memOptix

このJupyterノートブックは、DFIRプロフェッショナルがWindowsメモリダンプのトリアージを行う際に役立つように作成されました。

このノートブックは、CrowdStrikeのSupermem Pythonスクリプト（https://github.com/CrowdStrike/SuperMem）から生成された出力に基づいて作成されていることに注意してください。このノートブックを実行する前に、メモリダンプに対してSuperMemトリアージモード2または3を実行する必要があります。必要な出力を生成するために、メモリダンプに対してVolatilityを対話的に実行する場合は、このノートブックの一部として別のVolatility処理セルが提供されています。

このノートブックでは、以下のオープンソースプロジェクトを使用しています。

https://github.com/microsoft/msticpy

https://github.com/volatilityfoundation/volatility3

https://github.com/CrowdStrike/SuperMem

著者 : J Marasinghe

前提条件

• Python 3.8 以上
• Volatility3
• MSTICPYのエンリッチメントをサポートするために、以下のAPIキーが必要です。 GeoIPLite、GreyNoise、OTX

使用方法

1. git clone https://github.com/blueteam0ps/memOptix.git
2. msticpyconfig.yaml を更新し、前提条件で説明されているAPIキーを含めてください。
3. Jupyter内で memOptix-analyst.ipynb を開き、ノートブック内の指示に従ってください。
4. Supermemを実行する予定がなく、ノートブックに必要なCSVを生成したい場合は、次のセルを実行してください。すでにCSVがある場合は、指示に従ってパスを更新し、CSVの生成をスキップしてください。

スクリーンショット

画像クレジット Darius Dan によって作成されたメモリーアイコン - Flaticon