🛡️ Forensicator 🛡️

Toolkit per Incident Response e Forensica Live multipiattaforma
Windows (PowerShell) | Linux (Bash) | macOS (Shell)

Progettato per indagini forensi rapide, strutturate e utilizzabili.

🤔 Informazioni

Forensicator è un toolkit multipiattaforma per incident response e forensica live.

È progettato per aiutare gli investigatori forensi e i responder agli incidenti a raccogliere, analizzare e interpretare rapidamente gli artefatti di sistema durante le indagini live.

Forensicator:

Raccoglie dati di attività di sistema e degli utenti
Rileva comportamenti anomali e indicatori sospetti
Evidenzia potenziali compromissioni o configurazioni errate
Genera report HTML strutturati e pronti per l'indagine

⚙️ Supporto Piattaforme

🖳 Windows (PowerShell)

Analisi avanzata dei log eventi
Rilevamento di attività sospette tramite Event ID noti
Motore di regole Sigma (più di 1.400 regole della community) valutato sui log eventi Security/Sysmon
Corrispondenza hash malware (es. feed abuse.ch)
Analisi della cronologia del browser con corrispondenza IOC
Crittografia opzionale degli artefatti (AES)
Detection Insight — un riepilogo del rilevamento, del motivo per cui è importante, della logica di rilevamento, di cosa cercare e della relativa mappatura MITRE
Archivio investigativo + output JSON strutturato per Forensicator Enterprise
Forensicator AI — verdetti AI opzionali per ogni rilevamento da un LLM locale (Ollama) o commerciale, mostrati nel tooltip del report

👉 https://github.com/Johnng007/Live-Forensicator/tree/main/Windows

🍎 macOS (Shell)

Motore di rilevamento che copre reverse shell, manomissioni di SIP/Gatekeeper/kext, dirottamento di PATH, esecuzione di binari eliminati, timestomping delle credenziali e altro
Motore di regole Sigma best-effort basato su regole reali della community SigmaHQ, valutato sul log unificato
Corrispondenza hash malware e IOC della cronologia del browser, con feed abuse.ch/URLhaus ad aggiornamento automatico
Controlli di integrità di FileVault, SIP, Gatekeeper, TCC e Signed System Volume
Verifica della firma del codice delle applicazioni
Crittografia opzionale degli artefatti (AES)
Archivio investigativo + output JSON strutturato per Forensicator Enterprise

👉 https://github.com/Johnng007/Live-Forensicator/tree/main/MacOS

⚠️ Nota: macOS limita la telemetria reale di creazione dei processi al suo Endpoint Security Framework, a cui un semplice script non può accedere — quindi la copertura Sigma qui è più limitata rispetto a Windows/Linux. Consulta il README macOS per i dettagli.

🐧 Linux (Bash)

Script Bash compatibili con più distribuzioni, senza dipendenze non native
Motore di rilevamento che copre reverse shell, timestomping, dirottamento di PATH, esecuzione di binari eliminati, integrità dei pacchetti e altro
Motore di regole Sigma basato su regole reali della community SigmaHQ, valutato su auditd e journald dove disponibili
Corrispondenza hash malware e URL dannosi, con feed abuse.ch/URLhaus ad aggiornamento automatico
Stato della crittografia del disco LUKS e timeline delle manomissioni dei file delle credenziali
Crittografia opzionale degli artefatti (AES)
Output JSON strutturato per Forensicator Enterprise

👉 https://github.com/Johnng007/Live-Forensicator/tree/main/Linux

⚠️ Nota: gli script Linux sono progettati per evitare utility non native (es. net-tools) per la massima compatibilità. La copertura Sigma dipende dalla presenza di auditd già configurato sulla macchina target — consulta il README Linux.

🔍 Funzionalità Principali

Raccolta multipiattaforma di artefatti forensi
Rilevamento di attività sospette e anomalie su ogni piattaforma
Analisi dei log eventi (Windows)
Integrazione di regole Sigma su tutte e tre le piattaforme — la copertura e le fonti dati variano in base al sistema operativo; consulta la sezione di ciascuna piattaforma e il relativo README
Corrispondenza hash malware e IOC, con feed di threat intelligence ad aggiornamento automatico
Report HTML strutturati (con dashboard)
Crittografia opzionale degli artefatti (Windows, Linux e macOS)
Detection Insight con mappatura MITRE
Forensicator AI — verdetti AI opzionali per ogni rilevamento da un LLM locale (Ollama) o commerciale (ora su Windows; altre piattaforme in programma)

📊 Output

Forensicator genera:

Report HTML pulito e strutturato
Risultati indicizzati per una facile navigazione
Artefatti estratti salvati localmente
Detection Insight per ogni rilevamento
Statistiche sull'attività sospetta con regole Sigma

Questo consente una transizione rapida da raccolta dati → indagine → processo decisionale.

⚠️ Note Importanti

Esegui gli script con permessi elevati/di privilegio per ottenere i migliori risultati
L'attività potrebbe attivare alert IDS/IPS — è un comportamento previsto
La threat intelligence esterna (hash, IOC) potrebbe essere aggiornata durante l'esecuzione
La configurazione può essere personalizzata tramite config.json

🔐 Integrità e Crittografia degli Artefatti

Forensicator supporta la crittografia opzionale degli artefatti raccolti tramite AES.

Ciò è utile quando:

Le prove devono essere trasportate in modo sicuro
Esistono preoccupazioni relative alla catena di custodia
Deve essere preservata l'integrità legale degli artefatti

⚠️ Disponibile su Windows, Linux e macOS ⚠️ Non compatibile con versioni precedenti alla v4.1.1

🤖 Forensicator AI

Disattivato di default. Quando abilitato, ogni rilevamento viene inviato a un LLM locale o commerciale mentre viene raccolto e riceve un verdetto reale in linguaggio semplice mostrato direttamente nel tooltip del report.

Configurazione rapida (LLM locale tramite Ollama), attualmente su Windows:

# 1. Installa Ollama (https://ollama.com) e scarica un modello
ollama pull mistral:7b-instruct

// 2. Abilitalo in config.json
"ai": {
  "enabled": true,
  "provider": "ollama",
  "base_url": "http://localhost:11434",
  "model": "mistral:7b-instruct"
}

Preferisci invece un'API commerciale (OpenAI, Anthropic, Azure OpenAI o qualsiasi endpoint compatibile con OpenAI)? Imposta provider di conseguenza e aggiungi la tua api_key.

📘 Guida completa alla configurazione (tutti i provider, ottimizzazione, risoluzione dei problemi): opendocs.forensicator.io

🧠 Capacità di Rilevamento

Forensicator identifica attività sospette tramite:

Analisi dei log eventi
Rilevamenti basati su Sigma
Corrispondenza di hash dannosi
Analisi URL basata su IOC (cronologia del browser)

📸 Screenshot

Output del Terminale

Dashboard HTML

Output del Terminale con Forensicator AI

Analisi AI

✨ Changelog

Changelog completo: 👉 https://opendocs.forensicator.io/changelog/

Windows: v4.2.0 (Agosto 2026)
- NUOVO: Forensicator AI — verdetti AI opzionali per ogni rilevamento da un LLM locale (Ollama) o commerciale (OpenAI, Anthropic, Azure OpenAI o qualsiasi endpoint compatibile con OpenAI), mostrati direttamente nel tooltip del report. Disattivato di default.
- NUOVO: Riepilogo dell'Indagine — un riepilogo complessivo dei rilevamenti con punteggio di rischio complessivo, timeline ricostruita, catena di attacco, correlazione delle prove e passi successivi raccomandati, calcolato da ogni rilevamento dell'esecuzione.
- CORREZIONE: il punteggio di rischio complessivo del Riepilogo dell'Indagine non è più gonfiato da rilevamenti di routine, sempre presenti (servizi, attività pianificate, cronologia del browser, processi in esecuzione, accessi RDP e simili) che non indicano alcuna compromissione reale — un host pulito con zero rilevamenti ora viene correttamente classificato come Basso invece che Alto/Critico.
- CORREZIONE: Miglioramenti e correzioni di bug.

Windows: v4.1.7 (Luglio 2026)
- NUOVO: Aggiunto supporto per PowerShell v5.
- NUOVO: Modulo di rilevamento Active Directory (solo Domain Controller) — integrità del database NTDS, analisi degli script SYSVOL/GPO, appartenenza a gruppi privilegiati, età dell'account KRBTGT, esposizione SPN/Kerberoasting, delega Kerberos, enumerazione dei diritti DCSync, raccolta di eventi privilegiati/Kerberos specifici del DC e rilevamento di sottoscrizioni permanenti a eventi WMI.
- NUOVO: Modulo di rilevamento Microsoft SQL Server — opzioni di configurazione pericolose (xp_cmdshell, OLE Automation Procedures, CLR), revisione degli account sysadmin/sa, server collegati, database TRUSTWORTHY, controlli di persistenza dei processi SQL Agent e raccolta degli eventi di errore di accesso.
- NUOVO: Modulo di rilevamento Microsoft SharePoint Server — scansione webshell/file caricati, processi figlio sospetti del processo worker IIS (w3wp.exe), revisione della configurazione errata di ViewState/machineKey in web.config e corrispondenza di URI di exploit noti nei log IIS.
- CORREZIONE: motore di regole Sigma che restituiva zero rilevamenti su PowerShell 5.1 a causa di una differenza nello scioglimento degli array di ConvertFrom-Json tra PS5.1 e PS7.
- CORREZIONE: rendering del report HTML non funzionante su PowerShell 5.1 causato da una codifica Out-File incoerente (UTF-16 vs UTF-8) tra le versioni di PowerShell.
- CORREZIONE: gestione degli errori più chiara quando manage-bde.exe non è disponibile durante l'estrazione delle chiavi BitLocker.
- CORREZIONE: Miglioramenti e correzioni di bug.

🤝 Contributi

I contributi sono benvenuti.

Apri un issue per discutere modifiche importanti
Invia pull request con descrizioni chiare
Concentrati su accuratezza, chiarezza e usabilità

📄 Licenza

Live-Forensicator è un software open-source concesso in licenza secondo la Apache License 2.0.

Sei libero di usare, riprodurre, modificare e distribuire Live-Forensicator in conformità con i termini della Apache License 2.0.

Consulta il file LICENSE per il testo completo della licenza.

Componenti di Terze Parti

Live-Forensicator può includere o interagire con strumenti, librerie, script o componenti di terze parti distribuiti con le proprie licenze. Tali licenze rimangono applicabili ai rispettivi componenti.

Gli utenti sono responsabili del rispetto delle licenze e dei termini applicabili di qualsiasi componente di terze parti che utilizzano con Live-Forensicator.

☕ Documentazione

OpenDocs

Live-Forensicator v4.2.0

Categorie