visma-prodsec/columboML-सहायता प्राप्त फोरेंसिक विश्लेषण उपकरण जो विंडोज पर मेमोरी, डिस्क और लाइव सिस्टम ट्राइएज को स्वचालित करता है, Volatility 3, autorunsc और sigcheck का उपयोग करके प्रतिद्वंद्वी व्यवहार और समझौता किए गए आर्टिफैक्ट्स का पता लगाने के लिए।
कोलंबो एक कंप्यूटर फोरेंसिक विश्लेषण उपकरण है जिसका उपयोग समझौता किए गए डेटासेट में विशिष्ट पैटर्न को सरल बनाने और पहचानने के लिए किया जाता है। यह डेटा को छोटे-छोटे वर्गों में तोड़ता है और पैटर्न पहचान और मशीन लर्निंग मॉडल का उपयोग करके प्रतिद्वंद्वी व्यवहार और समझौता किए गए विंडोज प्लेटफार्मों में उनके संभावित स्थानों को सुझावों के रूप में पहचानता है। वर्तमान में कोलंबो विंडोज प्लेटफॉर्म पर काम करता है।
कोलंबो डेटा निकालने के लिए volatility 3, autorunsc.exe और sigcheck.exe पर निर्भर करता है। इसलिए उपयोगकर्ताओं को इन निर्भर टूल्स को डाउनलोड करना होगा और उन्हें \Columbo\bin फ़ोल्डर के अंतर्गत रखना होगा। कृपया सुनिश्चित करें कि आप कुछ भी डाउनलोड करने से पहले लाइसेंस अनुभाग (या License.txt फ़ाइल) पढ़ और समझ लें। इन टूल्स द्वारा उत्पन्न आउटपुट (डेटा) स्वचालित रूप से Columbo के मुख्य इंजन को भेजा जाता है। यह इसे छोटे-छोटे वर्गों में तोड़ता है, पूर्व-संसाधित करता है और समझौता किए गए सिस्टम, निष्पादन योग्य फ़ाइलों और अन्य व्यवहारों के स्थान को वर्गीकृत करने के लिए मशीन लर्निंग मॉडल लागू करता है।
वीडियो
स्थापना और विन्यास
निष्पादन योग्य - बाइनरी
नोट: त्रुटियों से बचने के लिए, निर्देशिका संरचना इस प्रकार होनी चाहिए: \Columbo\bin\volatility3-master , \Columbo\bin\autorunsc.exe और \Columbo\bin\sigcheck.exe
अंत में, \Columbo के अंतर्गत "main.exe" पर डबल क्लिक करें।
स्रोत कोड
नोट: त्रुटियों से बचने के लिए, निर्देशिका संरचना इस प्रकार होनी चाहिए: \Columbo\bin\volatility3-master , \Columbo\bin\autorunsc.exe और \Columbo\bin\sigcheck.exe
अंत में, cmd पर जाएं और python.exe \Columbo\main.py जारी करें।
कोलंबो डेटा को व्यवस्थित करने के लिए डेटा प्रीप्रोसेसिंग और संदिग्ध व्यवहारों की पहचान करने के लिए मशीन लर्निंग मॉडल का उपयोग करता है। इसके आउटपुट या तो 1 (संदिग्ध) या 0 (वास्तविक) होते हैं - विशुद्ध रूप से डिजिटल फोरेंसिक परीक्षकों को उनके निर्णय लेने में सहायता करने के लिए सुझावों के रूप में। हमने सटीकता को अधिकतम करने के लिए विभिन्न उदाहरणों के साथ मॉडलों को प्रशिक्षित किया है और झूठी सकारात्मकता को कम करने के लिए विभिन्न दृष्टिकोणों का उपयोग किया है। हालाँकि, झूठी सकारात्मकता (गलत पहचान) अभी भी अनुभव की जाती है और इसलिए हम समय-समय पर मॉडलों को अपडेट करने के लिए प्रतिबद्ध हैं।
झूठी सकारात्मकता (गलत पहचान) को कम करना आसान नहीं है, खासकर जब हम मशीन लर्निंग से निपटते हैं। मशीन लर्निंग मॉडल द्वारा उत्पन्न आउटपुट मॉडल को प्रशिक्षित करने के लिए उपयोग किए गए डेटा की गुणवत्ता के आधार पर गलत सकारात्मक हो सकता है। हालाँकि, फोरेंसिक परीक्षकों को उनकी जांच में सहायता करने के लिए, Columbo प्रत्येक 1 (संदिग्ध) और 0 (वास्तविक) के लिए प्रतिशत स्कोर उत्पन्न करता है। ऐसा दृष्टिकोण परीक्षकों को उस पथ, कमांड या प्रक्रिया को चुनने और चुनने में मदद करता है जिसे Columbo संदिग्ध के रूप में वर्गीकृत करता है।
विकल्प 2
लाइव विश्लेषण - फ़ाइलें और प्रक्रिया ट्रेसेबिलिटी। यह विकल्प किसी भी दुर्भावनापूर्ण गतिविधि की पहचान करने के लिए चल रही विंडोज प्रक्रियाओं का विश्लेषण करता है। Columbo मशीन से डेटा निकालने के लिए autorunsc.exe का उपयोग करता है, आउटपुट को मशीन लर्निंग मॉडल और पैटर्न पहचान इंजनों में भेजा जाता है ताकि संदिग्ध गतिविधियों को वर्गीकृत किया जा सके। बाद में आउटपुट आगे के विश्लेषण के लिए एक्सेल फ़ाइलों के रूप में \Columbo\ML\Step-2-results के अंतर्गत सहेजे जाते हैं। इसके अलावा, उपयोगकर्ताओं को चल रही प्रक्रियाओं की जांच करने के विकल्प दिए जाते हैं। परिणाम में प्रक्रिया ट्रेसेबिलिटी, प्रत्येक प्रक्रिया से जुड़े कमांड - यदि लागू हो - और क्या प्रक्रियाएं नई प्रक्रियाओं को निष्पादित करने के लिए जिम्मेदार हैं, जैसी जानकारी शामिल होती है।
विकल्प 3
हार्ड डिस्क इमेज फ़ाइल (.vhdx) को स्कैन और विश्लेषण करें: यह विकल्प विंडोज की माउंटेड हार्ड डिस्क इमेज के पथ लेता है। यह फ़ाइल सिस्टम से डेटा निकालने के लिए sigcheck.exe का उपयोग करता है। फिर परिणामों को संदिग्ध गतिविधियों को वर्गीकृत करने के लिए मशीन लर्निंग मॉडल में भेजा जाता है। इसके अलावा आउटपुट आगे के विश्लेषण के लिए एक्सेल फ़ाइलों के रूप में \Columbo\ML\Step-3-results के अंतर्गत सहेजे जाते हैं।
विकल्प 4
स्वचालित या मैन्युअल मेमोरी इमेज विश्लेषण
मैन्युअल मेमोरी इमेज विश्लेषण
मेमोरी फोरेंसिक। इस विकल्प में, Columbo मेमोरी इमेज का पथ लेता है और उपयोगकर्ताओं के चयन के लिए निम्नलिखित विकल्प तैयार किए जाते हैं।
मेमोरी जानकारी: इमेज के बारे में जानकारी निकालने के लिए Volatility 3 का उपयोग किया जाता है।
प्रक्रिया स्कैन: प्रत्येक प्रक्रिया की प्रक्रिया, dll और हैंडल जानकारी निकालने के लिए Volatility 3 का उपयोग किया जाता है। फिर, Columbo प्रत्येक प्रक्रिया को उनकी मूल प्रक्रियाओं के अनुसार समूहित करने के लिए समूहीकरण और क्लस्टरिंग तंत्र का उपयोग करता है। इस विकल्प का उपयोग बाद में विसंगति का पता लगाने के विकल्प के अंतर्गत प्रक्रिया ट्रेसेबिलिटी द्वारा किया जाता है।
प्रक्रिया ट्री: प्रक्रियाओं का प्रक्रिया ट्री निकालने के लिए Volatility 3 का उपयोग किया जाता है।
विसंगति का पता लगाना और प्रक्रिया ट्रेसेबिलिटी: विसंगति का पता लगाने वाली प्रक्रियाओं की सूची निकालने के लिए Volatility 3 का उपयोग किया जाता है। हालाँकि, Columbo प्रत्येक प्रक्रिया की अलग-अलग जांच करने के लिए प्रक्रिया ट्रेसेबिलिटी नामक एक विकल्प देता है और सामूहिक रूप से निम्नलिखित जानकारी उत्पन्न करता है।
स्वचालित मेमोरी इमेज विश्लेषण
उपरोक्त सभी लेकिन एक स्वचालित तरीके से।
MIT लाइसेंस
Columbo
कॉपीराइट 2020 Visma
इसके द्वारा, बिना किसी शुल्क के, किसी भी व्यक्ति को जो इस सॉफ्टवेयर और संबंधित दस्तावेज़ फ़ाइलों ("सॉफ्टवेयर") की एक प्रति प्राप्त करता है, सॉफ्टवेयर में बिना किसी प्रतिबंध के व्यवहार करने की अनुमति दी जाती है, जिसमें बिना किसी सीमा के, सॉफ्टवेयर की प्रतियों का उपयोग, प्रतिलिपि, संशोधन, विलय, प्रकाशन, वितरण, उप-लाइसेंस और/या बेचने का अधिकार शामिल है, और उन व्यक्तियों को जिन्हें सॉफ्टवेयर प्रदान किया जाता है, ऐसा करने की अनुमति दी जाती है, निम्नलिखित शर्तों के अधीन:
उपरोक्त कॉपीराइट सूचना और यह अनुमति सूचना सॉफ्टवेयर की सभी प्रतियों या महत्वपूर्ण भागों में शामिल की जाएगी।
सॉफ्टवेयर "जैसा है" प्रदान किया जाता है, बिना किसी प्रकार की वारंटी के, व्यक्त या निहित, जिसमें बिना सीमा के व्यापारिकता, किसी विशेष उद्देश्य के लिए उपयुक्तता और उल्लंघन न करने की वारंटी शामिल है। किसी भी स्थिति में लेखक या कॉपीराइट धारक किसी भी दावे, क्षति या अन्य देयता के लिए उत्तरदायी नहीं होंगे, चाहे वह अनुबंध के कार्य, अपकृत्य या अन्यथा से उत्पन्न हो, सॉफ्टवेयर के उपयोग या अन्य व्यवहार के संबंध में।
तृतीय-पक्ष उपकरण
