memOptix

Este cuaderno de Jupyter fue creado para ayudar a los profesionales de DFIR en el triaje de volcados de memoria de Windows.

Tenga en cuenta que este cuaderno se creó basándose en la salida generada por el script de Python Supermem de CrowdStrike (https://github.com/CrowdStrike/SuperMem). El modo de triaje 2 o 3 de SuperMem debe ejecutarse contra el volcado de memoria antes de ejecutar este cuaderno. También se incluye una celda de procesamiento de Volatility como parte de este cuaderno, por si decide ejecutar Volatility contra un volcado de memoria de forma interactiva para generar la salida requerida.

En este cuaderno se utilizan los siguientes proyectos de código abierto

https://github.com/microsoft/msticpy

https://github.com/volatilityfoundation/volatility3

https://github.com/CrowdStrike/SuperMem

Autor: J Marasinghe

Requisitos previos

• Python 3.8 o superior
• Volatility3
• Se requieren las siguientes claves de API para admitir MSTICPY con sus enriquecimientos. GeoIPLite, GreyNoise y OTX

Uso

1. git clone https://github.com/blueteam0ps/memOptix.git
2. Actualice msticpyconfig.yaml e incluya las claves de API descritas en los requisitos previos
3. Abra memOptix-analyst.ipynb dentro de Jupyter y siga las instrucciones del cuaderno
4. Si no tiene previsto ejecutar Supermem y desea generar los CSV necesarios para el cuaderno, ejecute la siguiente celda. Si ya tiene los CSV, actualice la ruta como se indica y omita la generación de CSV.

Capturas de pantalla

Crédito de la imagen Iconos de memoria creados por Darius Dan - Flaticon