FastFinder

Uma ferramenta leve de resposta a incidentes para caça a ameaças e triagem forense

✨ Visão Geral

O FastFinder é uma ferramenta de resposta a incidentes poderosa e leve, projetada para profissionais de cibersegurança que realizam caça a ameaças, perícia ao vivo e triagem de endpoints. Construída para plataformas Windows e Linux, destaca-se na descoberta rápida de arquivos suspeitos usando múltiplos critérios de deteção.

🔍 Principais Capacidades de Deteção

• Deteção baseada em caminho: correspondência de padrões de caminho e nome de ficheiro
• Verificação de hash: validação de checksum MD5, SHA1 e SHA256
• Análise de conteúdo: correspondência simples de strings e avaliação complexa de regras YARA
• Suporte multiplataforma: compatibilidade nativa com Windows e Linux

🛡️ Testado em Batalha

• ✅ Pronto para produção: implantado com sucesso em cenários reais de resposta a incidentes
• ✅ Validado pela indústria: usado por vários CERTs, CSIRTs e equipas SOC
• ✅ Exemplos abrangentes: inclui amostras reais de malware e cenários de verificação de vulnerabilidades

📸 Capturas de Ecrã

Interface de Utilizador Básica

Seleção de Configuração

Resultados da Verificação e Correspondências

🚀 Instalação

Início Rápido (Recomendado)

📥 Descarregar a Última Versão

Compilar a Partir do Código Fonte

⚠️ Nota: A compilação requer dependências CGO e YARA. Consulte os guias específicos da plataforma:

• 🪟 Windows: Guia de Compilação
• 🐧 Linux: Guia de Compilação

Instalação Docker (Sem Dependências Necessárias!)

A maneira mais fácil de compilar o FastFinder sem instalar dependências:

# Compilar binários para Linux e Windows
cd docker
make build-binaries

# Os binários estarão em ./bin/
# - fastfinder-linux-amd64
# - fastfinder-windows-amd64.exe

Contentor Docker de Execução

Execute o FastFinder dentro de um contentor Docker privilegiado para verificar volumes ou sistemas de ficheiros montados:

# Compilar a imagem de execução (inclui FastFinder + YARA + editores)
.\docker-helper.ps1 build-runtime

# Executar verificação com diretório de configuração
.\docker-helper.ps1 run-runtime -ConfigPath "C:\caminho\para\pasta_config" -ScanPath "C:\dados\para\verificar"

# Modo shell interativo (sem verificação, apenas acesso à shell)
.\docker-helper.ps1 run-runtime -Interactive

Requisitos

• Execução: Sem dependências necessárias para binários pré-compilados
• Compilação: Go 1.24+, CGO, libyara
• Privilégios: Recomendados direitos de administrador para acesso total ao sistema

📖 Utilização

Interface de Linha de Comandos

fastfinder [OPÇÕES]

Opções Disponíveis

Opção	Descrição	Padrão
-h, --help	Mostrar informações de ajuda
-c, --configuration <ficheiro yaml de configuração>	Caminho do ficheiro de configuração
-b, --build <executável de saída>	Criar binário autónomo com configuração incorporada (apenas arquitetura x64)
-r, --root <Caminho>	Caminho raiz da verificação (substituir enumeração de unidades)
-s, --silent	Modo silencioso - executar sem janela ou consola visível
-v, --verbosity <nivelVerbosidade>	Nível de verbosidade dos registos (1-5)	3
-t, --triage	Modo de monitorização contínua	false

Níveis de Verbosidade

• Nível 1: Apenas alertas
• Nível 2: Alertas e avisos
• Nível 3: Alertas e erros (padrão)
• Nível 4: Alertas, erros e operações de E/S
• Nível 5: Verbosidade total (para depuração ou registo muito avançado)

Exemplos Rápidos

# Verificação básica com ficheiro de configuração
./fastfinder -c config.yaml

# Modo de monitorização contínua
./fastfinder -c config.yaml -t

# Criar executável autónomo (apenas arquitetura x64)
./fastfinder -c config.yaml -b standalone_scanner.exe

💡 Dica: O FastFinder pode ser executado com privilégios de utilizador padrão, mas direitos administrativos fornecem acesso a todos os ficheiros do sistema.

Verificar e exportar correspondências de ficheiros conforme suas necessidades

Exemplos de configuração estão disponíveis aqui. Aqui está um exemplo de configuração completa em branco. Não é necessário implementar todos os atributos se não estiver a utilizar tudo.