ghassan-elsman/crow-eyeओपन-सोर्स विंडोज़ फोरेंसिक इंजन जो आर्टिफैक्ट्स (MFT, USN, Registry, आदि) को अधिग्रहित, पार्स और सहसंबंधित करता है, ताकि AI-सहायता प्राप्त विश्लेषण और न्यायालय-स्तरीय साक्ष्य सीलिंग के साथ टाइमलाइन का पुनर्निर्माण किया जा सके।
विंडोज़ के लिए एक फोरेंसिक टाइम मशीन।
Crow-Eye केवल पता नहीं लगाता — यह वास्तव में जो हुआ उसका पुनर्निर्माण करता है टाइमलाइन पर, अधिग्रहण से लेकर उस स्रोत रिकॉर्ड तक पता लगाने योग्य निर्णय तक।
Crow-Eye एक ओपन-सोर्स (GPL-3.0) विंडोज़ फोरेंसिक्स इंजन है जो अधिग्रहण, विश्लेषण, सत्यापन, खुफिया और AI को एकीकृत करता है। अधिकांश सुरक्षा उपकरण पूछते हैं "क्या यह खराब है?" और जो कुछ भी वैध दिखता है उसे साफ़ कर देते हैं। Crow-Eye एक अलग प्रश्न पूछता है: "क्या हुआ?" यह सभी गतिविधियों को सहसंबंधित करता है — संदिग्ध या नहीं — और सिस्टम पर घटनाओं के वास्तविक क्रम का पुनर्निर्माण करता है, ताकि किसी जांच की सच्चाई अलर्ट से अनुमान लगाने के बजाय साक्ष्य से पुनर्निर्मित हो।
पुनर्निर्माण-प्रथम डिज़ाइन ही वह चीज़ है जो APT और राष्ट्र-राज्य खतरों का शिकार करने के लिए आवश्यक है: परिष्कृत प्रतिद्वंद्वी वैध टूल्स (powershell.exe, PsExec, certutil) के अंदर और क्रियाओं के क्रम में रहते हैं — जो उन उपकरणों के लिए अदृश्य है जो सामान्य दिखने वाली किसी भी चीज़ को साफ़ कर देते हैं। क्योंकि Crow-Eye कभी कुछ साफ़ नहीं करता और निष्पादन आर्टिफैक्ट (जो लॉग छेड़छाड़ और एंटी-फोरेंसिक्स से बचे रहते हैं) पर तर्क करता है, हमला छिप नहीं सकता। वही इंजन रोज़मर्रा के DFIR कार्य और उन गैर-विशेषज्ञों के लिए भी सुलभ रहता है जो केवल यह जानना चाहते हैं कि कंप्यूटर पर क्या हुआ।
Crow-Eye का उपयोग बहुत अलग वर्कफ़्लो में किया जाता है। प्रत्येक एक अलग दरवाजे से इंजन में प्रवेश करता है:
| आप कौन हैं | आपका विशिष्ट इनपुट | कहाँ से शुरू करें |
|---|---|---|
| कॉर्पोरेट IR / MSSP / MDR | Velociraptor, KAPE, या EDR-नेटिव संग्रह से लक्षित संग्रह | ऑफ़लाइन इम्पोर्टर → सहसंबंध इंजन → UBA |
| कानून प्रवर्तन / फोरेंसिक प्रयोगशालाएँ | चेन-ऑफ-कस्टडी आवश्यकताओं के साथ पूर्ण फोरेंसिक इमेज (E01, VHDX, VMDK, Raw) | इमेज विश्लेषण → सहसंबंध इंजन → नैरेटिव मैप |
| आंतरिक सुरक्षा / इनसाइडर-खतरा और HR जांच | लाइव सिस्टम या एकत्रित आर्टिफैक्ट | लाइव विश्लेषण → UBA गतिविधि कहानी |
| छात्र, शिक्षक और शोधकर्ता | नमूना इमेज और प्रयोगशाला डेटा | Eye-Describe → त्वरित प्रारंभ |
कोई भी कलेक्टर काम करता है। Crow-Eye को अपने स्वयं के अधिग्रहण उपकरण की आवश्यकता नहीं है। ऑफ़लाइन इम्पोर्टर को Velociraptor, KAPE, एक EDR संग्रह पैकेज, या किसी अन्य कलेक्टर द्वारा उत्पादित कच्चे आर्टिफैक्ट के फ़ोल्डर पर इंगित करें — यह समर्थित आर्टिफैक्ट को अनुक्रमित करता है और उन पर ऑफ़लाइन पार्सर चलाता है। अलग से, Plaso, Autopsy, Volatility या किसी अन्य उपकरण से आउटपुट को Import Evidence के माध्यम से CSV, JSON, या SQLite के रूप में लाया जा सकता है और मूल आर्टिफैक्ट के साथ सहसंबंधित किया जा सकता है।
Crow-Eye एक एकीकृत लूप के रूप में बनाया गया है — प्रत्येक चरण अगले को फीड करता है, कच्ची डिस्क से लेकर बचाव योग्य निर्णय तक।
