Awesome Incident Response 
보안 사고 대응을 위한 도구와 리소스의 엄선된 목록으로, 보안 분석가와 DFIR 팀을 돕는 것을 목표로 합니다.
디지털 포렌식 및 사고 대응(DFIR) 팀은 조직 내에서 보안 사고 대응을 관리하는 책임을 맡은 그룹으로, 사고 증거 수집, 영향 완화, 그리고 향후 사고 재발 방지를 위한 통제 구현을 포함합니다.
목차
IR 도구 모음
적대자 에뮬레이션
- APTSimulator - 도구와 출력 파일 세트를 사용하여 시스템이 마치 침해된 것처럼 보이게 만드는 Windows 배치 스크립트입니다.
- Atomic Red Team (ART) - MITRE ATT&CK 프레임워크에 매핑된 작고 이식성이 뛰어난 탐지 테스트입니다.
- AutoTTP - 자동화된 전술, 기법 및 절차. 회귀 테스트, 제품 평가, 연구자를 위한 데이터 생성을 위해 복잡한 시퀀스를 수동으로 재실행합니다.
- Caldera - Windows 엔터프라이즈 네트워크 내에서 침해 후 적대적 행동을 수행하는 자동화된 적대자 에뮬레이션 시스템입니다. Adversarial Tactics, Techniques & Common Knowledge (ATT&CK™) 프로젝트를 기반으로 한 사전 구성된 적대자 모델과 계획 시스템을 사용하여 작전 중 계획을 생성합니다.
- DumpsterFire - 반복 가능하고 시간 지연된 분산 보안 이벤트를 구축하기 위한 모듈식, 메뉴 기반, 크로스 플랫폼 도구입니다. 블루 팀 훈련 및 센서/경보 매핑을 위한 사용자 정의 이벤트 체인을 쉽게 만들 수 있습니다. 레드 팀은 작전을 지원하고 확장하기 위해 미끼 사고, 주의 분산, 유인을 만들 수 있습니다.
- Metta - 적대적 시뮬레이션을 수행하는 정보 보안 대비 도구입니다.
- Network Flight Simulator - 악성 네트워크 트래픽을 생성하고 보안 팀이 보안 통제와 네트워크 가시성을 평가할 수 있도록 돕는 경량 유틸리티입니다.
- Red Team Automation (RTA) - RTA는 블루 팀이 MITRE ATT&CK을 모델로 한 악성 트레이드크래프트에 대한 탐지 능력을 테스트할 수 있도록 설계된 스크립트 프레임워크를 제공합니다.
- RedHunt-OS - 적대자 에뮬레이션 및 위협 헌팅을 위한 가상 머신입니다.
올인원 도구
- Belkasoft Evidence Center - 이 툴킷은 하드 드라이브, 드라이브 이미지, 메모리 덤프, iOS, Blackberry 및 Android 백업, UFED, JTAG 및 칩오프 덤프를 분석하여 여러 소스에서 디지털 증거를 신속하게 추출합니다.
- CimSweep - 모든 버전의 Windows에서 원격으로 사고 대응 및 헌팅 작업을 수행할 수 있게 해주는 CIM/WMI 기반 도구 모음입니다.
- CIRTkit - CIRTKit은 단순한 도구 모음이 아니라 사고 대응 및 포렌식 조사 프로세스의 지속적인 통합을 돕는 프레임워크입니다.
- Cyber Triage - Cyber Triage는 호스트 데이터를 수집하고 분석하여 침해 여부를 판단합니다. 점수 시스템과 추천 엔진을 통해 중요한 아티팩트에 신속하게 집중할 수 있습니다. 수집 도구, 디스크 이미지 및 기타 수집기(예: KAPE)에서 데이터를 가져올 수 있습니다. 검사관의 데스크톱이나 서버 모델에서 실행할 수 있습니다. Autopsy를 만든 Sleuth Kit Labs에서 개발했습니다.
- Cynative - 인프라를 위한 심층 연구 에이전트 - 샌드박스화된 읽기 전용으로 AWS, GCP, Azure, K8s, GitHub 및 GitLab을 지원합니다.
- Dissect - Dissect는 다양한 디스크 및 파일 형식에서 포렌식 아티팩트에 신속하게 접근하고 분석할 수 있게 해주는 디지털 포렌식 및 사고 대응 프레임워크이자 도구 모음으로, Fox-IT(NCC Group의 일부)에서 개발했습니다.
- Doorman - 노드가 검색한 osquery 구성을 원격으로 관리할 수 있게 해주는 osquery 플릿 관리자입니다. osquery의 TLS 구성, 로거, 분산 읽기/쓰기 엔드포인트를 활용하여 관리자가 최소한의 오버헤드와 침입으로 장치 플릿 전반에 대한 가시성을 확보할 수 있습니다.
- Flare - 악성코드 분석, 사고 대응, 침투 테스트를 위한 완전히 사용자 정의 가능한 Windows 기반 보안 배포판입니다.
- Fleetdm - 보안 전문가를 위해 맞춤 제작된 최첨단 호스트 모니터링 플랫폼입니다. Facebook의 검증된 osquery 프로젝트를 활용하여 Fleetdm은 지속적인 업데이트, 기능 및 중요한 질문에 대한 빠른 답변을 제공합니다.
- Matano: AWS에서 페타바이트 규모의 보안 데이터를 Apache Iceberg 데이터 레이크로 수집, 저장, 분석하고 실시간 Python 탐지를 코드로 실행할 수 있게 해주는 오픈 소스 서버리스 보안 레이크 플랫폼입니다.
- MozDef - 보안 사고 처리 프로세스를 자동화하고 사고 처리자의 실시간 활동을 촉진합니다.
- MutableSecurity - 사이버 보안 솔루션의 설정, 구성 및 사용을 자동화하기 위한 CLI 프로그램입니다.
- nightHawk - ElasticSearch를 백엔드로 사용하여 비동기 포렌식 데이터 프레젠테이션을 위해 구축된 애플리케이션입니다. Redline 수집을 처리하도록 설계되었습니다.
- Open Computer Forensics Architecture - 또 다른 인기 있는 분산 오픈 소스 컴퓨터 포렌식 프레임워크입니다. 이 프레임워크는 Linux 플랫폼에서 구축되었으며 데이터 저장을 위해 postgreSQL 데이터베이스를 사용합니다.
- osquery - SQL과 유사한 쿼리 언어를 사용하여 Linux 및 macOS 인프라에 대한 질문을 쉽게 할 수 있습니다. 제공된 incident-response pack은 침해를 탐지하고 대응하는 데 도움이 됩니다.
- Redline - 메모리 및 파일 분석을 통해 악성 활동의 징후를 찾고 위협 평가 프로필을 개발할 수 있는 호스트 조사 기능을 사용자에게 제공합니다.
- SOC Multi-tool - 보안 전문가의 조사를 간소화하는 강력하고 사용자 친화적인 브라우저 확장 프로그램입니다.
- The Sleuth Kit & Autopsy - 컴퓨터의 포렌식 분석을 돕는 Unix 및 Windows 기반 도구입니다. 디지털 포렌식에 도움이 되는 다양한 도구가 함께 제공됩니다. 이러한 도구는 디스크 이미지 분석, 파일 시스템 심층 분석 및 기타 다양한 작업에 도움이 됩니다.
- TheHive - SOC, CSIRT, CERT 및 신속하게 조사하고 조치해야 하는 보안 사고를 다루는 모든 정보 보안 실무자의 삶을 더 쉽게 만들기 위해 설계된 확장 가능한 3-in-1 오픈 소스 무료 솔루션입니다.
- VanGuard - 단일 무설치 바이너리에 28개의 사전 구축된 사용 사례를 갖춘 크로스 플랫폼 사고 대응 툴킷입니다. 메모리, 디스크, 네트워크 및 클라우드 아티팩트를 수집하고 자동화된 타임라인을 생성합니다.
- Velociraptor - 엔드포인트 가시성 및 수집 도구
- X-Ways Forensics - 디스크 복제 및 이미징을 위한 포렌식 도구입니다. 삭제된 파일을 찾고 디스크를 분석하는 데 사용할 수 있습니다.
- Zentral - osquery의 강력한 엔드포인트 인벤토리 기능과 유연한 알림 및 작업 프레임워크를 결합합니다. 이를 통해 OS X 및 Linux 클라이언트의 변경 사항을 식별하고 대응할 수 있습니다.
도서
meirwah/awesome-incident-response