ディスクフォレンジック

r3nzsec/irflow-timeline

macOS向けDFIRタイムライン分析 — CSV、TSV、XLSX、EVTX、Plaso、$MFT、$JファイルをSQLiteベースのビューアで解析。AI Artifacts、AI Secret Hunt、プロセス検査、横方向移動追跡、永続化検出、VirusTotalエンリッチメントを搭載。

eua/wxhexeditor

wxHexEditor 公式 Git リポジトリ

rowingdude/analyzemft

analyzeMFT.pyは、NTFSファイルシステムからMFTファイルを完全に解析し、結果を可能な限り正確に複数の形式で表示するように設計されています。

sekoialab/fastir_collector

ライブWindowsフォレンジック取得ツール。システムアーティファクト（レジストリ、メモリ、ディスク、ファイル）をCSV/JSONに収集し、早期の侵害検出とインシデント対応を行います。

ccob/volumiser

レッドチームによるデータ持ち出し（exfiltration）を目的として、VMディスクイメージ（VHDX、VMDK、EBSスナップショット、rawディスク）からファイルを一覧表示、閲覧、抽出するためのCLIおよび対話型コンソール。

dwmetz/cyberpipe

DFIR調査のためのメモリとディスクフォレンジックを収集する使いやすいPowerShellスクリプト。

orlikoski/skadi

MacOS、Windows、Linuxのホストベースデータを使用して収集、処理、ハンティングを行う

kfallahi/underlaycopy

MFT解析と生ディスク読み取りを使用して、ロックされたWindowsファイル（SAM、SYSTEM、NTDS、...）を抽出するPowerShellツールキット

jschicht/rawcopy

コマンドライン低レベルNTFSファイル抽出ツール

gregwar/fatcat

FATファイルシステムの探索、抽出、修復、フォレンジックツール

dmtrkovalenko/ffs

F*ck file system - OSカーネルをバイパスしてディスクを直接読み取るCLIファイル検索ツール

ghassan-elsman/crow-eye

オープンソースのWindowsフォレンジックエンジン。MFT、USN、レジストリなどのアーティファクトを取得・解析・関連付けてタイムラインを再構築し、AI支援分析と法廷級の証拠封印に対応します。

jschicht/extractusnjrnl

NTFSボリュームから$UsnJrnlを抽出するツール

alex-cart/leaf

Linux 証拠収集フレームワーク

nmht3t/rawhive

Cobalt Strike BOFは、NTFSメタデータを解析し、ディスクから直接ファイルデータを読み取ることで、生のNTFSボリュームから選択したWindowsレジストリハイブを抽出します。

trustedsec/tscopy

Pythonツールで、インシデント対応時にロックされたファイルをコピーするためにNTFS $MFTを解析し、生のディスク位置を読み取ることでOSのロックを回避します。再帰的、ワイルドカード、複数ファイルのコピーをサポートし、パフォーマンス向上のためのキャッシング機能を備えています。

securityjoes/forensicminer

サイバーセキュリティ専門家向けに設計された、証拠の収集と分析を行う非常に優れたDFIR自動化ツール。