FastFinder

Una herramienta ligera de respuesta a incidentes para la caza de amenazas y el triage forense

✨ Descripción general

FastFinder es una herramienta de respuesta a incidentes potente y ligera diseñada para profesionales de la ciberseguridad que realizan caza de amenazas, análisis forense en vivo y triage de endpoints. Construida para las plataformas Windows y Linux, sobresale en el descubrimiento rápido de archivos sospechosos utilizando múltiples criterios de detección.

🔍 Capacidades clave de detección

• Detección basada en ruta: Coincidencia de patrones de ruta y nombre de archivo
• Verificación de hash: Validación de suma de comprobación MD5, SHA1 y SHA256
• Análisis de contenido: Coincidencia de cadenas simple y evaluación compleja de reglas YARA
• Soporte multiplataforma: Compatibilidad nativa con Windows y Linux

🛡️ Probado en batalla

• ✅ Listo para producción: Desplegado con éxito en escenarios reales de respuesta a incidentes
• ✅ Validado por la industria: Utilizado por múltiples equipos CERT, CSIRT y SOC
• ✅ Ejemplos completos: Incluye muestras reales de malware y escenarios de escaneo de vulnerabilidades

📸 Capturas de pantalla

Interfaz de usuario básica

Selección de configuración

Resultados del escaneo y coincidencias

🚀 Instalación

Inicio rápido (Recomendado)

📥 Descargar Última Versión

Compilación desde el código fuente

⚠️ Nota: La compilación requiere dependencias CGO y YARA. Consulte las guías específicas de cada plataforma:

• 🪟 Windows: Guía de compilación
• 🐧 Linux: Guía de compilación

Instalación con Docker (¡Sin dependencias requeridas!)

La forma más fácil de compilar FastFinder sin instalar dependencias:

# Build binaries for Linux and Windows
cd docker
make build-binaries

# Binaries will be in ./bin/
# - fastfinder-linux-amd64
# - fastfinder-windows-amd64.exe

Contenedor de ejecución Docker

Ejecute FastFinder dentro de un contenedor Docker privilegiado para escanear volúmenes o sistemas de archivos montados:

# Build the runtime image (includes FastFinder + YARA + editors)
.\docker-helper.ps1 build-runtime

# Run scan with configuration directory
.\docker-helper.ps1 run-runtime -ConfigPath "C:\path\to\config_folder" -ScanPath "C:\data\to\scan"

# Interactive shell mode (no scan, just shell access)
.\docker-helper.ps1 run-runtime -Interactive

Requisitos

• Tiempo de ejecución: No se requieren dependencias para binarios precompilados
• Compilación: Go 1.24+, CGO, libyara
• Privilegios: Se recomiendan derechos de administrador para acceso completo al sistema

📖 Uso

Interfaz de línea de comandos

fastfinder [OPTIONS]

Opciones disponibles

Opción	Descripción	Predeterminado
-h, --help	Muestra información de ayuda
-c, --configuration <yaml config file>	Ruta del archivo de configuración
-b, --build <output executable>	Crea un binario independiente con configuración incrustada (solo arquitectura x64)
-r, --root <Path>	Ruta raíz de escaneo (anula la enumeración de unidades)
-s, --silent	Modo silencioso - ejecutar sin ninguna ventana o consola visible
-v, --verbosity <verbosityLevel>	Nivel de verbosidad de registro (1-5)	3
-t, --triage	Modo de monitoreo continuo	false

Niveles de verbosidad

• Nivel 1: Solo alertas
• Nivel 2: Alertas y advertencias
• Nivel 3: Alertas y errores (predeterminado)
• Nivel 4: Alertas, errores y operaciones de E/S
• Nivel 5: Verbosidad completa (con fines de depuración o registro realmente avanzado)

Ejemplos rápidos

# Basic scan with configuration file
./fastfinder -c config.yaml

# Continuous monitoring mode
./fastfinder -c config.yaml -t

# Create standalone executable (x64 architecture only)
./fastfinder -c config.yaml -b standalone_scanner.exe

💡 Consejo: FastFinder puede ejecutarse con privilegios de usuario estándar, pero los derechos de administrador proporcionan acceso a todos los archivos del sistema.

Escanear y exportar coincidencias de archivos según sus necesidades

Los ejemplos de configuración están disponibles allí. Aquí hay un ejemplo completo de configuración en blanco. No es necesario implementar todos los atributos si no se utiliza todo.