FastFinder

Uno strumento leggero per la risposta agli incidenti, progettato per la caccia alle minacce e il triage forense

✨ Panoramica

FastFinder è un potente e leggero strumento per la risposta agli incidenti, progettato per i professionisti della cybersecurity che conducono caccia alle minacce, analisi forensi in tempo reale e triage degli endpoint. Costruito per le piattaforme Windows e Linux, eccelle nella rapida scoperta di file sospetti utilizzando molteplici criteri di rilevamento.

🔍 Capacità chiave di rilevamento

• Rilevamento basato sul percorso: corrispondenza di modelli di percorso e nome file
• Verifica hash: convalida di checksum MD5, SHA1 e SHA256
• Analisi del contenuto: corrispondenza semplice di stringhe e valutazione complessa di regole YARA
• Supporto multipiattaforma: compatibilità nativa con Windows e Linux

🛡️ Testato sul campo

• ✅ Pronto per la produzione: distribuito con successo in scenari reali di risposta agli incidenti
• ✅ Convalidato dal settore: utilizzato da diversi CERT, CSIRT e team SOC
• ✅ Esempi completi: include campioni reali di malware e scenari di scansione vulnerabilità

📸 Schermate

Interfaccia utente di base

Selezione della configurazione

Risultati della scansione e corrispondenze

🚀 Installazione

Avvio rapido (consigliato)

📥 Scarica l'ultima versione

Compilazione dal sorgente

⚠️ Nota: la compilazione richiede CGO e le dipendenze YARA. Vedi le guide specifiche per piattaforma:

• 🪟 Windows: Guida alla compilazione
• 🐧 Linux: Guida alla compilazione

Installazione tramite Docker (nessuna dipendenza richiesta!)

Il modo più semplice per compilare FastFinder senza installare alcuna dipendenza:

# Compila i binari per Linux e Windows
cd docker
make build-binaries

# I binari si troveranno in ./bin/
# - fastfinder-linux-amd64
# - fastfinder-windows-amd64.exe

Contenitore Docker runtime

Esegui FastFinder all'interno di un container Docker con privilegi per scansionare volumi o filesystem montati:

# Costruisci l'immagine runtime (include FastFinder + YARA + editor)
.\docker-helper.ps1 build-runtime

# Esegui la scansione con una directory di configurazione
.\docker-helper.ps1 run-runtime -ConfigPath "C:\percorso\cartella_config" -ScanPath "C:\dati\da\scansionare"

# Modalità shell interattiva (nessuna scansione, solo accesso alla shell)
.\docker-helper.ps1 run-runtime -Interactive

Requisiti

• Runtime: nessuna dipendenza richiesta per i binari precompilati
• Compilazione: Go 1.24+, CGO, libyara
• Privilegi: si consigliano diritti di amministratore per l'accesso completo al sistema

📖 Utilizzo

Interfaccia a riga di comando

fastfinder [OPZIONI]

Opzioni disponibili

Opzione	Descrizione	Predefinito
-h, --help	Stampa le informazioni di aiuto
-c, --configuration <file config yaml>	Percorso del file di configurazione
-b, --build <eseguibile output>	Crea un binario standalone con configurazione incorporata (solo architettura x64)
-r, --root <Percorso>	Percorso radice della scansione (sovrascrive l'enumerazione delle unità)
-s, --silent	Modalità silenziosa - esegue senza finestra o console visibile
-v, --verbosity <livelloVerbosity>	Livello di dettaglio del log (1-5)	3
-t, --triage	Modalità di monitoraggio continuo	false

Livelli di dettaglio

• Livello 1: solo avvisi
• Livello 2: avvisi e warning
• Livello 3: avvisi ed errori (predefinito)
• Livello 4: avvisi, errori e operazioni I/O
• Livello 5: dettaglio completo (a scopo di debug o logging molto avanzato)

Esempi rapidi

# Scansione base con file di configurazione
./fastfinder -c config.yaml

# Modalità di monitoraggio continuo
./fastfinder -c config.yaml -t

# Crea eseguibile standalone (solo architettura x64)
./fastfinder -c config.yaml -b standalone_scanner.exe

💡 Suggerimento: FastFinder può funzionare con privilegi utente standard, ma i diritti di amministratore forniscono accesso a tutti i file di sistema.

Scansiona ed esporta le corrispondenze dei file secondo le tue esigenze

Gli esempi di configurazione sono disponibili qui. Ecco un esempio completo di configurazione vuota. Non è necessario implementare ogni attributo se non si utilizza tutto.