FastIR Collector

라이브 포렌식 수집 방식이 변경되어 FastIR Collector는 더 이상 유지 관리되지 않습니다. 대신 새로운 FastIR Artifacts 컬렉터를 사용하는 것을 권장합니다.

개념

이 도구는 라이브 Windows 시스템에서 다양한 아티팩트를 수집하여 결과를 csv 또는 json 파일로 기록합니다. 이러한 아티팩트 분석을 통해 초기 침해 징후를 감지할 수 있습니다.

다운로드

바이너리는 이 프로젝트의 릴리스 페이지에서 찾을 수 있습니다.

요구 사항

• pywin32
• python WMI
• python psutil
• python yaml
• construct
• distorm3
• hexdump
• pytz

또는 reqs.pip 파일에서 pip freeze 출력을 확인할 수 있습니다.

컴파일

FastIR을 컴파일하려면 pyinstaller가 필요합니다. 프로젝트 루트 디렉터리에서 pyinstaller pyinstaller.spec을 실행하기만 하면 됩니다. 바이너리는 기본적으로 /dist에 생성됩니다.

중요: x64 시스템의 경우 로컬 파이썬 설치도 x64인지 확인하세요.

실행

• ./fastIR_x64.exe -h 도움말 보기
• ./fastIR_x64.exe --packages fast 덤프 및 FileCatcher 패키지를 제외한 모든 아티팩트 추출
• ./fastIR_x64.exe --packages dump --dump mft MFT 추출
• ./fastIR_x64.exe --packages all --output_dir your_output_dir 출력 디렉터리 설정 (기본값은 ./output/)
• ./fastIR_x64.exe --profile you_file_profile 사용자 정의 프로필 사용. 프로필 생성 방법은 위키에서 확인할 수 있습니다.

패키지

패키지 목록 및 아티팩트:

• fs

  • IE/Firefox/Chrome 방문 기록
  • IE/Firefox/Chrome 다운로드 목록
  • Named Pipes
  • 프리페치(Prefetch)
  • 휴지통
  • 시작 디렉터리

• health

  • ARP 테이블
  • 드라이브 목록
  • 네트워크 드라이브
  • 네트워크 카드
  • 프로세스
  • 라우팅 테이블
  • 작업
  • 예약된 작업
  • 서비스
  • 세션
  • 네트워크 공유
  • 소켓

• registry

  • 설치 폴더
  • OpenSaveMRU
  • 최근 문서
  • 서비스
  • Shellbags
  • 자동 실행 항목
  • USB 기록
  • UserAssist
  • 네트워크 목록

• memory

  • 클립보드
  • 로드된 DLL
  • 열린 파일

• dump

  • MFT (raw 또는 타임라인) - AnalyseMFT 사용
  • MBR
  • RAM
  • 디스크
  • 레지스트리
  • SAM

• FileCatcher

  • MIME 타입 기반
  • 검색 경로 및 깊이 지정 가능
  • 검색 필터링 가능
  • Yara 규칙 지원

전체 문서는 여기에서 다운로드할 수 있습니다.

FastIR Collector와 고급 위협에 관한 게시물은 여기에서 확인할 수 있으며, 백서도 함께 제공됩니다.