k1nd0ne/volwebEine zentralisierte und erweiterte Speicheranalyse-Plattform
VolWeb ist eine digitale forensische Speicheranalyseplattform, die die Leistungsfähigkeit des Volatility 3 Frameworks nutzt. Sie ist darauf ausgerichtet, Ermittlungen und Incident Responses zu unterstützen.
Das Ziel von VolWeb ist es, die Effizienz der Speichersammlung und forensischen Analyse zu steigern, indem eine zentrale, visuelle und erweiterte Webanwendung für Incident Responder und Digital Forensics Investigators bereitgestellt wird. Sobald ein Ermittler ein Speicherabbild von einem Linux- oder Windows-System erhält (Mac folgt bald), können die Beweise in VolWeb hochgeladen werden, was eine automatische Verarbeitung und Extraktion von Artefakten mithilfe des Volatility 3 Frameworks auslöst.
Durch die Nutzung hybrider Speichertechnologien ermöglicht VolWeb Incident Respondern zudem, Speicherabbilder direkt von verschiedenen Standorten aus in die VolWeb-Plattform hochzuladen, indem dedizierte, von der Community gepflegte Skripte verwendet werden, die mit der Plattform verbunden sind. Ein weiteres Ziel ist es, Benutzern zu ermöglichen, technische Informationen wie Indikatoren zu sammeln, die später in moderne CTI-Plattformen wie OpenCTI importiert werden können, um so Ihre Incident-Response- und CTI-Teams nach Ihrer Untersuchung zu verbinden.
Die Projektdokumentation ist im Wiki verfügbar. Dort finden Sie die Anleitung, um das Tool in Ihrer Untersuchungsumgebung oder Ihrem Labor bereitzustellen.
[!IMPORTANT] Nehmen Sie sich Zeit, die Dokumentation zu lesen, um häufige Fehlkonfigurationen zu vermeiden.
Ein kurzer Hinweis: VolWeb ist für die Nutzung zusammen mit der Kommandozeile von Volatility 3 gedacht. Es bietet eine andere Möglichkeit, einige Ergebnisse zu überprüfen und zu untersuchen, wird aber nicht die gesamte detaillierte Analysearbeit für Sie erledigen.
Ihre Beweise werden in die VolWeb-Plattform hochgeladen und standardmäßig mit dem Dateisystem analysiert, um die beste Leistung zu erzielen. Sie können Beweise jedoch auch an eine Cloud-Speicherlösung (AWS/MINIO) anbinden und diese Ihren Fällen zuordnen, um die Analyse direkt in der Cloud durchzuführen.
Die Untersuchungsfunktion ist eine der Kernfunktionen von VolWeb. Sie bietet eine Übersicht über die verfügbaren Artefakte, die von der benutzerdefinierten Volatility 3 Engine im Backend abgerufen wurden. Falls verfügbar, können Sie den Prozessbaum visualisieren, grundlegende Informationen zu jedem Prozess abrufen, diese auslagern usw. Sie erhalten außerdem eine erweiterte Ansicht aller Plugin-Ergebnisse, kategorisiert nach Bereichen.
« Verteidiger denken in Listen. Angreifer denken in Graphen. Solange dies so ist, gewinnen Angreifer. »
Die Erkundungsfunktion ist ab VolWeb 3.0 für Windows-Untersuchungen verfügbar (für Linux in Kürze). Sie ermöglicht es dem Memory-Forensik-Experten, potenziell verdächtige Prozesse in einer Graphenansicht zu untersuchen, was eine andere Betrachtungsweise der Daten ermöglicht und gleichzeitig die Volatility 3-Plugins korreliert, um mehr Kontext zu erhalten.
Wenn der Experte bösartige Aktivitäten findet, bietet VolWeb die Möglichkeit, STIX V2-Indikatoren direkt über die Oberfläche zu erstellen und in Ihrem Fall zu zentralisieren. Sobald Ihr Fall abgeschlossen ist, können Sie Ihr STIX-Bundle generieren und Ihre Indikatoren mit Ihrer Community über CTI-Plattformen wie MISP oder OpenCTI teilen.
VolWeb integriert YARA-Scans, um Muster und Malware-Signaturen in Speicherabbildern zu erkennen. Sie können Regeln manuell erstellen, aus .yar-Dateien oder GitHub-Repositories importieren oder vorhandene Regeln direkt in den Editor einfügen. Regeln können zur besseren Verwaltung in Regelsätzen organisiert und gruppiert gescannt werden.
Die Scan-Oberfläche ermöglicht eine flexible Auswahl von Regelsätzen, einzelnen Regeln oder benutzerdefinierten Kombinationen. Die Ergebnisse erscheinen in einem durchsuchbaren Raster mit Speicheroffsets und übereinstimmenden Inhalten. VolWeb behält automatisch Ihren letzten Scan bei, sodass Sie schnell auf das letzte Ergebnis zugreifen können, ohne Suchvorgänge erneut ausführen zu müssen.
VolWeb stellt eine REST-API zur Verfügung, die es Analysten ermöglicht, mit der Plattform zu interagieren. Ein Swagger-Dokument ist auf der Plattform verfügbar, um die vollständige Dokumentation zu erhalten. Es gibt ein dediziertes Repository, das von der Community gepflegte Skripte bereitstellt: https://github.com/forensicxlab/VolWeb-Scripts .
VolWeb verwendet Django im Backend. Verwalten Sie Ihre Benutzer und die Datenbank direkt über das Admin-Panel.
Wenn Sie auf einen Fehler gestoßen sind oder eine Funktion vorschlagen möchten, erstellen Sie bitte eine Diskussion, damit wir diese schnell bearbeiten können. Bitte fügen Sie bei Problemen Logs bei.
VolWeb freut sich über Beiträge. Folgen Sie den Beitragsrichtlinien in der Dokumentation, um Funktionen vorzuschlagen.
Kontaktieren Sie uns unter [email protected] oder [email protected] bei Fragen zu diesem Tool.
Schauen Sie sich die Roadmap an.
Schauen Sie sich die Diskussionen an.
Software Engineering Laboratory, SERLAB
Software Engineering & Practices, SER&P
