memOptix

이 Jupyter 노트북은 DFIR 전문가가 Windows 메모리 덤프를 트라이지하는 것을 돕기 위해 만들어졌습니다.

참고로, 이 노트북은 CrowdStrike의 Supermem python 스크립트(https://github.com/CrowdStrike/SuperMem)에서 생성된 출력을 기반으로 만들어졌습니다. 이 노트북을 실행하기 전에 메모리 덤프를 대상으로 SuperMem 트라이지 모드 2 또는 3을 실행해야 합니다. 대화형으로 메모리 덤프에 Volatility를 실행하여 필요한 출력을 생성하려는 경우, 이 노트북에 별도의 Volatility 처리 셀이 포함되어 있습니다.

이 노트북에서 사용된 오픈소스 프로젝트는 다음과 같습니다.

https://github.com/microsoft/msticpy

https://github.com/volatilityfoundation/volatility3

https://github.com/CrowdStrike/SuperMem

작성자 : J Marasinghe

사전 요구 사항

• Python 3.8 이상
• Volatility3
• MSTICPY의 보강(enrichment)을 지원하려면 다음 API 키가 필요합니다. GeoIPLite, GreyNoise 및 OTX

사용법

1. git clone https://github.com/blueteam0ps/memOptix.git
2. msticpyconfig.yaml을 업데이트하고 사전 요구 사항에 설명된 API 키를 포함하세요.
3. Jupyter에서 memOptix-analyst.ipynb을 열고 노트북 안의 지침을 따르세요.
4. Supermem을 실행할 계획이 없고 노트북에 필요한 CSV를 생성하려면 다음 셀을 실행하세요. 이미 CSV가 있다면 안내된 대로 경로를 업데이트하고 CSV 생성은 건너뛰세요.

스크린샷

이미지 크레딧 Darius Dan - Flaticon이 제작한 메모리 아이콘