memOptix

Questo notebook Jupyter è stato creato per assistere i professionisti DFIR nel triage dei dump di memoria Windows.

Si prega di notare che questo notebook è stato creato sulla base dell'output generato dallo script Python Supermem di CrowdStrike (https://github.com/CrowdStrike/SuperMem). La modalità di triage 2 o 3 di SuperMem deve essere eseguita sul dump di memoria prima di eseguire questo notebook. Una cella separata per l'elaborazione con Volatility è inclusa in questo notebook, nel caso si decida di eseguire Volatility interattivamente contro un dump di memoria per generare l'output richiesto.

I seguenti progetti open source sono utilizzati in questo notebook

https://github.com/microsoft/msticpy

https://github.com/volatilityfoundation/volatility3

https://github.com/CrowdStrike/SuperMem

Autore : J Marasinghe

Prerequisiti

• Python 3.8 o superiore
• Volatility3
• Le seguenti chiavi API sono necessarie per supportare MSTICPY con i suoi arricchimenti. GeoIPLite, GreyNoise e OTX

Utilizzo

1. git clone https://github.com/blueteam0ps/memOptix.git
2. Aggiorna msticpyconfig.yaml e includi le chiavi API descritte nei prerequisiti
3. Apri memOptix-analyst.ipynb in Jupyter e segui le istruzioni contenute nel notebook
4. Se non hai intenzione di eseguire Supermem e vuoi generare i CSV necessari per il notebook, esegui la cella seguente. Se hai già i CSV, aggiorna il percorso come indicato e salta la generazione dei CSV.

Schermate

Credito immagine Icone di memoria create da Darius Dan - Flaticon