FastFinder

Uno strumento leggero per la risposta agli incidenti, progettato per la caccia alle minacce e il triage forense

✨ Panoramica

FastFinder è un potente e leggero strumento per la risposta agli incidenti, progettato per i professionisti della cybersecurity che conducono caccia alle minacce, analisi forensi in tempo reale e triage degli endpoint. Costruito per le piattaforme Windows e Linux, eccelle nella rapida scoperta di file sospetti utilizzando molteplici criteri di rilevamento.

🔍 Capacità chiave di rilevamento

• Rilevamento basato sul percorso: corrispondenza di modelli di percorso e nome file
• Verifica hash: convalida di checksum MD5, SHA1 e SHA256
• Analisi del contenuto: corrispondenza semplice di stringhe e valutazione complessa di regole YARA
• Supporto multipiattaforma: compatibilità nativa con Windows e Linux

🛡️ Testato sul campo

• ✅ Pronto per la produzione: distribuito con successo in scenari reali di risposta agli incidenti
• ✅ Convalidato dal settore: utilizzato da diversi CERT, CSIRT e team SOC
• ✅ Esempi completi: include campioni reali di malware e scenari di scansione vulnerabilità

📸 Schermate

Interfaccia utente di base

Selezione della configurazione

Risultati della scansione e corrispondenze

🚀 Installazione

Avvio rapido (consigliato)

📥 Scarica l'ultima versione

Compilazione dal sorgente

⚠️ Nota: la compilazione richiede CGO e le dipendenze YARA. Vedi le guide specifiche per piattaforma:

• 🪟 Windows: Guida alla compilazione
• 🐧 Linux: Guida alla compilazione

Installazione tramite Docker (nessuna dipendenza richiesta!)

Il modo più semplice per compilare FastFinder senza installare alcuna dipendenza:

# Compila i binari per Linux e Windows
cd docker
make build-binaries

# I binari si troveranno in ./bin/
# - fastfinder-linux-amd64
# - fastfinder-windows-amd64.exe

Contenitore Docker runtime

Esegui FastFinder all'interno di un container Docker con privilegi per scansionare volumi o filesystem montati:

# Costruisci l'immagine runtime (include FastFinder + YARA + editor)
.\docker-helper.ps1 build-runtime

# Esegui la scansione con una directory di configurazione
.\docker-helper.ps1 run-runtime -ConfigPath "C:\percorso\cartella_config" -ScanPath "C:\dati\da\scansionare"

# Modalità shell interattiva (nessuna scansione, solo accesso alla shell)
.\docker-helper.ps1 run-runtime -Interactive

Requisiti

• Runtime: nessuna dipendenza richiesta per i binari precompilati
• Compilazione: Go 1.24+, CGO, libyara
• Privilegi: si consigliano diritti di amministratore per l'accesso completo al sistema

📖 Utilizzo

Interfaccia a riga di comando

fastfinder [OPZIONI]

Opzioni disponibili

Livelli di dettaglio

• Livello 1: solo avvisi
• Livello 2: avvisi e warning
• Livello 3: avvisi ed errori (predefinito)
• Livello 4: avvisi, errori e operazioni I/O
• Livello 5: dettaglio completo (a scopo di debug o logging molto avanzato)

Esempi rapidi

# Scansione base con file di configurazione
./fastfinder -c config.yaml

# Modalità di monitoraggio continuo
./fastfinder -c config.yaml -t

# Crea eseguibile standalone (solo architettura x64)
./fastfinder -c config.yaml -b standalone_scanner.exe

💡 Suggerimento: FastFinder può funzionare con privilegi utente standard, ma i diritti di amministratore forniscono accesso a tutti i file di sistema.

Scansiona ed esporta le corrispondenze dei file secondo le tue esigenze

Gli esempi di configurazione sono disponibili qui. Ecco un esempio completo di configurazione vuota. Non è necessario implementare ogni attributo se non si utilizza tutto.

input:
    path: [] # corrispondenza percorso file E / O nome file basata su stringa semplice
    content:
        grep: [] # corrispondenza valore letterale di stringa all'interno del contenuto del file
        yara: [] # usa regole yara e specifica i percorsi delle regole per ricerche di pattern più complessi (wildcard / regex / condizioni)
        checksum: [] # analizza il contenuto del file per md5/sha1/sha256
options:
    contentMatchDependsOnPathMatch: true # se true, i percorsi sono un pre-filtro per le ricerche grep (stringhe) solo. YARA e Checksum vengono sempre valutati.
    findInHardDrives: true	# enumera il contenuto dei dischi fissi
    findInRemovableDrives: true # enumera il contenuto dei drive rimovibili
    findInNetworkDrives: true # enumera il contenuto dei drive di rete
    findInCDRomDrives: true # enumera i CD-ROM fisici e iso/vhd montati...
    findInMemory: true # verifica la presenza di risultati nella memoria dei processi
output:
    copyMatchingFiles: true # crea una copia di ogni file corrispondente
    base64Files: true # codifica in base64 il contenuto corrispondente prima della copia
    filesCopyPath: '' # un valore vuoto copierà i file corrispondenti nella cartella di fastfinder.exe
advancedparameters:
    yaraRC4Key: ''    # le regole yara possono essere (de)cifrate usando la chiave RC4 specificata
    maxScanFilesize: 2048 # ignora i file fino a maxScanFileSize MB (predefinito: 2048)
    cleanMemoryIfFileGreaterThanSize: 512 # pulisce la memoria interna di fastfinder dopo la scansione di file pesanti (predefinito: 512 MB)
eventforwarding:
  enabled: true
  buffer_size: 5
  flush_time_seconds: 10
  file: # salva l'attività dell'app in file jsonl
    enabled: true
    directory_path: "./event_logs"
    rotate_minutes: 1    # Ruota ogni minuto per test
    max_file_size_mb: 1  # Ruota a 1 MB per test
    retain_files: 5      # Mantiene 5 file vecchi
  http: # inoltra l'attività dell'app con POST HTTP di dati json
    enabled: false
    url: "https://your-forwarder-url.com/api/events"
    ssl_verify: false
    timeout_seconds: 10
    headers:
      Authorization: "Bearer YOUR_API_KEY"
      MY-CUSTOM-HEADER: "My-Header-Value"
    retry_count: 3
  filters:
    event_types:
      - "error"
      - "warning"
      - "alert" 
      - "info"

Cerca ovunque o in percorsi specificati:

• usa '?' nei percorsi per wildcard a carattere singolo (es. powershe??.exe)
• usa '\*' nei percorsi per wildcard a più caratteri (es. \*.exe)
• sono disponibili anche espressioni regolari: racchiudi i percorsi tra barre (es. /[0-9]{8}\.exe/)
• si possono usare anche variabili d'ambiente (es. %TEMP%\miofile.exe)

Risoluzione dei percorsi delle regole YARA

I percorsi relativi nella configurazione YAML vengono risolti rispetto alla posizione del file di configurazione:

input:
  content:
    yara:
      - "./example_rule_linux.yar"           # Cerca nella stessa cartella di config.yaml
      - "./subfolder/custom_rules.yar"       # Cerca in una sottocartella relativa alla configurazione
      - "/absolute/path/to/rule.yar"         # I percorsi assoluti funzionano così come sono
      - "https://example.com/rules.yar"      # Anche gli URL sono supportati

Esempio di struttura di directory:

project/
├── config.yaml
├── example_rule_linux.yar          # ✅ Trovato da "./example_rule_linux.yar"
└── rules/
    └── custom.yar                  # ✅ Trovato da "./rules/custom.yar"

Note importanti

• i percorsi di input sono sempre case INSENSITIVE
• la ricerca di stringhe nel contenuto (grep) è sempre case SENSITIVE
• le barre rovesciate DEVONO essere escaped (tranne nelle espressioni regolari)
• le regole YARA devono esistere - le regole mancanti faranno uscire FastFinder con un errore Per maggiori informazioni, dai un'occhiata agli esempi

🤝 Contribuire

Accogliamo con favore i contributi! Consulta le nostre linee guida per contribuire:

1. Forka il repository
2. Crea un branch per la funzionalità (git checkout -b feature/funzionalita-eccezionale)
3. Commit le tue modifiche (git commit -m 'Aggiungi funzionalità eccezionale')
4. Push sul branch (git push origin feature/funzionalita-eccezionale)
5. Apri una Pull Request

Impostazione di sviluppo

# Clona il repository
git clone https://github.com/codeyourweb/fastfinder.git
cd fastfinder

# Installa le dipendenze (vedi guide di compilazione)
# Compila dal sorgente
go build -tags yara_static,gio -a -ldflags '-s -w' .

# Esegui i test
go test ./...

📜 Licenza

Questo progetto è concesso in licenza con licenza AGPL - vedi il file LICENSE per i dettagli.

🚀 Supporto

• 🐛 Segnala problemi: GitHub Issues
• 💬 Discussioni: GitHub Discussions
• 📧 Sicurezza: Segnala le vulnerabilità di sicurezza privatamente

📊 Statistiche del progetto

🙏 Ringraziamenti

• Hilko Bengen (@hillu) per la sua meravigliosa implementazione di yara in Go e anche per il suo prezioso aiuto nel debug di problemi CGO
• Marc Ochsenmeier per il suo prezioso aiuto, feedback e anche per aver parlato del mio progetto
• Vitali Kremez ✝ per avermi ispirato su molti aspetti che mi hanno portato a creare fastfinder
• m0n4 (https://github.com/m0n4) per avermi regolarmente messo alla prova tecnicamente e per aver contribuito molto più di quanto potesse immaginare alla nascita di questo progetto.

Realizzato con ❤️ dalla comunità della cybersecurity
Creato da Jean-Pierre GARNIER (@codeyourweb) • 2021-2026