memOptix

Ce notebook Jupyter a été créé pour assister les professionnels de la DFIR dans le triage de dumps mémoire Windows.

Veuillez noter que ce notebook a été créé sur la base de la sortie générée par le script python Supermem de CrowdStrike (https://github.com/CrowdStrike/SuperMem). Le mode de triage 2 ou 3 de SuperMem doit être exécuté sur le dump mémoire avant d'exécuter ce notebook. Une cellule de traitement Volatility distincte est fournie dans ce notebook, si vous décidez d'exécuter Volatility de manière interactive sur un dump mémoire pour générer la sortie requise.

Les projets Open Source suivants sont utilisés dans ce notebook

https://github.com/microsoft/msticpy

https://github.com/volatilityfoundation/volatility3

https://github.com/CrowdStrike/SuperMem

Auteur : J Marasinghe

Prérequis

• Python 3.8 ou supérieur
• Volatility3
• Les clés API suivantes sont requises pour prendre en charge les enrichissements de MSTICPY. GeoIPLite, GreyNoise et OTX

Utilisation

1. git clone https://github.com/blueteam0ps/memOptix.git
2. Mettez à jour msticpyconfig.yaml et incluez les clés API décrites dans les prérequis
3. Ouvrez memOptix-analyst.ipynb dans Jupyter et suivez les instructions du notebook
4. Si vous ne prévoyez pas d'exécuter Supermem et souhaitez générer les CSV requis pour le notebook, exécutez la cellule suivante. Si vous disposez déjà des CSV, mettez à jour le chemin comme indiqué et ignorez la génération des CSV.

Captures d'écran

Crédit image Icônes mémoire créées par Darius Dan - Flaticon