dfirtriage

Herramienta de adquisición forense digital para respuesta a incidentes en Windows.

Cómo usar

Para ejecutar, coloque dfirtriage.exe en el destino o en una unidad USB conectada y ejecútelo con derechos de administrador; use -h para obtener ayuda.

---

Manual de Usuario de DFIRTriage v6.0

Descripción

Este documento describe la funcionalidad y el uso correcto de la herramienta DFIRtriage. También se incluye información detallada para ayudar en el análisis de la salida. El objetivo es equipar al Respondedor de Incidentes con las herramientas necesarias para recopilar y analizar datos rápidamente.

Acerca de

DFIRtriage es una herramienta de respuesta a incidentes diseñada para proporcionar al Respondedor de Incidentes datos rápidos del host. Al ejecutarse, se recopilarán datos e información seleccionados del host y se colocarán en el directorio de ejecución. DFIRtriage puede ejecutarse desde una unidad USB o de forma remota en el host de destino.

¿Qué hay de nuevo en v6.0?

Reestructuración de la salida

• Se reorganizaron los archivos y directorios de salida de una manera más lógica.

Registro del tiempo total de ejecución

• Se añadió el tiempo total de ejecución al archivo de registro (runlog.txt).

Correcciones de errores

• Se corrigió el estado de salida no cero 1 cuando falta ntuser.dat en un directorio de perfil de usuario.
• Ahora solo se intenta obtener archivos bloqueados de directorios de perfil de usuario donde existe un archivo ntuser.dat.

Argumentos añadidos para artefactos individuales del sistema

• Dividir la opción de adquisición de archivos del sistema en artefactos individuales reduce el tamaño total del archivo cuando solo se desea uno y no los tres. -sdb, --srumdb (base de datos SRUM), -hf, --hiberfil (hiberfil.sys), -p, --pagefile (pagefile.sys).

Capacidades mejoradas de hash de archivos ejecutables

• Hashea todos los archivos .dll y .exe en la unidad del sistema operativo. Se recomienda desactivar el escaneo en tiempo real del antivirus al usar los argumentos de hash.

Detalles de procesos en ejecución

• Se mejoró la información de procesos en ejecución para incluir PID, PPID, nombre del proceso, comando ejecutado para iniciar el proceso y archivos abiertos por el proceso.

Volcado de clave BitLocker

• Para volcar información de la clave BitLocker de la unidad del sistema operativo, ahora puede pasar el argumento -bl o --bitlocker en la línea de comandos.

Adquisición de memoria ya no es acción predeterminada

• Para adquirir memoria, debe pasar el argumento -m o --memory en la línea de comandos.

Se eliminó el aviso al usuario al final de la ejecución

• Ya no es necesario designar el argumento -hl o --headless para omitir el aviso final al usuario; el script se ejecutará hasta completarse, se limpiará y saldrá sin intervención del usuario.

Firewall de Windows

• Volcado de la configuración del firewall de Windows.
• Análisis predeterminado de eventos clave del firewall.
• Extracción del registro completo de eventos del firewall (EVTX) con el argumento -elf.

Informe mejorado de cuentas de usuario

• Se crea un informe más detallado de cuentas de usuario que incluye SID de cuenta y hora de último inicio de sesión.

dtfind - requisito de administrador eliminado

• Se eliminó el requisito de permisos de administrador para ejecutar dtfind.

Actualización de herramientas de terceros

• El conjunto de herramientas core.ir se ha actualizado con las versiones actuales de las herramientas.

IP externa

• Obtiene la dirección IP externa del endpoint.

PowerShell

• Ahora adquiere el historial de PowerShell de los comandos ejecutados por SYSTEM.
• El archivo EVTX completo de PowerShell ahora se extrae con el argumento -elf, --evtlogfiles.

Información del sistema

• Nuevos datos del sistema y de red recopilados en el informe WLAN.

Registros de eventos

• Adquiere eventos de montaje de unidades virtuales (VHD) del registro de eventos de operaciones VHD.
• Se añadieron nuevos eventos de registro de eventos a la colección predeterminada.
• Extracción de registros completos de eventos de PowerShell y Firewall con el argumento -elf, --evtlogfiles.

Registro de eventos de aplicación

• Eventos WER solo para fallos de aplicación (1001).
• Inicio de sesión de usuario con perfil temporal (1511).
• No se puede crear perfil usando perfil temporal (1518).
• Eventos de error de aplicación, similares a WER/1001. Estos incluyen la ruta completa al EXE/Módulo con fallo (1000).
• Eventos de bloqueo/cierre inesperado de aplicación, similares a WER/1001. Estos incluyen la ruta completa al EXE/Módulo con fallo (1002).

Registro de eventos de seguridad

• Ataque de repetición (4649).
• Solicitud de TGT Kerberos (4768).
• Solicitud de ticket de servicio Kerberos (4769).
• Renovación de ticket de servicio Kerberos (4770).
• Error de preautenticación Kerberos (4771).
• Estación de trabajo bloqueada (4800).
• Estación de trabajo desbloqueada (4801).
• Se invocó el protector de pantalla (4802).
• Se descartó el protector de pantalla (4803).
• Se intentó cambiar la contraseña de una cuenta (4723).
• Se deshabilitó una cuenta de usuario (4725).
• Se eliminó una cuenta de usuario (4726).
• Creaciones de grupos (4727, 4731, 4754).
• Eliminaciones de miembros de grupo (4729, 4733, 4757).
• Cambios en grupos (4735, 4737, 4755, 4764).
• Se bloqueó una cuenta de usuario (4740).
• Se creó una cuenta de equipo (4741).
• Se cambió una cuenta de equipo (4742).
• Se eliminó una cuenta de equipo (4743).
• Historial SID (4765, 4766).
• Se desbloqueó una cuenta de usuario (4767).
• ACL establecida en cuentas (4780).
• Se cambió la hora del sistema (4616).
• Se denegó el ticket de servicio Kerberos (4821).
• Error de autenticación NTLM (4822, 4823).
• Error de preautenticación Kerberos (4824).
• Servicios de certificados recibieron una solicitud de certificado (4886).
• Servicios de certificados aprobaron una solicitud de certificado (4887).
• Se actualizó una plantilla de Servicios de certificados (4899).
• Se actualizó la seguridad de la plantilla de Servicios de certificados (4900).
• Se cambió la política Kerberos (4713).
• Se realizó una operación en un objeto (4662).

Registro de eventos de PowerShell

• Actividad de ejecución de bloques de PowerShell (4103).
• Comando remoto (4104).

Registro de eventos de Firewall de Windows

Modificaciones locales (Niveles 0, 2, 4) (2004, 2005, 2006, 2009, 2033).

Dependencias

El repositorio de la herramienta contiene el conjunto completo de herramientas necesario para una ejecución adecuada y está empaquetado en un solo archivo llamado core.ir. Este archivo .ir es la única dependencia requerida de DFIRtriage cuando se ejecuta en Python y debe residir en un directorio llamado data (es decir, ./data/core.ir). La versión compilada de DFIRtriage tiene el conjunto completo de herramientas integrado y no requiere la adición del archivo ./data/core.ir.

Funcionamiento

DFIRtriage adquiere datos del host en el que se ejecuta. Las ejecuciones desde el teclado se realizan mejor desde un dispositivo USB. Para adquisiciones de hosts remotos, los archivos de DFIRtriage deberán copiarse al destino y luego ejecutarse mediante un shell remoto (por ejemplo, SSH o PSEXEC).

Uso de PSEXEC

ADVERTENCIA: No use argumentos de PSEXEC para pasar credenciales a un sistema remoto para autenticación. Al hacerlo, su nombre de usuario y contraseña se enviarán por la red en texto claro.

Se deben seguir los siguientes pasos para el uso correcto de PSEXEC

1. Asigne una unidad de red y autentíquese con una cuenta que tenga privilegios administrativos locales en el host de destino.

Puede usar esta conexión asignada para copiar DFIRtriage al destino.