dfirtriage

Outil d'acquisition forensique numérique pour la réponse aux incidents sous Windows.

Comment utiliser

Pour exécuter, déposez dfirtriage.exe sur la cible ou sur une clé USB connectée et exécutez avec les droits administrateur, -h pour l'aide.

---

Manuel de l'utilisateur de DFIRTriage v6.0

Description

Ce document décrit les fonctionnalités et l'utilisation correcte de l'outil DFIRtriage. Il inclut également des informations détaillées pour aider à l'analyse des résultats. L'objectif est de fournir au répondant aux incidents les outils nécessaires pour collecter et analyser rapidement les données.

À propos

DFIRtriage est un outil de réponse aux incidents conçu pour fournir rapidement des données sur l'hôte au répondant aux incidents. Lors de l'exécution, des données et informations sélectionnées sur l'hôte seront collectées et placées dans le répertoire d'exécution. DFIRtriage peut être exécuté depuis une clé USB ou à distance sur l'hôte cible.

Quoi de neuf dans la v6.0 ?

Réorganisation des résultats

• Réorganisation des fichiers et répertoires de sortie de manière plus logique

Journalisation de la durée totale d'exécution

• ajout de la durée totale d'exécution dans le fichier journal d'exécution (runlog.txt)

Corrections de bugs

• code de sortie non nul égal à 1 lorsque ntuser.dat est manquant dans un répertoire de profil utilisateur
• désormais, ne tente de récupérer les fichiers verrouillés que depuis les répertoires de profils utilisateur où un fichier ntuser.dat existe

Ajout d'arguments pour les artéfacts système individuels

• diviser l'option d'acquisition de fichiers système en artéfacts individuels réduit la taille totale du fichier lorsque vous n'en voulez qu'un et pas les trois. -sdb, --srumdb (base de données SRUM), -hf, --hiberfil (hiberfil.sys), -p, --pagefile (pagefile.sys)

Amélioration des capacités de hachage des fichiers exécutables

• Hache tous les fichiers .dll et .exe présents sur le disque du système d'exploitation. Il est recommandé de désactiver l'analyse en temps réel de l'antivirus lors de l'utilisation des arguments de hachage.

Détails des processus en cours d'exécution

• amélioration des informations sur les processus en cours d'exécution pour inclure PID, PPID, nom du processus, commande exécutée pour lancer le processus et fichiers ouverts par le processus.

Extraction de la clé BitLocker

• pour extraire les informations de clé BitLocker du disque du système d'exploitation, vous pouvez maintenant passer l'argument -bl ou --bitlocker en ligne de commande

L'acquisition de la mémoire n'est plus l'action par défaut

• pour acquérir la mémoire, vous devez passer l'argument -m ou --memory en ligne de commande

Invite utilisateur supprimée à la fin de l'exécution

• il n'est plus nécessaire d'utiliser l'argument -hl ou --headless pour contourner l'invite de fin, le script s'exécute jusqu'à la fin, nettoie et se termine sans intervention de l'utilisateur.

Pare-feu Windows

• extraction de la configuration du pare-feu Windows
• analyse par défaut des événements clés du pare-feu
• récupération du journal complet des événements du pare-feu (EVTX) avec l'argument -elf

Rapport amélioré des comptes utilisateurs

• création d'un rapport de comptes utilisateurs plus détaillé incluant les SID des comptes et la dernière heure de connexion.

dtfind - exigence d'administration supprimée

• suppression de l'exigence de permissions administrateur pour exécuter dtfind

Mise à jour des outils tiers

• l'ensemble d'outils core.ir a été mis à jour avec les versions actuelles des outils

IP externe

• Récupère l'adresse IP externe du point de terminaison

PowerShell

• Acquiert désormais l'historique des commandes PowerShell exécutées par SYSTEM
• Le fichier EVTX complet de PowerShell est maintenant récupéré avec l'argument -elf, --evtlogfiles

Informations système

• Nouvelles données système et réseau collectées dans le rapport WLAN

Journaux d'événements

• Acquiert les événements de montage de lecteurs virtuels (VHD) à partir du journal des opérations VHD
• Nouveaux événements de journal ajoutés à la collecte par défaut.
• Récupération des journaux d'événements complets de PowerShell et du pare-feu avec l'argument -elf, --evtlogfiles

Journal des événements d'application

• Événements WER pour les plantages d'applications uniquement (1001)
• Connexion d'utilisateur avec profil temporaire (1511)
• Impossible de créer un profil à l'aide d'un profil temporaire (1518)
• Événements d'erreur d'application, similaires à WER/1001. Ceux-ci incluent le chemin complet vers l'EXE/Module défaillant (1000)
• Événements de plantage/blocage d'application, similaires à WER/1001. Ceux-ci incluent le chemin complet vers l'EXE/Module défaillant (1002)

Journal des événements de sécurité

• Attaque par rejeu (4649)
• Demande de ticket TGT Kerberos (4768)
• Demande de ticket de service Kerberos (4769)
• Renouvellement de ticket de service Kerberos (4770)
• Échec de la pré-authentification Kerberos (4771)
• Poste de travail verrouillé (4800)
• Poste de travail déverrouillé (4801)
• Activation de l'économiseur d'écran (4802)
• Fermeture de l'économiseur d'écran (4803)
• Tentative de modification du mot de passe d'un compte (4723)
• Compte utilisateur désactivé (4725)
• Compte utilisateur supprimé (4726)
• Créations de groupes (4727, 4731, 4754)
• Suppressions de membres de groupe (4729, 4733, 4757)
• Modifications de groupe (4735, 4737, 4755, 4764)
• Compte utilisateur verrouillé (4740)
• Compte ordinateur créé (4741)
• Compte ordinateur modifié (4742)
• Compte ordinateur supprimé (4743)
• Historique SID (4765, 4766)
• Compte utilisateur déverrouillé (4767)
• ACL définie sur les comptes (4780)
• Heure système modifiée (4616)
• Ticket de service Kerberos refusé (4821)
• Échec d'authentification NTLM (4822, 4823)
• Échec de la pré-authentification Kerberos (4824)
• Services de certificats ont reçu une demande de certificat (4886)
• Services de certificats ont approuvé une demande de certificat (4887)
• Un modèle de services de certificats a été mis à jour (4899)
• La sécurité du modèle de services de certificats a été mise à jour (4900)
• La stratégie Kerberos a été modifiée (4713)
• Une opération a été effectuée sur un objet (4662)

Journal des événements PowerShell

• Activité d'exécution de bloc PowerShell (4103)
• Commande à distance (4104)

Journal des événements du pare-feu Windows

Modifications locales (Niveaux 0, 2, 4) (2004, 2005, 2006, 2009, 2033)

Dépendances

Le référentiel de l'outil contient l'ensemble complet des outils nécessaires à une exécution correcte et est compressé dans un seul fichier nommé core.ir. Ce fichier .ir est la seule dépendance requise de DFIRtriage lors de l'exécution en Python et doit résider dans un répertoire nommé data, (ex. ./data/core.ir). La version compilée de DFIRtriage intègre l'ensemble complet des outils et ne nécessite pas l'ajout du fichier ./data/core.ir.

Fonctionnement

DFIRtriage acquiert des données à partir de l'hôte sur lequel il est exécuté. Les exécutions derrière le clavier sont mieux réalisées à partir d'un périphérique USB. Pour les acquisitions sur des hôtes distants, les fichiers DFIRtriage devront être copiés sur la cible, puis exécutés via un shell distant (ex. SSH ou PSEXEC).

Utilisation de PSEXEC

AVERTISSEMENT : N'utilisez pas les arguments PSEXEC pour transmettre des identifiants à un système distant pour l'authentification. Cela enverrait votre nom d'utilisateur et votre mot de passe en clair sur le réseau.

Les étapes suivantes doivent être suivies pour une utilisation correcte de PSEXEC

1. Mappez un lecteur réseau et authentifiez-vous avec un compte disposant de privilèges d'administrateur local sur l'hôte cible.