memOptix

यह Jupyter नोटबुक DFIR पेशेवरों को Windows मेमोरी डंप की ट्राइएजिंग में सहायता करने के लिए बनाई गई थी।

कृपया ध्यान दें कि यह नोटबुक CrowdStrike के Supermem python script (https://github.com/CrowdStrike/SuperMem) से उत्पन्न आउटपुट के आधार पर बनाई गई थी। इस नोटबुक को चलाने से पहले मेमोरी डंप पर SuperMem triage mode 2 या 3 चलाया जाना चाहिए। यदि आप आवश्यक आउटपुट उत्पन्न करने के लिए मेमोरी डंप पर Volatility को इंटरैक्टिव रूप से चलाने का निर्णय लेते हैं, तो इस नोटबुक के भाग के रूप में एक अलग Volatility प्रोसेसिंग सेल प्रदान किया गया है।

इस नोटबुक में निम्नलिखित Open Source प्रोजेक्ट्स का उपयोग किया गया है

https://github.com/microsoft/msticpy

https://github.com/volatilityfoundation/volatility3

https://github.com/CrowdStrike/SuperMem

Author : J Marasinghe

पूर्वापेक्षाएँ

• Python 3.8 या उससे ऊपर
• Volatility3
• MSTICPY को उसके enrichments के साथ समर्थन देने के लिए निम्नलिखित API कुंजियाँ आवश्यक हैं। GeoIPLite, GreyNoise और OTX

उपयोग

1. git clone https://github.com/blueteam0ps/memOptix.git
2. msticpyconfig.yaml को अपडेट करें और पूर्वापेक्षाओं में वर्णित API कुंजियाँ शामिल करें
3. Jupyter के भीतर memOptix-analyst.ipynb खोलें और नोटबुक के भीतर दिए गए निर्देशों का पालन करें
4. यदि आप Supermem चलाने की योजना नहीं बना रहे हैं और नोटबुक के लिए आवश्यक CSVs उत्पन्न करना चाहते हैं, तो कृपया निम्नलिखित सेल चलाएँ। यदि आपके पास पहले से CSVs हैं, तो निर्देशानुसार पथ अपडेट करें और CSV निर्माण को छोड़ दें।

स्क्रीनशॉट

छवि श्रेय मेमोरी आइकन Darius Dan द्वारा निर्मित - Flaticon