o json / -o json-pretty | syslog PRIORITY + Tradecraft-Anhebungen (sshd, sudo, useradd) | | sysdig / Falco | Falco-Alert-JSON, sysdig -j-Event-JSON | Falco-Regelpriorität; rohe Syscalls → Info-Telemetrie | | Wazuh | alerts.json / NDJSON oder API-Export (GET /security/events) | rule.level (≥13 Critical, ≥10 High, ≥7 Medium) | | CSV | Velociraptor / EDR-Exporte | — | | Generische Logs | Firewall, Syslog, VPN; repetitive Zeilen → gezählte Muster | KI-triagiert |

Deterministische Tradecraft-Bewertung — Windows/Sysmon-, ECAR- und Memory-Kommandozeilen werden gegen Regeln bewertet, die aus über 110 realen Intrusionen (The DFIR Report, Huntress) gewonnen wurden: Tradecraft mit hoher Konfidenz → High mit ihrer ATT&CK-Technik (Defender-Deaktivierung, Recovery-Behinderung, Credential-Dumping, Reverse-Tunnel, Impacket, RMM/C2, Cloud-Exfil …), Dual-Use → Medium; reine Discovery wird getaggt, aber nie eskaliert.

• SSH-Brute-Force-Erfolgserkennung (T1110.001) — markiert einen erfolgreichen Login nach einem Schwall fehlgeschlagener Versuche von derselben Quell-IP → Medium
• Windows-Logon-Typ-Risikobewertung — dekodiert 4624-Logon-Typen und bewertet riskante Formen (externes RDP, Netzwerk-Klartext, runas /netonly) → Medium
• NTFS-Timestomp-Erkennung (T1070.006) — markiert MFT-$SI/$FN-Timestamp-Abweichungen als wahrscheinliches Timestomping → Medium
• Ransomware-Note-/Umbenannte-Datei-Erkennung (T1486) — markiert Ransom-Note-Dateinamen und bekannte Familien-Endungen, pro Host aggregiert, oberhalb von Info, damit die Obergrenze sie nicht begraben kann
• RDP-Lateral-Movement-Erkennung (T1021.001) — bewertet RDP-Logons mit expliziten Credentials auf ein tatsächlich entferntes Ziel als Medium; lokales Session-Manager-Rauschen bleibt Info
• Drive-by-Download- und Cloud-Exfil-Tool-Erkennung (T1189 / T1567.002) — ausführbare Downloads aus der Internet-Zone und rclone/restic/megasync/megacmd-Ausführung in Prefetch
• Kontextuelle YARA-Schweregrad — bewertet einen Treffer danach, wo und was er getroffen hat (Selbst-Scan → Info, Page-File-String → Low, benannte Malware auf einem realen Pfad → High) statt pauschal High
• Injection- und Hollowing-Sequenzen — Sysmon 10 / 8 / 25 / 1 nur über eine übereinstimmende Prozess-GUID verknüpft; Access-then-Thread- und Create-Replace-Thread-Formen → High + T1055
• Download-Mark durch Ausführung bestätigt — eine Zone.Identifier-Markierung wird gegen Prefetch, Prozessstarts und Presence-Records derselben Datei gelesen und nur angehoben, wenn die Ausführung danach datiert ist; eine Hidden-Stream-Payload wird nach Inhalt bewertet, nicht nach Name
• Defender-Episoden — ein Prozessstart von einem Pfad, auf dem Defender gehandelt hat, datiert nach dieser Aktion, wird annotiert und angehoben; ein Start mit gleichem Digest nach der Remediation ist ein High-Finding
• Kopierte-Binärdatei-Hinweis — eine MFT-Zeile, deren Modified-Zeit vor ihrer Created-Zeit liegt, wurde hierher kopiert (ein umbenanntes cmd.exe, ein abgelegtes Tool)
• Execute-Assembly-Spuren (T1620) — ein CLR-Usage-Log, benannt nach rundll32, mshta oder einem ähnlichen Host, wird als High bewertet
• Discovery-Befehle in Skriptblöcken — nltest, Get-AD*, ntdsutil … ifm und Ähnliches werden aus 4104/4103-Records mit ihren Techniken herausgelesen
• Der Collector des Falls ist keine Evidenz — Velociraptors Downloads, Installationen, gespawnte PowerShell und Regeldateien werden als Info mit Collector-Ursprung bewertet
• Cloud-Lifecycle-Zusammenfassungen — eine Zeile pro AWS-Credential-Lineage, EC2-Instance-Lifecycle, Workspace-OAuth-Client, Exchange-Mailbox-Kette und Entra-Application-Privilege-Pfad, deren Records innerhalb eines Uploads eine Einheit bilden; jede sagt, was ihre Records belegen und was nicht
• Netzwerkbeziehungen — TLS (Zeek ssl/x509, Suricata tls) wird eine Zeile pro Beziehung und pro Zertifikat; DNS-Antworten werden mit späteren Verbindungen desselben Clients innerhalb der TTL verknüpft; Web-Request-Ketten werden nur über Identifier verknüpft, die beide Records tragen
• Mobile-Origin-Tags — jede iLEAPP-/ALEAPP-Zeile sagt, ob ihr Inhalt auf diesem Gerät aufgezeichnet, synchronisiert oder empfangen wurde, aus einer Registry, die auf Upstream festgelegt ist

KI-Analyse

• Geführtes KI-Setup — der erste Schritt des Setup-Wizards wählt Provider → Modell (günstige/starke Vorschläge) → Key → optionale Base-URL und führt dann einen Live-Konnektivitätstest aus, bevor du ihn verlässt
• Zweiphasig — günstige Vision pro Fenster (Extraktion) + starke reine Text-Synthese (Findings/IOCs/MITRE/Angreiferpfad)
• Provider — OpenAI, OpenRouter, Ollama, LiteLLM, Gemini, Anthropic, Claude Code CLI, Codex CLI; optional zweistufig (günstige Extraktion + starke Synthese) mit Kontext-Budgetierung
• EDR/SIEM-Konsolen als Evidenz — Detektionen extrahiert; Analysten-Navigation gefiltert (echte Detektionen werden nie verworfen)
• Schweregrad-bewusste Findings — Critical/High-Zeilen werden zu Findings; deterministische Auto-Erstellung für verpasste High-Severity-Events
• Confidence-Scoring + Begründung — jedes Finding trägt eine Konfidenz von 0–100 % (unter Abwägung von Evidenzstärke, Tool-Bestätigung und Modellsicherheit) plus eine einzeilige Begründung; ein persistenter Min-Confidence-Filter pro Fall (übersteht Reload) blendet Findings mit niedriger Konfidenz auf Wunsch aus
• KEV-/Tool-bestätigt-/Unbestätigter-Hinweis-Badges — markiert, ob ein Finding durch eine aktiv ausgenutzte CVE, eine tool-bewertete Detektion oder nur rohe Telemetrie bestätigt wird
• Effiziente Synthese — Live-Debounced-Re-Synthese; Skip-if-Unchanged; stratifizierte Event-Auswahl + Asset↔IOC-Digest
• Synthese-Detektionsgruppierung — wiederholte Treffer derselben Detektion kollabieren zu einem Prompt-Eintrag mit Trefferzahl/Host-Verteilung/Zeitspanne, sodass ein detektionslastiger Import nicht auf ein paar hundert Zeilen begrenzt wird
• Erhöhte Synthese-Event-Obergrenze (300 → 600) — zudem konkurrieren Info-Severity-Events nicht mehr um das Prompt-Budget, sodass die bewerteten Detektionen eines typischen Falls alle in einem Durchgang das Modell erreichen
• Deep Pass — ein vom Analysten ausgelöster gebatchter Lauf, der JEDES bewertete Event ab einem gewählten Severity-Floor liest, für vollständige KI-Abdeckung großer Multi-Host-Fälle, mit einer kostenlosen Kosten-/Abdeckungsvorschau pro Floor und einem dedizierten Dashboard-Panel, bevor du etwas ausgibst
• Synthese-Abdeckungsaudit — die Synth-Meta-Karte zeigt, wie viele In-Window-Events ein Lauf berücksichtigt vs. ausgelassen hat und warum
• Zweite LLM-Meinung — ein konkurrierendes Modell (B) re-synthetisiert den Fall; ein konfigurierbarer Schiedsrichter beurteilt jede Abweichung anhand der zitierten Events; akzeptiere pro Item oder folge dem Schiedsrichter mit einem Klick
• Review verpasster Evidenz — ein vom Analysten angestoßenes schnelles Modell (Jev) bewertet die Info-Zeilen, die der Content-Tagger zurückgelassen hat; Zeilen ankreuzen und mit der Bewertung des Modells hochstufen (aus, bis DFIR_JEV_ENABLED)
• Negative Antworten benennen ihre Evidenz — ein Sammlungsinventar pro Host erreicht die Synthese, sodass „nicht beobachtet" sagt, was gesammelt wurde und was als Nächstes zu sammeln ist
• Weitere Befehle in dieser Session — jedes Finding listet die Kommandozeilen der Angriffs-Session auf, die kein Finding benennt
• KI-unterstützte Content-Tagger-Regeln — beschreibe eine Regel in einfachem Englisch; die KI entwirft, zeigt eine Vorschau und fügt sie hinzu
• KI-Input-Anonymisierung — reversibel tokenisiert IPs, Benutzer, Hosts, Domains, E-Mails, Pfade, Karten-/Telefon-/Ausweisnummern, kodierte Befehle und SIDs; einseitig redigiert sie Secrets. Optionales Presidio erkennt Namen, mit einem Genehmigungs-Gate

Korrelation & Deduplizierung

• Quellenübergreifende Korrelation — dasselbe Artefakt, das von verschiedenen Tools gesehen wurde, kollabiert zu einem bestätigten Event (gemeinsamer Hash / gleicher Pfad in einem Zeitfenster / exaktes Duplikat), getaggt mit den echten Tool-Namen. Idempotent — erneuter Import verdoppelt nie die Timeline.
• Tool-übergreifende Kommandozeilen-Korrelation — führt dieselben Prozess-Erstellungs-Events zusammen, die von verschiedenen Tools gemeldet werden und Kommandozeile, Parent-Prozess und Host teilen
• Bestätigungsfilter (Linse) — Steuerung pro Abschnitt (Timeline / IOCs / Findings), die nur Items zeigt, die von 2+ oder 3+ Tools gesehen wurden; eine Linse, kein Gate
• Rausch-/Vertrauens-Scores pro Quelle — gewichtet Quellen nach Zuverlässigkeit für Korrelationsformulierung und Confidence-Capping; pro Fall überschreibbar### Untersuchungs-Workflow
• Host-Umfang & Freigabe-Ledger — evidenzbasierter Status pro Host, Analysten-Freigabe hinter einer Berechtigungs-Checkliste, die die fehlende Evidenzklasse benennt, append-only zugeordnete Entscheidungen, Veraltung markieren statt zurücksetzen, und eine rangierte Liste von Hosts, die in der Evidenz genannt, aber nie erfasst wurden
• Reproduzierbares Analyse-Lauf-Ledger — Importe, Tagging, Anreicherung, Synthese und Berichte hinterlassen unveränderliche hash-verkettete Manifeste, die ihre Evidenz fixieren; Läufe können eingesehen, wiederholt und verglichen werden
• Kontrollierte Berichtsprüfung & unveränderliche Freigabe — Entwurf → Peer-Review → Genehmigung, Evidenz- und Integritäts-Freigabe-Gates, identitätsgebundene Abzeichnung, explizite Ablösung, Versions-Diffs und eingefrorene Executive-/Technik-/Rechts-/IOC-Pakete
• Optionaler authentifizierter Team-Modus — OIDC oder ein auditierter lokaler Account, Rollen pro Fall, Service-Identitäten und Analysten-Zuordnung; Loopback-Einzelbenutzer bleibt der Standard (Einrichtungsanleitung)
• Belegte KI-Antworten — Findings, Ask-the-case, Explain Event und KI-vorgeschlagene Hunts (Playbook + Flotte) zeigen nummerierte, klickbare Zitate zu den unterstützenden forensischen Events/Findings, sowohl im Dashboard als auch im exportierten Bericht
• Explain This Event — 💡 KI-Button pro Zeile erklärt jedes forensische Event im Kontext: was passiert ist, warum es wichtig ist, normal vs. verdächtig, ATT&CK-Mapping, 1–3 ausführbare Pivot-Abfragen (VQL/KQL/SPL), Evidenz dafür/dagegen; ephemere Overlay
• Ask the case (GraphRAG) — freie Q&A, fundiert in Timeline + deterministischem Evidenzketten-Graphen; Multi-Hop-Fragen werden über echte Beziehungen beantwortet
• Hypothesengetriebener Modus — statusverfolgte Hypothesen mit Evidenzverknüpfungen und ACH-artigem Ranking; offene steuern die Synthese und überleben Synthese und Archive
• Bedarfsgesteuerte Hypothesen-Falsifizierungsprüfung — ein "Review"-Button führt einen fokussierten Für-/Gegen-Durchlauf über offene Hypothesen aus, ohne die vollständige Synthese erneut laufen zu lassen
• Unterscheidende Evidenz — jede Beobachtung gibt an, ob sie eine Hypothese von ihren Alternativen trennt oder zu allen passt; ein eingefrorenes Urteil, dessen Grundlage sich ändert, wird zur Prüfung markiert
• Angriffsergebnis auf zwei Achsen — jedes Finding erfasst Ausführung (beobachtet / nicht) und Kontrolle (blockiert / behoben / fehlgeschlagen / erlaubt / keine) getrennt, analystengesetzt und synthesesicher; ein blockierter Angriff wird weder verworfen noch bei High offen gelassen
• Finding-Aufgaben — jedes Critical/High-Finding wird zu einer imperativen, evidenzbenannten Playbook-Aufgabe mit nummerierten Schritten und einer Done-when-Zeile
• Handoff Brief — ein Schichtwechsel-Panel: Findings nach Owner, offene Fragen und Hypothesen, nächste Schritte, ungeprüfte IOCs, der letzte Import, die Notiz des abgehenden Analysten; als Markdown kopieren, optionaler Berichtsabschnitt
• Analysen mit deklariertem Umfang — Phishing-Kampagnenumfang, Served exposure, Kerberoast-Kette und Sensitive access: deklarieren, was zählt, und lesen, was die Zeilen belegen, Stufe für Stufe
• Post-Remediation-Wiederholungsprüfungen — eine Remediation-Grenze deklarieren; Verify liefert Fakten mit angegebener Abdeckung, niemals ein negatives Urteil; der Restrisiko-Status liegt beim Analysten, festgehalten gegen eine unveränderliche Quittung
• Attributionslücken-Hinweise — neben jeder Attributionsaussage die Techniken, die die ATT&CK-Gruppe dokumentiert verwendet, die dieser Fall aber nicht gezeigt hat, als Hunt-Hinweise
• Fallgedächtnis — die Synthese protokolliert jeden Lauf in einem dauerhaften, nie gelöschten Investigation Log; ein known unknowns-Block (Timeline-Lücken, nicht abgedeckte ATT&CK-Phasen, nächste Techniken von Lookalike-Akteuren) fundiert Synthese + Hunt-Vorschläge; optionale Kandidaten-Akteur-Hypothesen (DFIR_SYNTH_ADVERSARY_HINTS)
• Strukturierte, einsetzbare Sammlungsdirektiven — "collect X"-Empfehlungen tragen ein maschinenausführbares Ziel; Ein-Klick-Einsatz auf einem bekannten Host, mit automatisch erkannter Import-Erfüllung
• Evidence Gaps-Panel — nicht abgedeckte Kill-Chain-Phasen werden als strukturierte Elemente mit einer einsetzbaren Sammlungsdirektive dargestellt, in einem Dashboard-Panel und Bericht §4.6.3
• Sammlungsplan — Evidenz-Checkliste nach Vorfalltyp als Dashboard-Panel; Elemente haken sich selbst ab, sobald passende Evidenz eintrifft
• Angreifer-Session-/Story-Rekonstruktion — die Timeline neu gefädelt in Session-Kapitel pro Host, mit KI-Zusammenfassungen und einem Berichtsabschnitt
• Uhrzeitverschiebungs-Erkennung & Timeline-Ausrichtung — markiert Host-Uhrzeitdrift über 60s; ein "Align timelines"-Toggle korrigiert sie überall
• Playbook Match-Panel — traten die Techniken des Falls in der Reihenfolge auf, die ein veröffentlichtes Playbook beschreibt (Conti, LockBit, BlackCat, Akira, Scattered Spider, Black Basta, BlackSuit, Play, Egg-Cellent Resume); fehlende Schritte speisen Evidence Gaps. Passt zum Playbook, nicht zum Akteur
• Zero-Yield-Import-Warnungen — markiert eine große KI-triagierte Datei, die null Events erzeugte, im Import-Banner und Evidence Gaps-Panel
• Second look — ein vom Analysten ausgelöster Durchlauf löst offene Fragen gegen die Super-Timeline, zeigt eine Vorschau, was er befördern würde, und führt dann die Schlussfolgerungen erneut aus
• Sofortige False-Positive-Kaskade — das Markieren eines Findings/IOC/Events als FP bewertet synchron abhängige Fragen, nächste Schritte und Hypothesen neu
• Rabbit-Hole-Erkennung — Findings, die vom Haupt-Evidenzgraphen getrennt sind, werden herabgestuft und mit "possible rabbit hole" gekennzeichnet
• Prävalenz-Baseline pro Fall + FP-Muster-Propagierung — seltenheitsverzerrte Event-Auswahl, plus Ein-Klick-Massenverwerfung für Events, die einem bereits verworfenen FP-Muster entsprechen
• Aus verworfenen Findings lernen — wiederkehrende FP-Muster senken (nicht auf null) das Vertrauen bei ähnlicher neuer Aktivität
• Inhaltsbasierter Event-Tagger (Timesketch-artige tags.yaml) — Regel-Engine taggt Events, erhöht die Schwere und vereinigt MITRE-Techniken
• Response Playbook — verfolgbare Checkliste (Status/Priorität/Zugewiesener/Fälligkeit/benutzerdefinierte Aufgaben); optionale IR-Vorlagen erweitern Findings zu Contain→Investigate→Eradicate→Recover
• Triage-Tags & Kommentare — Entitäten beschriften + Notizen anhängen; Live-WebSocket-Sync; überleben die Synthese
• Aktivitätsprotokoll — eine chronologische, filterbare Aufzeichnung jeder sicherheitsrelevanten Aktion, die an einem Fall vorgenommen wurde (Importe, Markieren/Entmarkieren als False-Positive, KI-Läufe, Anreicherungs-/Anonymisierungs-Toggles, Einstellungsänderungen, Playbook-Bearbeitungen, Kommentare/Tags, Hunt-Läufe, Exporte)
• Massenaktionen — Mehrfachauswahl von Events/IOCs/Findings: markieren/taggen/als False-Positive markieren/anreichern/kopieren
• IOC-Whitelist (Einstellungen) — CIDR/Exact/Regex-Muster markieren passende IOCs automatisch als False-Positive; global; optional
• IOC-Ausschlussliste pro Fall — Domain/Hostname (oder beliebigen IOC-Typ) dauerhaft aus einem Fall entfernen über Exact/Suffix/Regex-Regeln in der Titelleiste des IOCs-Panels; ausgeschlossene Werte werden sofort bereinigt und nie erneut importiert oder angereichert
• NSRL Known-Good-Hashes (Einstellungen) — flaches Hash-Set oder direkte SQLite-DB-Abfrage (~160 GB); markiert passende Events/IOCs automatisch als False-Positive
• Payload-Deobfuskierung — dekodiert automatisch base64-PowerShell (-enc, [Convert]::FromBase64String); extrahiert versteckte IOCs; zeigt [Decoded]-Blöcke
• CISA KEV-Integration (Einstellungen) — gleicht CVEs mit dem CISA-Katalog ab; starkes Initial-Access-Signal
• Zusammengesetzter IOC-Risikoscore — gewichtete Stufe critical/high/medium/low/benign pro Indikator, angezeigt als Badge, Filterlinse und Berichtsspalte
• IOC-Bestätigung — ⊕ N-Badge zeigt, wie viele Tools jeden Indikator beobachtet haben
• IOC-Provenienz — jeder IOC wird als detektionsverknüpft (in einem Low+-Event gesehen) vs. nur Telemetrie (nur Info) klassifiziert, getrennt vom Threat-Intel-Urteil; Badge pro IOC + Filter All/Detection-linked/Telemetry-only
• IOC-Provenienzkette — 🔗-Panel pro IOC: Extraktions-Event, Anreicherungs-Lookups und zitierende Findings, mit JSON-Export; exakte Quellzeilen für die wichtigsten Importer
• IOC-Filter nur markierte — alles außer threat-intel-bestätigten Indikatoren ausblenden
• IOC-Typfilter — facettiertes Dropdown (ip/domain/url/hash/file/process/other) mit Zählungen pro Typ; kombiniert mit den Filtern flagged-only + Suche
• IOC-Listen-Rauschunterdrückungs-Steuerungen — drei kombinierbare reine Anzeigefilter, standardmäßig an: False-Positive-/No-Intel-IOCs ausblenden, OS-Systempfad-Dateien ausblenden und eine "🎯 Signal only"-Ansicht, die auf markierte/bestätigte/angereicherte verengt
• IOC-Listen-Paginierung — seitenweise clientseitig wie die Timelines, Standard 100/Seite
• Ausschlussfilter — Chip-Listen-Steuerung (neben der Toolbar-Suche) blendet Timeline-Events / IOCs / Findings aus, die einem von mehreren Ausschlussbegriffen entsprechen; pro Browser
• Hunt-Pivot-Generator — Ein-Klick erzeugt Velociraptor VQL, KQL, ES|QL, SPL, Sigma, YARA, Suricata-Abfragen
• Sigma → VQL-Hunts — eine Sigma-Regel einfügen, deterministisch kompilieren (eine feste Vorlage pro Logsource-Kategorie, jede nicht unterstützte Zeile namentlich abgelehnt), als aufgezeichneter Flotten-Hunt starten; process_creation-Regeln durchsuchen auch Sysmon / 4688-Historie
• Query Translator — einfaches Englisch → ausführbare Abfragen (NL: "PowerShell downloading then executing") über alle aktivierten Plattformen; Ein-Klick-Einsatz von VQL-Hunts
• Internal Hunt Workbench — typisierte Feldabfragen mit Boolescher Logik, Bereichen, Regex, Gruppierung, gespeicherten Hunts und Entitäts-Pivots über die forensische oder Super-Timeline; Roh-Treffer bleiben aus der KI heraus, bis sie befördert werden
• Velociraptor-Triage-Bundles — Artefakte durchsuchen, Bundles speichern (integrierte umfassen Hayabusa Full), sie als Hunts ausführen und die Ergebnisse automatisch sammeln + importieren
• KI-vorgeschlagene Flotten-Hunts — KI schlägt proaktive Flotten-Sweep-Hunts vor, fundiert im kausalen Evidenzgraphen (Spawn-Ketten, Dateilinie, laterale Bewegung), sodass Hunts auf die Beziehung zielen, nicht nur auf den Blatt-Indikator
• KI-vorgeschlagene Playbook-Hunts — KI schlägt Hunts pro endpunktbezogener Aufgabe vor (Single-Endpoint-Sammlung oder Flotten-Hunt)
• Hunting-Feedback-Schleife — zeichnet das Ergebnis jedes eingesetzten Hunts auf (neue Evidenz + Zählungen) pro Fall; Vorschläge überspringen eine bereits ausgeführte Abfrage und pivotieren auf das, was getroffen hat, mit einem Hunting Profile aus hunted/hit/missed
• Webhook-Push-Ingest (optional, Token) — externe Tools pushen Alerts via POST /cases/:id/push (SIEM-Webhook, Velociraptor-Monitor, Skripte)
• Velociraptor-Live-Monitoring (optional) — streamt CLIENT_EVENT-Artefakte (z. B. ProcessCreation), sobald Events ausgelöst werden; automatische Sammlung im Intervall; Ein-Klick-Auto-Monitor für alle aktivierten Artefakte
• Externen Hunt/Flow importieren — eine Velociraptor-Hunt-ID, Flow- oder GUI-URL einfügen (oder eine Uploaded-Files-URL für THOR/Hayabusa-Berichte); der Host wird automatisch aufgelöst, und ein nicht vollständig gelesenes Artefakt wird benannt, nie als "no rows" gemeldet
• Umfang + False-Positive-Markierung — Zeitfenster setzen; Findings/IOCs/Events als False-Positive markieren mit strukturiertem Grund (Known-Good-Tool/autorisierter Test/Detektionsfehlauslösung/Duplikat/sonstiges) + Analysten-Zuordnung (umkehrbar); alle Ansichten projizieren neu
• False-Positive-Ähnlichkeitsvorschläge — ein Element als False-Positive markieren und rangierte "ähnliche Elemente"-Kandidaten erhalten (gemeinsame MITRE/Prozess/Hash/Asset/IOCs), deterministisch oder KI-gestützt, um dasselbe Muster in einem Durchgang zu verwerfen; einzelne IOC-Markierungen können auch per Ein-Klick zur globalen IOC-Whitelist befördert werden
• Super-Timeline — eine Timesketch-artige Aufzeichnung jedes importierten Events, getrennt von der forensischen Timeline gehalten und nie von der KI gelesen; filtern, beschriften, Zeitfenster speichern und Zeilen in die forensische Timeline befördern
• Schweregrad-gesteuerte forensische Timeline — Info-Telemetrie wird nur in die Super-Timeline geleitet (die forensische Timeline behält Low+-bewertetes Signal), damit die Synthese nicht überschwemmt wird; konfigurierbar über DFIR_FORENSIC_MIN_SEVERITY + eine Fall-Override, Beförderung umgeht das Gate, und IOCs werden weiterhin aus jedem Event extrahiert
• Aktualität — "last synthesized N ago" + Diff (Dauer/Event/IOC-Zählungen); "last import N ago" + NEW-Zeilen-Hervorhebungen; ⚠-Hinweis für Fälle >5 000 Events
• Timeline-Event-Dichte-Heatmap — ein Balkenstreifen über der Forensic Timeline fasst das vollständige gefilterte Dataset (jede Seite, nicht nur die aktuelle) nach Zeit zusammen, gefärbt nach der schlimmsten Schwere jedes Buckets; Klick auf einen Balken zoomt die Timeline auf dieses Fenster; klappt auf Mobilgeräten zu einer dünnen Sparkline zusammen
• Timeline-Paginierung — 100/250/500/alle Zeilen pro Seite (benutzerwählbar); Vor/Zurück-Steuerung
• Timeline-Quellenfilter — facettiertes Dropdown (neben der Schweregrad-Legende) zum Ein-/Ausblenden von Events nach dem Tool/der Quelle, die sie erzeugt hat; Multi-Source-Events bleiben sichtbar, es sei denn, jede Quelle ist ausgeblendet
• Timeline-Origins-Filter — eine Ebene spezifischer als der Quellenfilter: zeigt/versteckt Events nach dem exakten Artefakt, das sie erzeugt hat (z. B. DetectRaptor.Windows.Detection.MFT), sowohl in der forensischen als auch der Super-Timeline
• Timeline-Zeilendarstellung — Einstellungen → Allgemein schaltet um, welche Unterelemente jede Timeline-Zeile zeigt (Aktionssymbole / Tag-Pills / Badges / Host-Chip / MITRE / zugehörige Findings / Evidenzverknüpfungen); Zeitstempel + Nachricht immer angezeigt; pro Browser, wirkt sofort
• Vim-artige Tastaturnavigation — j/k bewegt eine Fokuszeilen-Hervorhebung auf der Forensic Timeline, f markiert mit Stern, i füllt das manuelle IOC-Formular vor, p pinnt das zitierte Finding, n öffnet einen Kommentar, ? zeigt ein Cheat Sheet; umschaltbar in Einstellungen → Allgemein, Standard an
• Import-Schweregrad merken — die Import-Aufforderung für minimale Schwere hat ein don't ask again-Kontrollkästchen, das den gewählten Schwellenwert speichert und die Aufforderung bei zukünftigen Importen überspringt; verwalten/löschen in Einstellungen → Allgemein → Import severity; pro Browser
• Korrelationsprofil — Fall-basiertes Strict/Moderate/Aggressive/Custom-Fenster für quellenübergreifende Event-Zusammenführung; Toolbar-Dropdown + PUT /cases/:id/correlation-profile

Threat-Intel-Anreicherung (standardmäßig aus — optional pro Fall)

• Quellen — VirusTotal, Hunting.ch (MalwareBazaar/ThreatFox/URLhaus/YARAify), CrowdStrike Falcon TI, AbuseIPDB, MISP, YETI, OpenCTI, RockyRaccoon (Prozess-Prävalenz + anomales Parent/Child), CIRCL hashlookup (schlüsselloser Known-File-/Known-Good-Hash-Lookup — senkt False Positives)
• Lookalike-/Typosquat-Domain-Erkennung — Offline-Provider markiert Domains, die gängige Marken imitieren (T1566/T1583.001); standardmäßig an
• IP-Infrastruktur — Reverse DNS (PTR-Hostnamen), WHOIS über RDAP (Netblock/ASN/Abuse-Kontakt), GeoIP (Land/Stadt/ASN/Org), Shodan Host (gehostete Domains/Ports/Services/CVEs); die Kontextschicht "woher / wem gehört es / was wird gehostet" — Reverse DNS/WHOIS/GeoIP sind schlüssellos, Shodan verwendet DFIR_SHODAN_KEY wieder
• Lokal vs. extern — MISP/YETI/OpenCTI on-box; Drittanbieter-SaaS optional pro Fall; das Aktivieren einer Quelle prüft alle vorhandenen IOCs erneut
• Datierte, belegte Urteile — jeder Treffer trägt die Daten, Herkunft und Ersteller des Providers; abgelaufene und widerrufene Aussagen werden behalten und markiert, und Intel Retirement Review listet Findings, deren Intel veraltet ist
• Erreichbarkeits-Gate — Health-Probe selbstgehosteter Instanzen; automatische Wiederaufnahme, wenn online

Kundenexposition (getrennt von IOC-Anreicherung)

• Nur Assets der Opferorganisation — HIBP, LeakCheck, DeHashed (E-Mail-Breaches), Shodan (exponierte Hosts/Ports/CVEs); Opt-in pro Provider
• OPSEC-Grenze — nur vom Analysten eingegebene Domains werden abgefragt; Angreifer-/IOC-Domains werden nie gesendet; rohe Passwörter werden nie gespeichert### Dashboard & Berichte
• Ermittler-Cockpit — die Standard-Ansicht „Now" priorisiert die nächsten Spuren, Lücken und Report-Blocker; Story so far zeigt eine Karte pro Kill-Chain-Phase und kopiert als Klartext-Briefing
• Live-Dashboard über WebSocket — einklappbare, per Drag-and-drop neu anordenbare Abschnitte, Scope-Leiste, klickbare Evidenz-Links, Badges
• Befehlspalette (Strg+K / ⌘K) — Fuzzy-Suche über jede Dashboard-Aktion aus einem Overlay
• Hilfe-Symbol — ein ?-Button neben dem Einstellungs-Zahnrad öffnet das Online-Benutzerhandbuch in einem neuen Tab
• Hintergrundjobs — ein Toolbar-Popover verfolgt Importe, Synthese und Anreicherung, nennt die Modellversion, mit der jeder KI-Job lief, und Cancel bricht einen hängenden Lauf hart ab
• Dark/Light-Theme — Umschalter oder OS-Präferenz
• Forensische Timeline-Zeilen — betroffener Host + klickbare Finding-Links; Report hat eine Host-Spalte
• Manuelles Hinzufügen — verpasste Ereignisse/IOCs erfassen (mit Tag manual, übersteht Re-Analyse)
• MITRE-Techniken verlinken auf attack.mitre.org
• Asset ↔ IoC-Graph, Evidence Chain und Login-Graph — teilen eine interaktive Cytoscape-Ansicht (5 Layouts, Live-Filter, Vollbild, PNG-Export), jeweils mit eigenen Node-Glyphen/Edge-Styling (Host/Account/Service-Toggles, Prozess-Lineage, risikofarbige Logons)
• Timeline Swimlane — Severity/Taktik × Zeit; Klick für Details, Shift-Auswahl für Bulk-Aktion, PNG-Export
• Reports — Markdown + HTML + PDF (Ein-Klick) + Word (.docx) + CSVs (Findings/IOCs/Timeline) + JSON-State
• Evidenz-Sicherheitsprüfung vor dem Export — jeder menschenlesbare Export wird gegen die eigenen Indikatoren und den Evidenztext des Falls geprüft; ein Live-Indikator oder unescapte Evidenz wird dennoch ausgeliefert, mit einem Banner im Dokument und einer Dashboard-Warnung
• Verwandte Fälle — ein Panel, das andere Untersuchungen auflistet, die einen Indikator mit dieser teilen, sortiert so, dass ein geflaggter Hash schwerer wiegt als eine private Adresse; aus, außer DFIR_CROSS_CASE=on
• ATT&CK-Navigator-Layer — Techniken nach Severity eingefärbt; hochladen in den Navigator
• STIX 2.1-Bundle — für OpenCTI, MISP, Anomali usw.
• IOC-Blockliste — nur TXT/CSV/STIX; filtert nach Severity/Typ/Verdict
• Automatisches State-Backup / Rotation — Snapshots aller per-Case-State-Dateien vor der Synthese + stündlich; konfigurierbare Aufbewahrung; Einstellungen → Diagnose → Wiederherstellung mit einem Klick
• Verschlüsseltes Fall-Archiv — passwortgeschützter .dfircase-Export des GESAMTEN Falls (Evidenz und Screenshots inklusive, AES-256-GCM-verschlüsselt); maschinenübergreifendes Teilen + Wiederherstellung als neuer Fall
• Redigiertes Fall-Paket — ZIP mit tokenisierten IPs/Hosts/Usern, verpixelten PII in Screenshots, erhaltenen Adversary-Indikatoren
• KI-Management-Zusammenfassung — managementorientiert (keine ATT&CK-IDs/Hashes/Tool-Namen)
• Narrative Timeline — Prosageschichte für nicht-technische Stakeholder
• DFIR-IRIS-Push — idempotent; mappt Assets/IOCs/Timeline/Tasks; der Push-Dialog zeigt (und erlaubt das Überschreiben) den Ziel-IRIS-Fallnamen, gemerkt, damit spätere Pushes denselben Fall treffen. Einstellungen → DFIR-IRIS hat Test/Reconnect (kein Neustart)
• DFIR-IRIS-Import — bestehende Fall-Assets/IOCs/Timeline ziehen (deterministisch, keine KI)
• Jira / ServiceNow-Push — Ein-Klick- oder Bulk-Push direkt aus dem Finding-Panel; erneutes Pushen aktualisiert das bestehende Ticket
• Compliance-Auswirkung — mappt bestätigte Findings auf NIST/PCI/HIPAA/GDPR/SEC/ISO-Pflichten, mit Countdowns zur Meldepflicht bei Datenschutzverletzungen
• Timesketch-Push — Sketch finden oder erstellen; entweder die Forensic Timeline oder die vollständige Super Timeline pushen oder herunterladen (rohe Host-Triage-Artefakte inklusive), jeweils in eine eigene Timeline innerhalb desselben Sketches, damit keine die andere überschreibt; JSONL-Export
• Notion-Export — verwalteter Seitenblock; deine Notizen außerhalb bleiben unberührt
• ClickUp-Export — Response Playbook als Tasks; erneutes Pushen aktualisiert an Ort und Stelle
• Benachrichtigungen — Slack/MS Teams/Mattermost/Discord/Telegram/SMTP für Findings/Playbook/Meilensteine; Schwellenwert + Toggles pro Kanal
• Audit-Log-Export an ein SIEM — leitet das Aktivitätsprotokoll jedes Falls (wer was getan hat, wann und ob es funktionierte) an Splunk HEC, Elasticsearch oder RFC 5424 syslog weiter, als Nachweis für SOC 2 / ISO 27001; Opt-in pro Ziel, merkt sich pro Fall, wie weit es gekommen ist, und sendet nach einem Ausfall erneut statt zu überspringen
• War-Room-Slash-Command-Bot — bidirektional Slack/Teams/Telegram: /dfir findings, /dfir iocs malicious, /dfir ask … aus dem Incident-Kanal; binde einen Kanal an einen Fall, Allowlist, wer KI-Budget ausgeben darf (#235)
• Report-Vorlagen — globale gebrandete Layouts (Akzent, Kopf-/Fußzeile, Abschnittsreihenfolge); pro Fall auswählbar. Ein hier deaktivierter Abschnitt überspringt seine KI-Generierung (Executive Summary, Narrative), um Tokens zu sparen (#168)
• Mobile Companion — schreibgeschützte PWA (/mobile) für Findings/Timeline/IOCs mit Verdicts; Offline-App-Shell
• Präsentations- / Timeline-Replay-Modus — schreibgeschütztes, schrittweises Slide-Deck (/cases/:id/present) für Übergabe-Briefings & Executive-Walkthroughs: große Karten, Tastaturnavigation, Auto-Advance, Severity-Filter, Report-Template-Branding; Export eines eigenständigen Offline-HTML-Decks (#177)
• 🌍 Geografische IP-Karte — geo-lokalisierte IP-IOCs auf einer interaktiven Leaflet-Weltkarte darstellen (Severity-Farben, Opfer→Angreifer-Flüsse, Länderstatistiken, Filterung, CSV-Export); Koordinaten aus der Opt-in-GeoIP-Anreicherung, offline-freundlich (Kacheln überschreibbar)

Betrieb

• Indizierter SQLite-Fall-Speicher — worker-gestützte, cursor-gepagte Datenbank ersetzt flachen JSON-Fall-State
• Essential-/All-Ansicht in den Einstellungen — öffnet mit einer kuratierten Ansicht mit 43 Steuerelementen statt aller ~257 Felder; pro Browser gemerkt
• Health / Diagnose — Einstellungen → Diagnose Ein-Seiten-Operator-Ansicht: Speicherverbrauch, Fallanzahl, Capture-/Synthese-Warteschlange, redigierte KI-Konfiguration + Live-Test AI connectivity, Importer-Versuche (24h/7d) + aktuelle Fehler; Fallgrößen auf Abruf berechnet; schlüsselfreies Kopieren in die Zwischenablage
• Fall-Statistik-Panel — Summen pro Fall, Quellenaufschlüsselung und Importgeschwindigkeit in der Diagnose
• KI-Kostenverfolgung pro Fall — Einstellungen → Diagnose zeigt eine Karte „AI cost — this case": Aufrufe, Dollarkosten und Token-Zahlen nach Vision/Synthesis/Other und nach Modell, gelesen aus den echten Kosten-/Token-Zahlen pro Aufruf des Anbieters (niemals ein erfundenes $0.00, wenn ein Anbieter sie nicht meldet)
• Konfigurierbares Event-Ingestion-Limit (DFIR_MAX_EVENTS) — überschreibt das Standard-Sicherheitslimit von 2000 Events pro Import
• Prompt-Regression- / Eval-Harness — CI-sicheres und echtes Anbieter-Golden-Output-Testing für KI-Extraktions-/Synthesequalität
• Logging — Konsole + globales Session-Log + Audit-Trail pro Fall; DFIR_LOG_LEVEL Live-Umschalter; debug verfolgt KI/Captures/OCR/Anonymisierung
• Browser-Erweiterung — Chrome/Comet aus dem Chrome Web Store, oder Firefox 140+ aus jedem Release; benötigt den lokalen Server
• Portable Windows-EXE — entpacken + doppelklicken, kein Node erforderlich
• Chocolatey-Paket — choco install dfir-companion; lädt + verifiziert den portablen Build + bündelt die Capture-Erweiterung, Daten in %LOCALAPPDATA%
• Docker / Compose — docker compose up; Evidenz auf Host-Volume, kein gebündeltes KI-Backend
• Linux-AppImage — Einzeldatei-Executable für jede glibc-Distribution, kein Node erforderlich
• Update-Hinweis — Opt-in (standardmäßig aus) Prüfung auf ein neueres GitHub-Release; Dashboard-Banner, lädt niemals automatisch herunter
• Anpassbare Prompts — Prompts per Env-Var oder Datei überschreiben; Änderungen gelten ohne Neustart
• Demo-Fall — Ein-Klick-Laden oder npm run seed-demo, um das GlobalTech-Szenario zu seeden
• CLI-Skripte — reanalyze, synthesize, coverage, verify:ai, clean-timeline

Deine MCP-Server verwenden

Der Companion kann Fall-Evidenz auf MCP-Server richten, die du betreibst — eine SIFT-Workstation, eine REMnux-Box, einen Windows-Triage-Baseline-Service — damit Evidenz auf einer Maschine analysiert wird, die das Tooling hat.

Er erreicht sie nur über Claude Code. Der Companion ist kein MCP-Client: er hält keine Server- URL, kein Bearer-Token und startet kein eigenes npx oder uvx. Claude Code ist bereits mit deinen Servern konfiguriert und hält bereits deren Credentials, also übernimmt es das Reden und der Companion bittet es darum.

Voraussetzungen

Diese ganze Funktion funktioniert nur, wenn:

1. Claude Code auf der Maschine installiert und authentifiziert ist, die den Companion ausführt — nicht auf deinem Laptop, sondern auf dem Companion-Host. Setze DFIR_AI_CLAUDE_CODE_BIN, wenn claude nicht in dessen PATH ist.
2. Deine MCP-Server in Claude Code konfiguriert sind (claude mcp add …, oder dessen Konfigurationsdatei), und claude mcp list sie als verbunden zeigt.

Es gibt keinen Fallback. Wenn du den Companion in Docker, aus dem AppImage oder aus dem portablen Windows-Build ohne Claude Code daneben ausführst, werden dir die MCP-Routen das sagen und sonst nichts.

Zwei Konsequenzen, die man kennen sollte, bevor man sich darauf verlässt. Jeder MCP-Aufruf geht durch ein Modell, also verbraucht er Tokens und ist nicht der bit-für-bit-deterministische Aufruf, den eine direkte JSON-RPC-Anfrage wäre — der Prompt macht es zu einem Transport (ein Tool, exakte Argumente, wörtliche Ausgabe), aber ein Modell ist trotzdem dazwischen. Und weil die Server aus Claude Codes eigener Konfiguration stammen statt aus einer generierten, startet Claude Code bei jedem Lauf jeden Server, mit dem es konfiguriert ist, nicht nur den gerade verwendeten; die Allowlist begrenzt, was aufgerufen werden darf, nicht was gestartet wird.

Unter Einstellungen → Tools drücke Refresh from Claude Code, um dessen Serverliste zu laden, dann erlaube einen und sage, was er tun darf. Es gibt nichts zu tippen außer Policy — die Servernamen kommen aus Claude Code selbst, also kann ein Tippfehler dich nicht mit einem Eintrag zurücklassen, der still auf nichts passt.

Ein Tool gegen Fall-Evidenz ausführen

POST /cases/<id>/mcp/<serverId>/run mit { tool, args, targetPath }. Setze <target> überall dort, wo das Tool den Evidenzpfad erwartet — es wird durch den Pfad auf dem Analyse-Host ersetzt, nachdem die Auslieferung gelaufen ist, also ist das Argument, das du schreibst, das Argument, das das Tool erhält:```json { "tool": "run_command", "args": { "command": ["vol.py", "-f", "", "pslist"] }, "targetPath": "imports/memory.raw" }

Wie die Teile zusammenpassen```

Browser (Comet/Chrome) Localhost companion (127.0.0.1:4773) ┌─────────────────────┐ POST ┌───────────────────────────────────────┐ │ DFIR Capture (MV3) │ /captures ──▶ │ ingest → evidence (screenshots+jsonl) │ │ timer + events │ │ │ │ └─────────────────────┘ │ ▼ per-window AI extraction (cheap) │ │ forensic timeline ──▶ synthesis (strong)│ Dashboard / Reports ◀── WS /ws, │ findings, IOCs, MITRE, attacker path, │ GET /cases/:id/state │ key questions, threads │ └─────────────────────┘ └───────────────────────────────────────┘

2. Erweiterung (Erfassung):

   Am einfachsten: direkt aus dem Chrome Web Store installieren. Unter Firefox 140+ die Datei dfir-capture-extension-firefox-*.zip aus dem neuesten Release herunterladen und entpacken.

   Oder aus dem Quellcode erstellen: ``` cd DFIR-Companion/extension npm install npm run build # Chrome/Comet → load extension/dist as an unpacked extension npm run build:firefox # Firefox 140+ → load extension/dist-firefox/manifest.json

   root@kitploit:~

Unter Firefox lädst du es über about:debugging#/runtime/this-firefox → Temporäres Add-on laden… und wählst die manifest.json-Datei aus (Chrome fragt nach dem Ordner; Firefox nicht). Firefox verwirft temporäre Add-ons beim Neustart, also wiederhole das in jeder Sitzung — es gibt noch kein AMO-Listing, daher ist die Release-Zip unsigniert und kann nicht dauerhaft installiert werden.

Was es sammelt, da ein temporäres Laden nie fragt. Firefox zeigt seinen Datenerfassungs- hinweis nur für ein normal installiertes, signiertes Add-on an; about:debugging gewährt alles stillschweigend. Die Erweiterung deklariert Browsing-Aktivität (eine Aufnahme enthält die URL und den Titel des Tabs) und Website-Inhalte (den Screenshot und die Zeilen, die ein Push ausliest). Die Erweiterung sendet sie an die Companion-Adresse, die du konfigurierst, und nirgendwo sonst; was dieser Companion danach weiterleitet — ein Vision-Modell liest die Screenshots, KI-Synthese liest die Zeilen, Anreicherung fragt Reputationsdienste ab — ist die eigene Konfiguration des Companions. Siehe extension/PRIVACY.md.

Das Popup hängt sich nur an einen bestehenden Fall an — Fälle erstellst du im Dashboard.

3. Öffne http://127.0.0.1:4773/dashboard, klicke auf + New case, um deinen Fall zu erstellen (er verbindet sich automatisch). Wähle dann im Erweiterungs-Popup diesen Fall aus dem Case- Dropdown (Refresh cases, falls er noch nicht aufgelistet ist) und klicke auf Start. Durchsuche deine Beweise — das Dashboard aktualisiert sich live.

Aktualisierst du einen bestehenden Checkout? Führe nach git pull erneut npm install in beiden Verzeichnissen companion/ und extension/ aus — neue Funktionen können Abhängigkeiten hinzufügen (z. B. die OCR-Schwärzung von Screenshots fügte tesseract.js hinzu). Starte dann npm run dev neu (Servercode wird einmal beim Start geladen).

Die vollständige Konfiguration, HTTP-Endpunkte, das Fallordner-Layout und das Analysemodell sind in companion/README.md dokumentiert.

Docker / Docker Compose

Betreibe das Ganze — Companion-Server + Dashboard + das Browser-Add-on — in einem Container. Es sind weder Ollama noch LiteLLM enthalten; für KI richtest du DFIR_AI_* auf einen beliebigen OpenAI-kompatiblen Endpunkt (ein selbst gehostetes Modell, einen Remote-Anbieter oder ein separat betriebenes Ollama/LiteLLM). Bleibt KI ungesetzt, führt der Container trotzdem die vollständige Erfassung und alle deterministischen Importer aus.

Voraussetzung: Docker mit dem Compose-Plugin (docker compose version).

Bewusst nur auf Localhost: Der Container bindet intern 0.0.0.0, aber Compose veröffentlicht den Port auf 127.0.0.1 auf deinem Host — so ist das Dashboard nie in deinem Netzwerk exponiert.

1. Starten (aus dem Quellcode bauen): ``` git clone https://github.com/hasamba/DFIR-Companion.git cd DFIR-Companion docker compose up -d --build # → http://127.0.0.1:4773/dashboard
   root@kitploit:~

Oder ziehe das vorgefertigte Image von GHCR, anstatt es zu bauen: ``` docker compose pull && docker compose up -d

image: ghcr.io/hasamba/dfir-companion:latest

choco upgrade dfir-companion lädt die nächste Version herunter; choco uninstall dfir-companion entfernt die Binärdatei und den PATH-Shim. Der Installer lädt dasselbe portable Zip herunter, das auf der Releases-Seite veröffentlicht wurde, und verifiziert dessen SHA256.

Deine Daten liegen in deinem Benutzerprofil, nicht im admin-eigenen Installationsverzeichnis: Fälle in %LOCALAPPDATA%\DFIR-Companion\cases und Konfiguration in %LOCALAPPDATA%\DFIR-Companion\.env (aus dem Beispiel initialisiert; bearbeite sie für AI- / Threat-Intel-Schlüssel — alle optional). Deinstallieren behält diesen Ordner, damit Beweise niemals gelöscht werden. Es wird keine Firewall-Regel erstellt — der Server bindet nur 127.0.0.1.

Die Capture-Erweiterung ist auf der Festplatte unter %LOCALAPPDATA%\DFIR-Companion\extension für die Offline-Installation gebündelt (praktisch auf air-gapped Workstations) — lade sie über chrome://extensions → Entwicklermodus → Entpackte Erweiterung laden → diesen Ordner, oder installiere sie aus dem Chrome Web Store, sobald veröffentlicht. Sie wird nicht automatisch in den Browser installiert.

Noch nicht im Chocolatey-Community-Repo? Bis sie dort veröffentlicht ist, hole dir das dfir-companion.<version>.nupkg aus dem Release und choco install dfir-companion --source . aus seinem Ordner. Das Packaging befindet sich in packaging/chocolatey/.

Linux (AppImage)

Lade dfir-companion-<version>-x86_64.AppImage von der Releases-Seite herunter, dann:``` chmod +x dfir-companion--x86_64.AppImage ./dfir-companion--x86_64.AppImage # → http://127.0.0.1:4773/dashboard

Triage-Bundles (Einstellungen → Velociraptor-Tab): Server-Artefakte durchsuchen listet die sammelbaren CLIENT-Artefakte des Servers auf; benannte Bundles zusammenstellen + speichern (drei sind integriert — Best Practice (Quick-Wins- Sweep), Super-Timeline Triage (rohe Host-Artefakte, nur an die Super-Timeline weitergeleitet) und Linux Triage — global neben cases/ in bundles/ gespeichert). Jedes Bundle, auch die integrierten, ist direkt editierbar — eine Bearbeitung speichert eine Überschreibung; Auf Standard zurücksetzen verwirft sie. Ausführen eines Bundles als Hunt über das Fleet Collection-Panel des Dashboards (optional eingegrenzt durch Include-/Exclude-Labels + OS und eine Mindestschweregrad-Importgrenze). Der Sammlungs-Timeout ist eine Bundle- Einstellung (im Editor konfiguriert — für langsame Artefakte wie THOR erhöhen; Velociraptors Standard ist 600 s) und wird bei jedem Lauf automatisch angewendet. Jeder Hunt trägt außerdem eine relative Ablaufzeit — wie lange er weiterhin auf Clients plant, die sich später melden — wählbar aus 1 Stunde / 1 Tag / 1 Woche (Standard 1 Stunde, gegenüber Velociraptors eigenem wochenlangen Standard); es ist ein Bundle-Standard, der im Editor festgelegt und pro Lauf überschrieben werden kann. Bundles können auch Parameter pro Artefakt tragen (übergeben an das spec des Hunts), damit ein schweres Artefakt an der Quelle weniger ausgibt — Best Practice liefert **Hayabusa festgelegt auf RuleLevel=Critical/High/Medium

• RuleStatus=Stable+Experimental**, damit es den Import nicht überflutet; jedes Artefakt über das optionale Erweitert → Parameter-JSON des Builders abstimmen und laute Zeilen mit Ausschlussfiltern pro Artefakt entfernen (VQL WHERE, z. B. NOT OSPath =~ 'pagefile'). Der Hunt bleibt bis zum Ablauf offen, sodass der Companion nach DFIR_VELO_HUNT_WAIT_MIN automatisch sammelt und sowohl die Ergebniszeilen als auch jeden hochgeladenen JSON-Bericht einliest (z. B. THOR/Hayabusa über Generic.Scanner.ThorZIP — bei diesen zählen die Zeilen nicht, das hochgeladene JSON hingegen schon; es wird automatisch erkannt und an den richtigen Importer geleitet) und dann synthetisiert — oder Jetzt sammeln auf der Live-Job-Karte anklicken, um früher abzurufen. Der laufende Job bleibt pro Fall erhalten (state/velo-hunt.json) und übersteht einen Server-Neustart; Ergebnisse erscheinen auf der Dashboard-Timeline/IOCs.

MCP-Server (optional)

Das Registrieren eines Servers ist eine Sicherheitsentscheidung, nicht nur Konfiguration — siehe Registrieren eines MCP-Servers.

Benachrichtigungen (optional)

Neue/escalierte Findings, Playbook-Updates und Untersuchungsmeilensteine an Slack / MS Teams-Webhooks oder SMTP-E-Mail pushen. Es gibt keine aktivierende Umgebungsvariable — Kanäle werden im Dashboard erstellt (⚙ Einstellungen → Benachrichtigungen) und neben cases/ in notifications/config.json gespeichert (gitignored; sie enthält die Webhook-URLs + SMTP-Passwörter). Die Liste startet leer (Opt-in). Jeder Kanal hat eine Schweregradschwelle und Schalter pro Ereignis (Findings / Playbook / Meilensteine). Die Test-Schaltfläche verwenden, um einen Kanal Ende-zu-Ende zu verifizieren.

⚠ OPSEC: Benachrichtigungen senden Fallinhalte (Finding-/Aufgabentitel) an Dritte. Nicht bei einem sensiblen Fall aktivieren, es sei denn, das Ziel ist vertrauenswürdig.

Slack — einen Incoming Webhook erstellen (keine manuellen OAuth-Scopes; Slack fügt incoming-webhook automatisch hinzu):

1. Zu https://api.slack.com/apps gehen → Create New App → From scratch; benennen (z. B. DFIR Companion) und den Workspace auswählen.
2. Linke Seitenleiste → Features → Incoming Webhooks → Activate Incoming Webhooks einschalten.
3. Add New Webhook to Workspace → Zielkanal auswählen → Allow.
4. Die Webhook-URL kopieren (https://hooks.slack.com/services/T…/B…/…).
5. Im Companion: Einstellungen → Benachrichtigungen → Kanal hinzufügen → Slack-Webhook, die URL einfügen, Kanal hinzufügen, dann Test.

Ein Webhook postet an einen Kanal — für jeden weiteren Kanal einen weiteren Webhook (und einen weiteren Companion-Kanal) hinzufügen. Die URL ist ein Geheimnis (wer sie hat, kann dort posten), weshalb die Konfigurationsdatei gitignored ist und die URL in API-Antworten redigiert wird. Bot-Token-Scopes wie chat:write werden nicht benötigt — der Companion postet über den Incoming Webhook, nicht über die Web API.

MS Teams — einen Incoming Webhook-Connector (oder einen Power Automate-Flow „when a webhook request is received") zu einem Kanal hinzufügen und dessen URL einfügen (der Companion sendet eine MessageCard). SMTP-E-Mail — dem Kanal einen Host/Port, optional Benutzername+Passwort sowie from/to geben; opportunistisches STARTTLS + AUTH LOGIN werden verwendet, wenn angeboten. Für einen schnellen lokalen Test auf Mailpit zeigen (docker run -p 1025:1025 -p 8025:8025 axllent/mailpit).

Telegram — verwendet ein Bot-API-Token + eine Chat-/Kanal-/Gruppen-ID:

1. Einen Chat mit @BotFather öffnen, /newbot ausführen und das Token kopieren (123456789:AAF…).
2. Die Chat-ID ermitteln:
   • Privater Chat mit sich selbst — /start an den Bot senden, dann https://api.telegram.org/bot<TOKEN>/getUpdates öffnen; die chat.id ist eine positive Ganzzahl.
   • Gruppe — den Bot hinzufügen, eine beliebige Nachricht senden, getUpdates öffnen; chat.id ist eine negative Ganzzahl.
   • Öffentlicher Kanal — den Benutzernamen direkt verwenden: @mychannel.
   • Privater Kanal — den Bot als Administrator hinzufügen; einen Beitrag an @getidsbot weiterleiten, um die numerische ID zu erhalten (üblicherweise -100…).
3. Im Companion: Einstellungen → Benachrichtigungen → Kanal hinzufügen → Telegram-Bot, das Token und die Chat-ID einfügen, dann Test anklicken.

Läuft der War-Room-Bot bereits? Das Token leer lassen und nur die Chat-ID eintragen — der Kanal verwendet DFIR_TELEGRAM_BOT_TOKEN aus .env wieder, und das Feld zeigt (bereits gesetzt). Das Token bleibt allein in .env, sodass eine Rotation dort auch diesen Kanal rotiert. Ein Token hier nur eintragen, um über einen anderen Bot zu senden; es überschreibt dann die Umgebungsvariable für diesen Kanal.

Ein hier eingegebenes Token wird in notifications/config.json (neben cases/) gespeichert und wird niemals an den Browser zurückgegeben — das Dashboard erfährt nur, ob eines gesetzt ist und ob es aus .env stammt.

War-Room-Slash-Command-Bot (optional)

Benachrichtigungen pushen nach außen; dies ist der Weg zurück nach innen. Den Fall aus dem Incident-Kanal heraus steuern, anstatt für jede Frage zum Dashboard zu wechseln:``` /dfir bind IR-2026-014 bind this channel to a case — every later command can omit the id /dfir status events, findings, IOCs, open questions /dfir findings top 5 by severity /dfir finding f3 one finding card /dfir iocs malicious IOCs filtered by verdict (flagged | malicious) /dfir ask what was the initial access vector? grounded AI answer (posted when ready) /dfir synthesize trigger a re-synthesis /dfir hunt T1059.001 note a technique to hunt (deploy it from the dashboard) /dfir unbind clear the binding

Der Companion ruft Telegram auf und fragt nach neuen Befehlen, sodass nichts an der Maschine aus dem Internet erreichbar ist — dieselbe ausgehende Richtung, die der Notifier bereits nutzt. Ein Bot kann nicht beides: Zuerst einen bestehenden Webhook mit .../deleteWebhook löschen.

Slack Socket Mode ist dieselbe Idee: Socket Mode in der App aktivieren, ein App-Level-Token erstellen (xapp-…, Scope connections:write), und der Companion wählt sich bei Slack ein — keine Request-URL.

Der Webhook-Modus erreicht diesen Companion aus dem Internet über deinen Tunnel oder Reverse-Proxy — und dieser Hostname muss in DFIR_ALLOWED_HOSTS stehen, sonst weist der DNS-Rebinding-Schutz die Anfrage ab, bevor der Bot sie sieht. MS Teams hat keine Outbound-Option, benötigt also immer diesen Weg.

OPSEC — jeder, der im Channel posten kann, kann Fallinhalte abrufen. Passwortgeschützte Fälle werden über den Chat grundsätzlich abgelehnt (eine Chat-Nachricht enthält keine Entsperrung). Setze DFIR_*_ACTION_USERS, um KI-Ausgaben, Re-Synthese und Re-Binding auf benannte Responder zu beschränken; dadurch werden alle anderen auf den gebundenen Fall des Channels eingeschränkt.

Analyse-Tuning

Beispiel .env (zweistufiges OpenRouter-Setup):``` DFIR_VISION_PROVIDER=openrouter DFIR_VISION_MODEL=openai/gpt-4o-mini # cheap extraction (per screenshot) DFIR_VISION_KEY=sk-or-... DFIR_AI_SYNTH_MODEL=google/gemini-2.5-pro # strong synthesis (one call) DFIR_VISION_IMAGE_DETAIL=high

npm run build

Type-Check / Kompilierung mit tsc. Keine Argumente.``` npm run build

npm run verify:ai -- [caseId] [flags]

Smoke-Test mit einem Aufruf: sendet 3 Screenshots aus der Mitte des Falls an das konfigurierte Modell und bestätigt, dass die Antwort gegen das Schema geparst wird. Gibt Befunde, forensische Ereignisse und eine Vorschau des Angreiferpfads aus.

npm run reanalyze -- <caseId> [flags]

Führt die KI-Analyse für die bereits erfassten Screenshots eines Falls erneut aus und baut den Untersuchungszustand neu auf. Am Ende wird eine Synthese ausgeführt, sofern nicht --no-synthesis übergeben wird. Verbraucht Ihr API-Kontingent (~1 Aufruf pro --window Screenshots, plus 1 Synthese-Aufruf).

Reanalyze unique screenshots, merge into existing state

npm run reanalyze -- test1

Fresh rebuild from empty state

npm run reanalyze -- test1 --reset

Include duplicates too (most thorough)

npm run reanalyze -- test1 --all --reset

Different window size

npm run reanalyze -- test1 --reset --window 3

Try a different model

npm run reanalyze -- test1 --reset --model openai/gpt-4o

Switch provider + model + key for this run

npm run reanalyze -- test1 --reset --provider gemini --model gemini-1.5-pro --key AIza...

Two-tier (recommended): cheap extraction, strong synthesis

npm run reanalyze -- test1 --reset
--model openai/gpt-4o-mini
--synth-model openai/gpt-4o

Cross-provider two-tier

npm run reanalyze -- test1 --reset
--provider openrouter --model openai/gpt-4o-mini --key sk-or-...
--synth-provider openrouter --synth-model google/gemini-2.5-pro --synth-key sk-or-...

Just rebuild the forensic timeline, skip conclusions

npm run reanalyze -- test1 --reset --no-synthesis

npm run clean-timeline -- <caseId> [--apply]

Entfernt Analysten-/Tool-Nutzungszeilen (Velociraptor-Hunts, Notebooks, Suchen, „Response and Monitoring accessed" usw.) aus der forensischen Timeline. Keine KI-Aufrufe. Standardmäßig Dry-Run.

Preview what would be removed

npm run clean-timeline -- test1

Actually save the cleaned timeline

npm run clean-timeline -- test1 --apply

Roadmap

Geplante Arbeiten und Ideen werden als GitHub Issues unter dem Label enhancement verfolgt.

Tests und Qualitäts-Gates```

cd companion && npm test # server unit tests cd extension && npm test # extension unit tests

Read more