k1nd0ne/volweb一元的で強化されたメモリ分析プラットフォーム
VolWebは、Volatility 3フレームワークの力を活用したデジタルフォレンジックメモリ分析プラットフォームです。 調査やインシデント対応を支援するために設計されています。
VolWebの目的は、インシデント対応担当者やデジタルフォレンジック調査者に集中管理型で視覚的かつ拡張されたWebアプリケーションを提供することで、メモリ収集とフォレンジック分析の効率を高めることです。 調査担当者がLinuxまたはWindowsシステム（Macは近日対応予定）からメモリイメージを取得すると、証拠をVolWebにアップロードできます。アップロードにより、Volatility 3フレームワークを利用した自動処理とアーティファクト抽出がトリガーされます。
ハイブリッドストレージ技術を活用することで、インシデント対応担当者は専用スクリプトを使用して、さまざまな場所からメモリイメージをVolWebプラットフォームに直接アップロードすることも可能です。これらのスクリプトはプラットフォームと連携し、コミュニティによって維持管理されています。 もう一つの目的は、インジケーターなどの技術情報をまとめ、後でOpenCTIのような最新のCTIプラットフォームにインポートできるようにすることです。これにより、調査後にインシデント対応チームとCTIチームを連携させることができます。
プロジェクトドキュメントはWikiで公開しています。 そこで、調査環境やラボにツールをデプロイする方法を学べます。
[!IMPORTANT] よくある設定ミスを避けるため、ドキュメントを読む時間を取ってください。
簡単な免責事項：VolWebはvolatility3フレームワークのCLIと併用することを意図しています。結果の一部を別の方法でレビュー・調査する手段を提供し、すべての詳細分析を代わりに行うわけではありません。
証拠はVolWebプラットフォームにアップロードされ、デフォルトでは最適なパフォーマンスのためにファイルシステム分析を使用します。しかし、クラウドストレージソリューション（AWS/MINIO）から証拠をバインドし、ケースに紐付けてクラウド上で直接分析を実行することもできます。
調査機能はVolWebの中核機能の一つです。 バックエンドのカスタムvolatility3エンジンによって抽出された利用可能なアーティファクトの概要を提供します。 利用可能な場合、プロセスツリーを可視化し、各プロセスの基本情報を取得、ダンプなどを行うことができます。 また、カテゴリ別にすべてのプラグイン結果を拡張表示することもできます。
« 防御側はリストで考える。攻撃側はグラフで考える。これが真実である限り、攻撃側が勝つ。 »
探索機能はVolWeb 3.0でWindows調査向けに提供されます（Linuxは近日対応予定）。 メモリフォレンジックの専門家が、グラフビューで疑わしいプロセスを調査できるようにします。これにより、データを別の角度から見ることができ、さらにvolatility3プラグインを相関させてより多くのコンテキストを得られます。
専門家が悪意のある活動を発見した場合、VolWebはインターフェースから直接STIX V2インジケーターを作成し、ケースに集中管理する機能を提供します。 ケースが完了したら、STIXバンドルを生成し、MISPやOpenCTIなどのCTIプラットフォームを使用してコミュニティとインジケーターを共有できます。
VolWebはYARAスキャンを統合し、メモリダンプ内のパターンやマルウェアシグネチャを検出します。手動でルールを作成したり、.yarファイルやGitHubリポジトリからインポートしたり、既存のルールをエディタに貼り付けることができます。ルールはルールセットに整理して管理を容易にし、グループスキャンも可能です。
スキャンインターフェースでは、ルールセット、個別ルール、またはカスタム組み合わせを柔軟に選択できます。結果は検索可能なグリッドで表示され、メモリオフセットと一致したコンテンツが示されます。VolWebは最新のスキャンを自動的に保持し、再実行せずに最後の結果にすばやくアクセスできます。
VolWebはREST APIを公開しており、アナリストがプラットフォームと連携できます。完全なドキュメントを入手するには、プラットフォーム上でSwaggerが利用可能です。 コミュニティによって維持されているスクリプトを提供する専用リポジトリもあります：https://github.com/forensicxlab/VolWeb-Scripts 。
VolWebはバックエンドにdjangoを使用しています。管理パネルから直接ユーザーとデータベースを管理できます。
バグを発見した場合、または機能を提案したい場合は、ディスカッションを作成して迅速に対処できるようにしてください。問題が発生した場合は、ログを提供してください。
VolWebはコントリビューションを受け付けています。ドキュメントのコントリビューションガイドラインに従って、機能を提案してください。
このツールに関する質問は、[email protected] または [email protected] までお問い合わせください。
ロードマップを確認してください
ディスカッションを確認してください
