johnng007/live-forensicatorPlattformübergreifendes Toolkit für Incident Response und Live-Forensik mit integrierter Erkennung, strukturierter Analyse und Berichterstellung – entwickelt für schnelle, umsetzbare Sicherheitsuntersuchungen.
Entwickelt für schnelle, strukturierte und direkt verwertbare forensische Untersuchungen.
Forensicator ist ein plattformübergreifendes Toolkit für Incident Response und Live-Forensik.
Es wurde entwickelt, um Forensikern und Incident-Respondern zu helfen, bei Live-Untersuchungen Systemartefakte schnell zu erfassen, zu analysieren und zu interpretieren.
Forensicator:
👉 https://github.com/Johnng007/Live-Forensicator/tree/main/Windows
👉 https://github.com/Johnng007/Live-Forensicator/tree/main/MacOS
⚠️ Hinweis: macOS beschränkt die echte Telemetrie zur Prozesserstellung auf sein Endpoint Security Framework, auf das ein einfaches Skript keinen Zugriff hat – daher ist die Sigma-Abdeckung hier geringer als unter Windows/Linux. Details finden Sie in der macOS-README.
👉 https://github.com/Johnng007/Live-Forensicator/tree/main/Linux
⚠️ Hinweis: Die Linux-Skripte sind so konzipiert, dass sie nicht-native Dienstprogramme (z. B.
net-tools) vermeiden, um maximale Kompatibilität zu gewährleisten. Die Sigma-Abdeckung hängt davon ab, obauditdauf dem Zielsystem bereits konfiguriert ist – siehe die Linux-README.
Forensicator erzeugt:
Dies ermöglicht einen schnellen Übergang von Datenerfassung → Untersuchung → Entscheidungsfindung.
config.json angepasst werdenForensicator unterstützt die optionale Verschlüsselung gesammelter Artefakte mit AES.
Dies ist nützlich, wenn:
⚠️ Verfügbar unter Windows, Linux und macOS ⚠️ Nicht abwärtskompatibel vor v4.1.1
Standardmäßig deaktiviert. Wenn aktiviert, wird jeder Befund während der Erfassung an ein lokales oder kommerzielles LLM gesendet und erhält eine echte Bewertung in einfacher Sprache, die direkt im Tooltip des Berichts angezeigt wird.
Schnelleinrichtung (lokales LLM über Ollama), derzeit Windows:
# 1. Install Ollama (https://ollama.com) and pull a model
ollama pull mistral:7b-instruct
// 2. Enable it in config.json
"ai": {
"enabled": true,
"provider": "ollama",
"base_url": "http://localhost:11434",
"model": "mistral:7b-instruct"
}
Bevorzugen Sie stattdessen eine kommerzielle API (OpenAI, Anthropic, Azure OpenAI oder einen beliebigen OpenAI-kompatiblen Endpunkt)? Setzen Sie provider entsprechend und fügen Sie Ihren api_key hinzu.
📘 Vollständige Einrichtungsanleitung (alle Anbieter, Optimierung, Fehlerbehebung): opendocs.forensicator.io
Forensicator erkennt verdächtige Aktivitäten durch:
Vollständiges Changelog: 👉 https://opendocs.forensicator.io/changelog/
Windows: v4.2.0 (August 2026)
- NEW: Forensicator AI — optional, per-finding AI verdicts from a local (Ollama) or commercial LLM (OpenAI, Anthropic, Azure OpenAI, or any OpenAI-compatible endpoint), shown right in the report's tooltip. Off by default.
- NEW: Investigation Summary — a cross-finding case rollup with an overall risk score, reconstructed timeline, attack chain, evidence correlation, and recommended next steps, computed from every finding in the run.
- FIX: Investigation Summary's overall risk score no longer inflated by routine, always-present findings (services, scheduled tasks, browser history, running processes, RDP logins, and similar) that carry no evidence of actual compromise — a clean host with zero detections now correctly scores Low instead of High/Critical.
- FIX: Improvements and bug fixes.
Windows: v4.1.7 (July 2026)
- NEW: Added support for PowerShell v5.
- NEW: Active Directory detection module (Domain Controllers only) — NTDS database integrity, SYSVOL/GPO script analysis, privileged group membership, KRBTGT account age, SPN/Kerberoasting exposure, Kerberos delegation, DCSync rights enumeration, DC-specific privileged/Kerberos event collection, and WMI permanent event subscription detection.
- NEW: Microsoft SQL Server detection module — dangerous configuration options (xp_cmdshell, OLE Automation Procedures, CLR), sysadmin/sa account review, linked servers, TRUSTWORTHY databases, SQL Agent job persistence checks, and login failure event collection.
- NEW: Microsoft SharePoint Server detection module — webshell/dropped-file scanning, suspicious IIS worker process (w3wp.exe) child processes, web.config ViewState/machineKey misconfiguration review, and known exploit URI matching in IIS logs.
- FIX: Sigma rule engine returning zero findings on PowerShell 5.1 due to a ConvertFrom-Json array-unrolling difference between PS5.1 and PS7.
- FIX: HTML report rendering broken on PowerShell 5.1 caused by inconsistent Out-File encoding (UTF-16 vs UTF-8) between PowerShell versions.
- FIX: Friendlier error handling when manage-bde.exe is unavailable during BitLocker key extraction.
- FIX: Improvements and bug fixes.
Beiträge sind willkommen.
Live-Forensicator ist Open-Source-Software, lizenziert unter der Apache License 2.0.
Copyright © 2026 Raptormatics.
Sie sind frei, Live-Forensicator gemäß den Bedingungen der Apache License 2.0 zu verwenden, zu vervielfältigen, zu modifizieren und zu verbreiten.
Den vollständigen Lizenztext finden Sie in der Datei LICENSE.
Live-Forensicator kann Drittanbieter-Tools, Bibliotheken, Skripte oder Komponenten enthalten oder mit ihnen interagieren, die unter ihren eigenen Lizenzen vertrieben werden. Diese Lizenzen gelten weiterhin für die jeweiligen Komponenten.
Die Nutzer sind dafür verantwortlich, die geltenden Lizenzen und Bedingungen aller Drittanbieter-Komponenten einzuhalten, die sie zusammen mit Live-Forensicator verwenden.