Awesome Incident Response

セキュリティインシデント対応のためのツールとリソースの厳選リストで、セキュリティアナリストやDFIRチームを支援することを目的としています。

Digital Forensics and Incident Response（DFIR）チームは、セキュリティインシデントへの対応を管理する組織内のグループであり、インシデントの証拠収集、影響の是正、および将来のインシデント再発を防ぐための統制の導入を担当します。

Contents

• 敵対者エミュレーション
• オールインワンツール
• 書籍
• コミュニティ
• ディスクイメージ作成ツール
• 証拠収集
• インシデント管理
• ナレッジベース
• Linuxディストリビューション
• Linux証拠収集
• ログ分析ツール
• メモリ分析ツール
• メモリイメージングツール
• OSX証拠収集
• その他のリスト
• その他のツール
• プレイブック
• プロセスダンプツール
• サンドボックス/リバースエンジニアリングツール
• スキャナツール
• タイムラインツール
• ビデオ
• Windows証拠収集

IRツールコレクション

敵対者エミュレーション

• APTSimulator - 一連のツールと出力ファイルを使用して、システムが侵害されたかのように見せかけるWindowsバッチスクリプトです。
• Atomic Red Team (ART) - MITRE ATT&CKフレームワークにマッピングされた、小型で移植性の高い検出テストです。
• AutoTTP - 自動化された戦術・手法・手順（TTP）。回帰テスト、製品評価、研究者向けデータ生成のために複雑なシーケンスを手動で再実行します。
• Caldera - Windows Enterpriseネットワーク内で侵害後の敵対的挙動を実行する自動化された敵対者エミュレーションシステムです。運用中に計画システムと、Adversarial Tactics, Techniques & Common Knowledge（ATT&CK™）プロジェクトに基づく事前設定された敵対者モデルを使用して計画を生成します。
• DumpsterFire - 再現可能で時間遅延のある分散型セキュリティイベントを構築するための、モジュール式でメニュー駆動のクロスプラットフォームツールです。ブルーチームの訓練やセンサー/アラートのマッピング用にカスタムイベントチェーンを簡単に作成できます。レッドチームは、デコイインシデント、撹乱、おとりを作成して運用を支援・拡大できます。
• Metta - 敵対的シミュレーションを行うための情報セキュリティ準備ツールです。
• Network Flight Simulator - 悪意のあるネットワークトラフィックを生成して、セキュリティチームがセキュリティコントロールとネットワークの可視性を評価するのに役立つ軽量ユーティリティです。
• Red Team Automation (RTA) - RTAは、MITRE ATT&CKをモデルにした悪意のあるトレードクラフトに対するブルーチームの検出能力をテストできるように設計されたスクリプトフレームワークを提供します。
• RedHunt-OS - 敵対者エミュレーションと脅威ハンティングのための仮想マシンです。

オールインワンツール

• Belkasoft Evidence Center - ハードドライブ、ドライブイメージ、メモリダンプ、iOS、Blackberry、Androidのバックアップ、UFED、JTAG、チップオフダンプを分析することで、複数のソースからデジタル証拠をすばやく抽出するツールキットです。
• CimSweep - すべてのバージョンのWindowsに対してリモートでインシデント対応とハンティング操作を実行できるようにする、CIM/WMIベースのツールスイートです。
• CIRTkit - CIRTKitは単なるツールコレクションではなく、インシデント対応とフォレンジック調査プロセスの継続的な統合を支援するフレームワークでもあります。
• Cyber Triage - Cyber Triageはホストデータを収集・分析して、侵害されているかどうかを判断します。スコアリングシステムとレコメンデーションエンジンにより、重要なアーティファクトにすばやく焦点を当てることができます。収集ツール、ディスクイメージ、その他のコレクター（KAPEなど）からデータをインポートできます。検査担当者のデスクトップまたはサーバーモデルで実行できます。Autopsyも開発しているSleuth Kit Labsによって開発されました。
• Cynative - インフラ向けのディープリサーチエージェント。サンドボックス化され、読み取り専用で、AWS、GCP、Azure、K8s、GitHub、GitLabをカバーします。
• Dissect - Dissectは、Fox-IT（NCC Groupの一部）によって開発された、さまざまなディスクおよびファイル形式からフォレンジックアーティファクトにすばやくアクセスして分析できるデジタルフォレンジック＆インシデント対応フレームワークおよびツールセットです。
• Doorman - ノードによって取得されたosquery設定のリモート管理を可能にするosqueryフリートマネージャーです。osqueryのTLS構成、ロガー、および分散読み取り/書き込みエンドポイントを活用して、最小限のオーバーヘッドと侵入性でデバイスのフリート全体に管理者へ可視性を提供します。
• Falcon Orchestrator - ワークフロー自動化、ケース管理、セキュリティ対応機能を提供する拡張可能なWindowsベースのアプリケーションです。
• Flare - マルウェア分析、インシデント対応、ペネトレーションテストのための、完全にカスタマイズ可能なWindowsベースのセキュリティディストリビューションです。
• Fleetdm - セキュリティ専門家向けに調整された最先端のホスト監視プラットフォームです。Facebookの実戦で試されたosqueryプロジェクトを活用し、Fleetdmは継続的なアップデート、機能、そして大きな疑問への迅速な回答を提供します。
• GRR Rapid Response - リモートライブフォレンジックに焦点を当てたインシデント対応フレームワークです。対象システムにインストールされるPythonエージェント（クライアント）と、エージェントを管理および通信できるPythonサーバーインフラストラクチャで構成されています。付属のPython APIクライアントに加えて、PowerGRRは、GRRの自動化とスクリプト作成のためにWindows、Linux、macOSで動作するPowerShellのAPIクライアントライブラリを提供します。
• IRIS - IRISは、インシデント対応アナリスト向けのWebコラボレーションプラットフォームで、技術レベルで調査を共有できます。
• Kuiper - デジタルフォレンジック調査プラットフォーム
• Limacharlie - すべて連携して動作する小さなプロジェクトのコレクションで構成されるエンドポイントセキュリティプラットフォームであり、クロスプラットフォーム（Windows、OSX、Linux、Android、iOS）の低レベル環境を提供して、追加モジュールをメモリに管理およびプッシュして機能を拡張できます。

書籍

• Applied Incident Response - インシデント対応に関するSteve Ansonの著書。
• Art of Memory Forensics - Windows、Linux、Macのメモリにおけるマルウェアと脅威の検出。
• Crafting the InfoSec Playbook: Security Monitoring and Incident Response Master Plan - Jeff Bollinger、Brandon Enright、Matthew Valites著。
• Digital Forensics and Incident Response: Incident response techniques and procedures to respond to modern cyber threats - Gerard Johansen著。
• Introduction to DFIR - Scott J. Roberts著。
• Incident Response & Computer Forensics, Third Edition - インシデント対応の決定版ガイド。
• Incident Response Techniques for Ransomware Attacks - ランサムウェア攻撃に対するインシデント対応戦略を構築するための優れたガイド。Oleg Skulkin著。
• Incident Response with Threat Intelligence - 脅威インテリジェンスにも基づいたインシデント対応計画を構築するための優れた参考書。Roberto Martinez著。
• Intelligence-Driven Incident Response - Scott J. Roberts、Rebekah Brown著。
• Operator Handbook: Red Team + OSINT + Blue Team Reference - インシデントレスポンダー向けの優れた参考書。
• Practical Memory Forensics - メモリフォレンジックを実践するための決定版ガイド。Svetlana OstrovskayaとOleg Skulkin著。
• The Practice of Network Security Monitoring: Understanding Incident Detection and Response - Richard Bejtlichによるインシデント対応（IR）に関する著書。

コミュニティ

• Digital Forensics Discord Server - 法執行機関、民間部門、フォレンジックベンダーから集まった8,000人以上の現役専門家のコミュニティです。さらに、多くの学生や愛好家も参加しています！ガイドはこちら。
• Slack DFIR channel - Slack DFIRコミュニティチャンネル - 登録はこちら。

ディスクイメージ作成ツール

• AccessData FTK Imager - あらゆる種類のディスクから回復可能なデータをプレビューすることを主な目的とするフォレンジックツールです。FTK Imagerは、32bitおよび64bitシステムでライブメモリとページングファイルを取得することもできます。
• Bitscout - Vitaly KamlukによるBitscoutは、リモートデジタルフォレンジック（または任意の他のタスク）に使用するための、完全に信頼できるカスタマイズ可能なLiveCD/LiveUSBイメージを構築するのに役立ちます。システム所有者に対して透過的で監視可能であり、フォレンジック的に健全で、カスタマイズ可能かつコンパクトであることを目的としています。
• GetData Forensic Imager - 次の一般的なフォレンジックファイル形式のいずれかでフォレンジックイメージを取得、変換、または検証するWindowsベースのプログラムです。
• Guymager - Linuxでのメディア取得用の無料フォレンジックイメージャーです。
• Magnet ACQUIRE - Magnet ForensicsのACQUIREは、Windows、Linux、OS X、およびモバイルオペレーティングシステムでさまざまなタイプのディスク取得を実行できます。

証拠収集

• Acquire - Acquireは、ディスクイメージまたはライブシステムからフォレンジックアーティファクトを軽量コンテナにすばやく収集するためのツールです。これにより、Acquireはデジタルフォレンジックトリアージのプロセスを高速化するなどに優れたツールになります。可能な場合はDissectを使用して、生のディスクからその情報を収集します。
• artifactcollector - artifactcollectorプロジェクトは、システム上のフォレンジックアーティファクトを収集するソフトウェアを提供します。
• bulk_extractor - ディスクイメージ、ファイル、またはファイルのディレクトリをスキャンし、ファイルシステムやファイルシステム構造を解析せずに有用な情報を抽出するコンピュータフォレンジックツールです。ファイルシステム構造を無視するため、このプログラムは速度と徹底性の点で際立っています。
• Cold Disk Quick Response - フォレンジックイメージファイル（dd、E01、.vmdkなど）をすばやく分析し、9つのレポートを出力するための合理化されたパーサーリストです。
• CyLR - CyLRツールは、NTFSファイルシステムを備えたホストからフォレンジックアーティファクトを迅速かつ安全に収集し、ホストへの影響を最小限に抑えます。
• Forensic Artifacts - デジタルフォレンジックアーティファクトリポジトリ
• ir-rescue - インシデント対応中にホストのフォレンジックデータを包括的に収集するためのWindowsバッチスクリプトとUnix Bashスクリプトです。
• Live Response Collection - Windows、OSX、および*nixベースのオペレーティングシステムから揮発性データを収集する自動化ツールです。
• Margarita Shotgun - リモートメモリ取得を並列化するためのコマンドラインユーティリティ（Amazon EC2インスタンスの有無にかかわらず動作します）。
• SPECTR3 - ポータブルiSCSI読み取り専用アクセスを介してリモート証拠を取得、トリアージ、調査します。
• UAC - UAC（Unix-like Artifacts Collector）は、ネイティブバイナリとツールを使用してAIX、Android、ESXi、FreeBSD、Linux、macOS、NetBSD、NetScaler、OpenBSD、Solarisシステムのアーティファクトの収集を自動化する、インシデント対応用のライブレスポンス収集スクリプトです。

インシデント管理

• Catalyst - アラート処理とインシデント対応プロセスを自動化する無料のSOARシステムです。
• CyberCPR - 機密インシデントを処理しながらGDPR準拠をサポートするため、Need-to-Knowが組み込まれたコミュニティおよび商用のインシデント管理ツールです。
• Cyphon - Cyphonは、単一のプラットフォームを通じて多数の関連タスクを合理化することにより、インシデント管理の悩みを解消します。イベントを受信、処理、トリアージして、データの集約、アラートのバンドルと優先順位付け、アナリストによるインシデントの調査と文書化を可能にする、分析ワークフロー向けの包括的なソリューションを提供します。
• CORTEX XSOAR - インシデントライフサイクル全体の管理と、自動化を強化する多数の統合を備えたPaloaltoセキュリティオーケストレーション、自動化、および対応プラットフォームです。
• DFTimewolf - フォレンジック収集、処理、データエクスポートをオーケストレーションするためのフレームワークです。
• DFIRTrack - 多数の影響を受けたシステムとアーティファクトを伴う1つ以上のインシデントを、ケースとタスクを介して処理するインシデント対応追跡アプリケーションです。
• Fast Incident Response (FIR) - 俊敏性と速度を考慮して設計されたサイバーセキュリティインシデント管理プラットフォームです。サイバーセキュリティインシデントの簡単な作成、追跡、報告が可能で、CSIRT、CERT、SOCのいずれにも役立ちます。
• RTIR - Request Tracker for Incident Response（RTIR）は、コンピュータセキュリティチームを対象とした最高のオープンソースインシデント処理システムです。私たちは世界中の12以上のCERTおよびCSIRTチームと協力して、増え続けるインシデントレポートの量を処理できるように支援しています。RTIRはRequest Trackerのすべての機能を基盤としています。
• Sandia Cyber Omni Tracker (SCOT) - 柔軟性と使いやすさに重点を置いたインシデント対応のコラボレーションおよび知識獲得ツールです。私たちの目標は、ユーザーに負担をかけずにインシデント対応プロセスに価値を付加することです。
• Shuffle - アクセシビリティに焦点を当てた汎用セキュリティ自動化プラットフォームです。
• threat_note - セキュリティ研究者が自分の研究に関連する指標を登録および取得できるようにする軽量の調査ノートブックです。
• Zenduty - Zendutyは、エンドツーエンドのインシデントアラート、オンコール管理、対応オーケストレーションを提供する新しいインシデント管理プラットフォームであり、チームにインシデント管理ライフサイクルに対するより大きな制御と自動化をもたらします。

ナレッジベース* Digital Forensics Artifact Knowledge Base - デジタルフォレンジックアーティファクト知識ベース

• Windows Events Attack Samples - Windows イベント攻撃サンプル
• Windows Registry Knowledge Base - Windows レジストリ知識ベース

Linux ディストリビューション

• The Appliance for Digital Investigation and Analysis (ADIA) - VMware ベースのアプライアンスで、デジタル調査と取得に使用され、すべてパブリックドメインソフトウェアから構築されています。ADIA に含まれるツールには、Autopsy、Sleuth Kit、Digital Forensics Framework、log2timeline、Xplico、Wireshark などがあります。システムメンテナンスのほとんどは Webmin を使用します。中小規模のデジタル調査および取得用に設計されています。このアプライアンスは Linux、Windows、Mac OS で動作します。i386 (32ビット) と x86_64 (64ビット) の両方が利用可能です。
• Computer Aided Investigative Environment (CAINE) - 調査担当者の分析を支援する多数のツールが含まれており、フォレンジック証拠の収集も対象としています。
• CCF-VM - CyLR CDQR フォレンジック仮想マシン (CCF-VM): 収集したデータを解析するためのオールインワンソリューションであり、組み込みの共通検索で簡単に検索できるようにし、単一および複数のホストを同時に検索できます。
• NST - Network Security Toolkit - ネットワークセキュリティ専門家に役立つ、厳選されたオープンソースのネットワークセキュリティアプリケーションを豊富に収録した Linux ディストリビューションです。
• NullSec Linux - 140以上のフォレンジックおよび攻撃的セキュリティツールをプリインストールし、カスタム強化カーネルと統合されたインシデントレスポンスワークフローを備えた、セキュリティに特化した Linux ディストリビューションです。
• PALADIN - フォレンジック的に健全な方法でさまざまなフォレンジックタスクを実行するための改変 Linux ディストリビューションです。多数のオープンソースフォレンジックツールが同梱されています。
• Security Onion - 高度な分析ツールを備えたネットワークセキュリティ監視を目的とした特別な Linux ディストリビューションです。
• SANS Investigative Forensic Toolkit (SIFT) Workstation - 高度なインシデントレスポンス機能と侵入に対する深掘りのデジタルフォレンジック技術が、無料で入手でき頻繁に更新される最先端のオープンソースツールを使用して実現できることを示しています。

Linux 証拠収集

• FastIR Collector Linux - FastIR for Linux は、稼働中の Linux 上でさまざまなアーティファクトを収集し、結果を CSV ファイルに記録します。
• MAGNET DumpIt - Rust で書かれた Linux 向けの高速メモリ取得オープンソースツールです。Linux マシンの完全なメモリクラッシュダンプを生成します。

ログ分析ツール

• AppCompatProcessor - AppCompatProcessor は、従来のスタッキングやグレップの手法を超えて、企業全体の AppCompat / AmCache データから付加価値を抽出するように設計されています。
• APT Hunter - APT-Hunter は Windows イベントログ向けの脅威ハンティングツールです。
• Chainsaw - Chainsaw は、Windows イベントログ内の脅威をすばやく特定するための強力な「ファーストレスポンス」機能を提供します。
• Event Log Explorer - ログファイルやその他のデータをすばやく分析するために開発されたツールです。
• Event Log Observer - この GUI ツールを使用して、Microsoft Windows イベントログに記録されたイベントを表示、分析、監視します。
• Hayabusa - Hayabusa は、日本の Yamato Security グループによって作成された Windows イベントログの高速フォレンジックタイムライン生成および脅威ハンティングツールです。
• Kaspersky CyberTrace - 脅威データフィードを SIEM ソリューションと統合する脅威インテリジェンスの統合・分析ツールです。ユーザーは、既存のセキュリティ運用のワークフローにおいて、セキュリティ監視やインシデントレポート (IR) 活動に脅威インテリジェンスをすぐに活用できます。
• Log Parser Lizard - 構造化ログデータ (サーバーログ、Windows イベント、ファイルシステム、Active Directory、log4net ログ、カンマ/タブ区切りテキスト、XML または JSON ファイル) に対して SQL クエリを実行します。また、構文エディタ、データグリッド、チャート、ピボットテーブル、ダッシュボード、クエリマネージャなどの強力な UI 要素を備えた Microsoft LogParser 2.2 用 GUI も提供します。
• Lorg - 高度な HTTPD ログファイルのセキュリティ分析とフォレンジックのためのツールです。
• Logdissect - ログファイルやその他のデータを分析するための CLI ユーティリティおよび Python API です。
• NullSec LogReaper - マルチフォーマット解析、パターンマッチング、タイムライン再構築、異常検知を備えた、インシデントレスポンス向けの高速ログ分析およびフォレンジックツールです。
• LogonTracer - Windows イベントログを可視化・分析して悪意のある Windows ログオンを調査するツールです。
• Sigma - すでに広範なルールセットを含む SIEM システム向けの汎用シグネチャ形式です。
• StreamAlert - サーバーレスのリアルタイムログデータ分析フレームワークであり、カスタムデータソースを取り込み、ユーザー定義のロジックを使用してアラートをトリガーできます。
• SysmonSearch - SysmonSearch は、イベントログを集約することで Windows イベントログ分析をより効果的かつ短時間で行えるようにします。
• - Windows Event Log Analyzer は、Windows イベントログのためのスイスアーミーナイフを目指しています。

メモリ分析ツール

• AVML - Linux 向けのポータブルな揮発性メモリ取得ツールです。
• Evolve - Volatility メモリフォレンジックフレームワークの Web インターフェースです。
• inVtero.net - ネストされたハイパーバイザーサポートを備えた Windows x64 向けの高度なメモリ分析。
• LiME - Linux および Linux ベースのデバイスから揮発性メモリを取得できるローダブルカーネルモジュール (LKM) です。以前は DMD と呼ばれていました。
• MalConfScan - MalConfScan は、既知のマルウェアの構成データを抽出する Volatility プラグインです。Volatility は、インシデントレスポンスとマルウェア分析のためのオープンソースメモリフォレンジックフレームワークです。このツールは、メモリイメージ内のマルウェアを検索し、構成データをダンプします。さらに、悪意のあるコードが参照する文字列を一覧表示する機能もあります。
• Memoryze - インシデントレスポンダーがライブメモリ内の悪意のある活動を見つけるのに役立つ無料のメモリフォレンジックソフトウェアです。Memoryze はメモリイメージの取得および/または分析が可能で、ライブシステムではページングファイルも分析に含めることができます。
• Memoryze for Mac - Memoryze for Mac は、Memoryze の Mac 版です。ただし、機能は少なめです。
• [MemProcFS] (https://github.com/ufrisk/MemProcFS) - MemProcFS は、物理メモリを仮想ファイルシステム内のファイルとして表示する簡単で便利な方法です。
• Orochi - Orochi は、協調的なフォレンジックメモリダンプ分析のためのオープンソースフレームワークです。
• Rekall - 揮発性メモリ (RAM) サンプルからデジタルアーティファクトを抽出するためのオープンソースツール (およびライブラリ) です。
• Volatility - 高度なメモリフォレンジックフレームワークです。
• Volatility 3 - 揮発性メモリ抽出フレームワーク (Volatility の後継)
• VolatilityBot - 研究者向けの自動化ツールで、バイナリ抽出フェーズから試行錯誤や手作業をすべて排除するか、メモリ分析調査の初期段階で調査担当者を支援します。
• VolDiff - Volatility に基づくマルウェアのメモリフットプリント分析。
• WindowsSCOPE - 揮発性メモリの分析に使用されるメモリフォレンジックおよびリバースエンジニアリングツールで、Windows カーネル、ドライバ、DLL、仮想メモリおよび物理メモリを分析する機能を提供します。

メモリイメージングツール

• Belkasoft Live RAM Capturer - アクティブなアンチデバッグまたはアンチダンプシステムによって保護されている場合でも、コンピュータの揮発性メモリの全内容を確実に抽出する、小さな無料フォレンジックツールです。
• Linux Memory Grabber - Linux メモリをダンプし、Volatility プロファイルを作成するためのスクリプトです。
• MAGNET DumpIt - Windows (x86、x64、ARM64) 向けの高速メモリ取得ツールです。Windows マシンの完全なメモリクラッシュダンプを生成します。
• Magnet RAM Capture - 容疑者のコンピュータの物理メモリをキャプチャするように設計された無料のイメージングツールです。最近のバージョンの Windows をサポートします。
• OSForensics - 32ビットおよび64ビットシステムでライブメモリを取得するためのツールです。個々のプロセスのメモリ空間のダンプや物理メモリのダンプが可能です。

OSX 証拠収集

• Knockknock - OSX 上で自動的に実行されるように設定されている永続アイテム (スクリプト、コマンド、バイナリなど) を表示します。
• macOS Artifact Parsing Tool (mac_apt) - ライブマシン、ディスクイメージ、または個々のアーティファクトファイルで動作する、迅速な Mac トリアージのためのプラグインベースのフォレンジックフレームワークです。
• OSX Auditor - 無料の Mac OS X コンピュータフォレンジックツールです。
• OSX Collector - ライブレスポンス向けの OSX Auditor から派生したツールです。
• The ESF Playground - Apple Endpoint Security Framework (ESF) 内のイベントをリアルタイムで表示するツールです。

その他のリスト

• Awesome Event IDs - デジタルフォレンジックとインシデントレスポンスに役立つイベント ID リソースのコレクションです。
• Awesome Forensics - 厳選されたフォレンジック分析ツールとリソースのリストです。
• Didier Stevens Suite - ツールコレクション
• Eric Zimmerman Tools - SANS 研究所のインストラクターである Eric Zimmerman によって作成されたフォレンジックツールの更新リストです。
• List of various Security APIs - セキュリティで使用するための公開 JSON API の集合リストです。

その他のツール

• Cortex - Cortex を使用すると、IP アドレスやメールアドレス、URL、ドメイン名、ファイル、ハッシュなどの観測可能データを、Web インターフェースを使用して一つずつ、または一括モードで分析できます。アナリストは REST API を使用してこれらの操作を自動化することもできます。
• Crits - 分析エンジンとサイバー脅威データベースを組み合わせた Web ベースのツールです。
• Diffy - Netflix の SIRT によって開発された DFIR ツールで、インシデント発生時に調査担当者がクラウドインスタンス (現在は AWS 上の Linux インスタンス) 全体の侵害範囲を迅速に特定し、ベースラインとの差分を表示することで、後続のアクションのためにそれらのインスタンスを効率的にトリアージできます。
• domfind - 異なる TLD の下で同一のドメイン名を見つけるための Python DNS クローラーです。
• Fileintel - ファイルハッシュごとにインテリジェンスを取得します。
• HELK - 脅威ハンティングプラットフォームです。
• Hindsight - Google Chrome/Chromium のインターネット履歴フォレンジックです。
• Hostintel - ホストごとにインテリジェンスを取得します。
• IPASIS - 不審なインタラクションを調査するためのリアルタイム IP レピュテーションおよびメール検証 API です。VPN/プロキシ/Tor 検出とメールリスク評価を組み合わせた Interaction Trust Score (0-100) を単一の API 呼び出しで返します。
• imagemounter - フォレンジックディスクイメージのマウント/アンマウントを容易にするコマンドラインユーティリティおよび Python パッケージです。
• Kansa - PowerShell で書かれたモジュラー式インシデントレスポンスフレームワークです。
• MFT Browser - MFT ディレクトリツリーの再構築とレコード情報。
• Munin - VirusTotal およびその他のサービス向けのオンラインハッシュチェッカーです。
• PowerSponse - PowerSponse は、セキュリティインシデントレスポンス中に対象を絞った封じ込めと修復に焦点を当てた PowerShell モジュールです。
• PyaraScanner - マルウェア zoo や IR のための、非常にシンプルなマルチスレッドで多ルール・多ファイル対応の YARA スキャン Python スクリプトです。
• rastrea2r - Windows、Linux、OS X 上で YARA を使用してディスクとメモリをスキャンし、IOC を検出できます。
• RaQet - 特別に構築されたフォレンジックオペレーティングシステムで再起動されたリモートコンピュータ (クライアント) のディスクをトリアージできる、型にはまらないリモート取得およびトリアージツールです。

プレイブック

• AWS Incident Response Runbook Samples - 使用する各組織ごとにカスタマイズされることを意図した AWS IR Runbook サンプルです。3 つのサンプルは、「DoS または DDoS 攻撃」、「認証情報の漏えい」、「Amazon S3 バケットへの意図しないアクセス」です。
• Counteractive Playbooks - Counteractive PLaybooks コレクション。
• GuardSIght Playbook Battle Cards - サイバーインシデントレスポンスプレイブックバトルカードのコレクション。
• IRM - CERT Societe Generale によるインシデントレスポンス手法。
• PagerDuty Incident Response Documentation - PagerDuty インシデントレスポンスプロセスの一部を説明するドキュメントです。インシデントへの備えだけでなく、インシデント中およびインシデント後に行うべきことについても情報を提供します。ソースは GitHub で入手できます。
• Phantom Community Playbooks - Splunk 向けの Phantom Community Playbooks ですが、他の用途にもカスタマイズ可能です。
• ThreatHunter-Playbook - ハンティングキャンペーンのための手法と仮説の開発を支援するプレイブックです。

プロセスのダンプツール

• Microsoft ProcDump - 実行中の任意の Win32 プロセスのメモリイメージをその場でダンプします。
• PMDump - プロセスを停止せずに、プロセスのメモリ内容をファイルにダンプできるツールです。

サンドボックス化/リバースエンジニアリングツール* Any Run - あらゆる環境を使用して、ほとんどの種類の脅威を動的および静的に調査するためのインタラクティブなオンラインマルウェア解析サービス。

• CAPA - 実行可能ファイル内の機能（capabilities）を検出します。PE、ELF、.NETモジュール、またはシェルコードファイルに対して実行すると、プログラムが何を行うことができるかを推定して示します。
• CAPEv2 - マルウェア設定情報とペイロードの抽出。
• Cuckoo - オープンソースで高度に設定可能なサンドボックスツール。
• Cuckoo-modified - コミュニティによって開発された、大幅に改変されたCuckooフォーク。
• Cuckoo-modified-api - cuckoo-modifiedサンドボックスを制御するPythonライブラリ。
• Cutter - rizinを搭載した無料かつオープンソースのリバースエンジニアリングプラットフォーム。
• Ghidra - ソフトウェアリバースエンジニアリングフレームワーク。
• Hybrid-Analysis - CrowdStrikeによる無料の高性能オンラインサンドボックス。
• Intezer - Intezer AnalyzeはWindowsバイナリを詳しく分析し、既知の脅威とのマイクロコード類似性を検出して、正確かつ分かりやすい結果を提供します。
• Joe Sandbox (Community) - Joe Sandboxは、Windows、Android、Mac OS、Linux、iOS上で潜在的な悪意のあるファイルやURLを検出・分析し、不審な活動を特定します。包括的で詳細な分析レポートを提供します。
• Mastiff - さまざまなファイル形式から主要な特性を抽出するプロセスを自動化する静的解析フレームワーク。
• Metadefender Cloud - ファイルのマルチスキャン、データサニタイゼーション、脆弱性評価を提供する無料の脅威インテリジェンスプラットフォーム。
• Radare2 - リバースエンジニアリングフレームワークおよびコマンドラインツールセット。
• Reverse.IT - CrowdStrikeが提供するHybrid-Analysisツールの代替ドメイン。
• Rizin - UNIXライクなリバースエンジニアリングフレームワークおよびコマンドラインツールセット
• StringSifter - マルウェア解析における関連性に基づいて文字列をランク付けする機械学習ツール。
• Threat.Zone - 研究者向けにサンドボックス、CDR、対話型分析を含むクラウドベースの脅威分析プラットフォーム。
• Valkyrie Comodo - Valkyrieは、ファイルの実行時動作と数百の特徴を使用して分析を実行します。
• Viper - CuckooおよびYARAと連携する、Pythonベースのバイナリ分析・管理フレームワーク。

スキャナーツール

• Fenrir - シンプルなIOCスキャナー。プレーンなbashで任意のLinux/Unix/OSXシステムのIOCをスキャンできます。THORとLOKIの作成者によって作成されました。
• LOKI - yaraルールやその他の指標（IOC）を使用してエンドポイントをスキャンする無料のIRスキャナー。
• Spyre - Goで書かれたシンプルなYARAベースのIOCスキャナー

タイムラインツール

• Aurora Incident Response - インシデントの詳細なタイムラインを簡単に構築するために開発されたプラットフォーム。
• Highlighter - Fire/Mandiantから提供されている無料ツール。ログ/テキストファイルをグラフィック表示し、キーワードやフレーズに対応する領域をハイライトできます。感染のタイムライン化や侵害後の対応の把握に役立ちます。
• Morgue - Etsyによるポストモーテム管理用のPHP Webアプリ。
• Plaso - log2timelineツール用のPythonベースのバックエンドエンジン。
• Timesketch - 共同フォレンジックタイムライン分析のためのオープンソースツール。

ビデオ

• The Future of Incident Response - OWASP AppSecUSA 2015でBruce Schneierによる発表。

Windows証拠収集

• AChoir - Windows用ライブ取得ユーティリティのスクリプト作成プロセスを標準化・簡素化するフレームワーク/スクリプティングツール。
• Crowd Response - インシデントレスポンスおよびセキュリティ業務のためのシステム情報収集を支援する軽量Windowsコンソールアプリケーション。多数のモジュールと出力形式を備えています。
• Cyber Triage - Cyber Triageには無料で使用できる軽量な収集ツールがあります。レジストリハイブやイベントログなどのソースファイルを収集するだけでなく、ライブホスト上でそれらを解析して、スタートアップ項目、スケジュールされたタスクなどが参照する実行可能ファイルも収集できます。出力はJSONファイルで、Cyber Triageの無料版にインポートできます。Cyber Triageは、Autopsyも開発しているSleuth Kit Labsによって作られています。
• DFIR ORC - DFIR ORCは、MFT、レジストリハイブ、イベントログなどの重要なアーティファクトを確実に解析・収集することに特化した専用ツールのコレクションです。DFIR ORCはデータを収集しますが、分析はしません。マシンのトリアージを目的としていません。Microsoft Windowsを実行しているマシンのフォレンジック上関連するスナップショットを提供します。コードはGitHubで見つけることができます。
• FastIR Collector - 稼働中のWindowsシステム上のさまざまなアーティファクトを収集し、結果をCSVファイルに記録するツール。これらのアーティファクトの分析により、初期段階の侵害を検出できます。
• Fibratus - Windowsカーネルの調査とトレーシングのためのツール。
• Hoarder - フォレンジックやインシデントレスポンス調査のための最も価値のあるアーティファクトを収集します。
• IREC - RAMイメージ、$MFT、イベントログ、WMIスクリプト、レジストリハイブ、システム復元ポイントなどをキャプチャするオールインワンのIR証拠収集ツール。無料で、非常に高速かつ使いやすいです。
• Invoke-LiveResponse - Invoke-LiveResponseは、標的を絞った収集のためのライブレスポンスツールです。
• IOC Finder - Mandiant製の無料ツールで、ホストシステムデータを収集し、侵害指標（IOC）の存在を報告します。Windowsのみ対応。現在はメンテナンスされておらず、Windows 7 / Windows Server 2008 R2までしか完全にサポートされていません。
• IRTriage - インシデントレスポンストリアージ - フォレンジック分析のためのWindows証拠収集。
• KAPE - Eric ZimmermanによるKroll Artifact Parser and Extractor (KAPE)。最も一般的なデジタルアーティファクトを発見し、迅速に解析するトリアージツールです。時間が重要である場合に非常に優れており、徹底的です。
• LOKI - yaraルールやその他の指標（IOC）を使用してエンドポイントをスキャンする無料のIRスキャナー。
• MEERKAT - Windows向けのPowerShellベースのトリアージおよび脅威ハンティング。