bitranox/fingerprintMonitoreo de cambios en el registro y archivos en Windows
Monitoreo de cambios en el Registro y Archivos en Windows - análisis forense para el registro y archivos de Windows
"fingerprint" registra el estado de un sistema Windows, en términos de archivos y registro. Estas huellas digitales se pueden comparar para encontrar todos los datos modificados. Los datos se pueden acotar con archivos de registro de procmon, para ver qué proceso causó los cambios. Los archivos de registro de Procmon se pueden filtrar para mostrar solo eventos de archivos o entradas de registro modificados. Esto facilita mucho encontrar la causa de los cambios en el sistema.
Todas las huellas digitales se almacenan en formato csv, compatible con Excel, para un filtrado, ordenación, etc. convenientes. También puede usar herramientas de terceros como "Meld", "FC", "diff" para comparar huellas digitales.
Puede usar fingerprint en archivos batch para filtrar automáticamente eventos de su interés: es amigable con lotes.
las fuentes están incluidas, pero es posible que solo use el archivo fp.exe creado con pyinstaller desde Releases <https://github.com/bitranox/fingerprint/releases>_
Monitorear honeypots, monitorear cambios del sistema, encontrar entradas de registro o archivos "ocultos", como la caducidad de versiones de demostración, analizar actividades de virus, analizar si su privacidad fue comprometida. Podrá encontrar cualquier programa espía, gusano, o hackeo en su sistema, a menos que el programa solo resida en la memoria y no altere nada, pero eso es muy poco probable.
consulte la Wiki <https://github.com/bitranox/fingerprint/wiki>_
no requiere instalación, solo use el archivo fp.exe desde Releases <https://github.com/bitranox/fingerprint/releases>_
Se instalarán / necesitarán los siguientes paquetes (al usar archivos .py):
click
python-registry
pyinstaller (si desea crear sus propios archivos .exe)
Inspirado por Regshot, InstallWatch Pro, SpyMe Tools, RegDiff, WhatChanged, RegFromApp, Uninstaller Pro y otros.
Me encantaría que hicieras un fork y me enviaras un pull request para este proyecto. Por favor, contribuye.
Este software está licenciado bajo la licencia MIT <http://en.wikipedia.org/wiki/MIT_License>_
Vea el archivo de licencia <https://github.com/bitranox/fingerprint/blob/master/LICENSE>_
Hagamos un recorrido práctico mediante un ejemplo. Supongamos que tenemos un software con "Período de prueba" y el software deja de funcionar después del período de prueba.
Después de desinstalar y reinstalar el software, aún muestra "Período de prueba finalizado", por lo que este software no se desinstala por completo, dejando algunos archivos o entradas de registro atrás.
todos los programas se inician desde la línea de comandos. Use fp.exe [comando] --help para mostrar la ayuda con todos los parámetros de línea de comandos.
PASO1: crear huella digital de la unidad c:\ en un sistema limpio: fp.exe files --fp_dir=c:\ --f_output=c:\fp\fp1.csv fp.exe reg --f_output=c:\fp\reg1.csv
PASO2: crear huella digital después de instalar, ejecutar y desinstalar el software: fp.exe files --fp_dir=c:\ --f_output=c:\fp\fp2.csv fp.exe reg --f_output=c:\fp\reg2.csv
PASO3: crear archivos de diferencias. En esos archivos se almacenan todos los cambios entre el estado limpio y el desinstalado: fp.exe files_diff --fp1=c:\fp\fp1.csv --fp2=c:\fp\fp2.csv --f_output=c:\fp\fp1-fp2.csv fp.exe reg_diff --reg1=c:\fp\reg1.csv --reg2=c:\fp\reg2.csv --f_output=c:\fp\reg1-reg2.csv
PASO4: reinstalar el software use procmon para registrar toda la actividad del sistema y guarde el registro como archivo csv "c:\fp\reinstall_procmon.csv"
El filtrado de archivos de registro de Procmon se explicará pronto, ya que está en etapa de refactorización. Si tiene prisa, puede usar la versión anterior 1.6 (desde releases).
Puede registrar bastante ruido; por el momento no hay un filtro para eliminarlo. Por otro lado, yo me ocultaría precisamente en el ruido, así que lo dejé así.
Los archivos de registro de Procmon pueden volverse bastante grandes; puede establecer algunos filtros apropiados allí (para los procesos o programas que examina).
