bitranox/fingerprintMonitoraggio delle modifiche al registro e ai file in Windows
Monitoraggio delle modifiche al Registro e ai File in Windows - analisi forense per registro e file di Windows
"fingerprint" registra lo stato di un sistema Windows in termini di file e registro. Tali impronte possono essere confrontate per trovare tutti i dati modificati. I dati possono essere ristretti utilizzando i file di log di procmon, per vedere quale processo ha causato le modifiche. I file di log di Procmon possono essere filtrati per mostrare solo gli eventi relativi a file o voci di registro modificati. Ciò rende molto più semplice trovare la causa delle modifiche al sistema.
Tutte le impronte sono memorizzate in formato CSV, compatibile con Excel, per un comodo filtraggio, ordinamento, ecc. È possibile utilizzare anche strumenti di terze parti come "Meld", "FC", "diff" per confrontare le impronte.
È possibile utilizzare fingerprint in file batch per filtrare automaticamente gli eventi di interesse - è adatto ai batch.
I sorgenti sono inclusi, ma potresti semplicemente utilizzare il file fp.exe creato con pyinstaller da Releases <https://github.com/bitranox/fingerprint/releases>_
Monitorare honeypot, monitorare le modifiche al sistema, trovare voci di registro o file "nascosti", come la scadenza delle versioni demo, analizzare le attività dei virus, analizzare se la tua privacy è stata compromessa. Sarai in grado di trovare qualsiasi programma spia, worm, o intrusione nel tuo sistema, a meno che il programma NON risieda solo in memoria e non alteri nulla - ma è molto improbabile.
consulta la Wiki <https://github.com/bitranox/fingerprint/wiki>_
nessuna installazione richiesta, usa semplicemente il file fp.exe da Releases <https://github.com/bitranox/fingerprint/releases>_
I seguenti pacchetti verranno installati / saranno necessari (quando si utilizzano i file .py):
click
python-registry
pyinstaller (se si desidera creare i propri file .exe)
Ispirato da Regshot, InstallWatch Pro, SpyMe Tools, RegDiff, WhatChanged, RegFromApp, Uninstaller Pro e altri
Mi farebbe piacere se facessi un fork e inviassi una pull request per questo progetto. Per favore contribuisci.
Questo software è concesso in licenza sotto la licenza MIT <http://en.wikipedia.org/wiki/MIT_License>_
Vedi il file di licenza <https://github.com/bitranox/fingerprint/blob/master/LICENSE>_
Facciamo un esempio pratico. Supponiamo di avere un software con "Periodo di prova" e che il software smetta di funzionare dopo il periodo di prova.
Dopo aver disinstallato e reinstallato il software, mostra ancora "Periodo di prova terminato" - quindi questo software non si disinstalla completamente, lasciando alcuni file o voci di registro.
Tutti i programmi vengono avviati dalla riga di comando. Usa fp.exe [comando] --help per visualizzare la guida con tutti i parametri della riga di comando.
PASSO 1: creare un'impronta dell'unità c:\ su un sistema pulito: fp.exe files --fp_dir=c:\ --f_output=c:\fp\fp1.csv fp.exe reg --f_output=c:\fp\reg1.csv
PASSO 2: creare un'impronta dopo aver installato, eseguito e disinstallato il software: fp.exe files --fp_dir=c:\ --f_output=c:\fp\fp2.csv fp.exe reg --f_output=c:\fp\reg2.csv
PASSO 3: creare i file di differenza. In questi file vengono memorizzate tutte le modifiche tra lo stato pulito e quello disinstallato: fp.exe files_diff --fp1=c:\fp\fp1.csv --fp2=c:\fp\fp2.csv --f_output=c:\fp\fp1-fp2.csv fp.exe reg_diff --reg1=c:\fp\reg1.csv --reg2=c:\fp\reg2.csv --f_output=c:\fp\reg1-reg2.csv
PASSO 4: reinstallare il software utilizzare procmon per registrare tutta l'attività di sistema e salvare il log come file CSV "c:\fp\reinstall_procmon.csv"
Il filtraggio dei file di log di Procmon sarà spiegato presto, poiché è attualmente in fase di refactoring. Se non hai pazienza, puoi utilizzare la vecchia versione 1.6 (dalle release).
Potresti registrare parecchio rumore - al momento non c'è un filtro per rimuoverlo. D'altro canto - mi nasconderei proprio nel rumore, quindi l'ho lasciato.
I file di log di Procmon possono diventare piuttosto grandi - potresti impostare alcuni filtri appropriati (per i processi o i programmi che stai esaminando).
