fox-it/dissectDissect é um framework e conjunto de ferramentas de perícia digital e resposta a incidentes que permite acessar e analisar rapidamente artefatos forenses de vários formatos de disco e arquivo, desenvolvido pela Fox-IT (parte do NCC Group).
Dissect é um framework de perícia digital e resposta a incidentes, e um conjunto de ferramentas que permite aceder e analisar rapidamente artefactos forenses de vários formatos de disco e ficheiros, desenvolvido pela Fox-IT (parte do NCC Group).
Este projeto é um meta pacote, que irá instalar todos os outros módulos do Dissect com a combinação correta de versões. Para mais informações, consulte a documentação.
O Dissect é um framework de resposta a incidentes construído a partir de vários parsers e implementações de formatos de ficheiros. Unindo tudo isto, o Dissect permite-lhe trabalhar com ferramentas chamadas target-query e target-shell para obter rapidamente acesso a artefactos forenses, como Runkeys, ficheiros Prefetch e Logs de Eventos do Windows, apenas para citar alguns!
Abordagem única
E o melhor de tudo: tudo de forma singular, independentemente do contentor subjacente (E01, VMDK, QCoW), sistema de ficheiros (NTFS, ExtFS, FFS) ou estrutura/combinação do Sistema Operativo (Windows, Linux, ESXi). Já não precisa de se preocupar em extrair ficheiros do seu contentor forense, montá-los (no caso de VMDKs e afins), recuperar a MFT e analisá-la usando uma ferramenta separada, para finalmente criar uma timeline para análise. Tudo isto é tratado internamente pelo Dissect de forma amigável.
Se olharmos para o exemplo acima, pode começar a analisar entradas MFT analisadas usando apenas um comando como target-query -f mft <PATH_TO_YOUR_IMAGE>!
Crie um contentor leve usando o Acquire
O Dissect também fornece uma ferramenta chamada acquire. Pode implementar esta ferramenta em endpoint(s) para criar um contentor leve dessas máquinas. O que também é conveniente é que pode implementar o acquire num hipervisor para criar rapidamente contentores leves de todas as máquinas virtuais (em execução) que existem lá! Tudo sem se preocupar com bloqueios de ficheiros. Esses contentores leves podem depois ser analisados usando ferramentas como target-query e target-shell, mas sinta-se à vontade para usar outras ferramentas também.
Uma configuração modular
O Dissect foi concebido com uma abordagem modular. Isto significa que cada projeto individual pode ser usado por si só (ou em combinação) para criar uma ferramenta completamente nova para o seu envolvimento ou uso futuro!
Experimente agora!
Interessado em experimentar? Pode simplesmente pip install dissect e começar a usar as ferramentas target-* imediatamente. Ou pode usar o playground interativo em https://try.dissect.tools para experimentar o Dissect no seu navegador.
Não sabe por onde começar? Consulte a página de introdução.
Quer uma visão geral detalhada? Consulte a página de visão geral.
Quer ler tudo? Consulte a documentação.
Junte-se ao nosso servidor Discord para se conectar com a comunidade e obter suporte.
O Dissect consiste atualmente nos seguintes projetos.
Estes projetos estão intimamente relacionados com o Dissect, mas não são instalados por este meta pacote.
Este projeto faz parte do framework Dissect e requer Python.
Informações sobre as versões suportadas do Python podem ser encontradas na secção Getting Started da documentação.
dissect está disponível no PyPI.
pip install dissect
Este projeto utiliza tox para construir distribuições de source e wheel. Execute o seguinte comando a partir da pasta raiz para as construir:
tox -e build
Os artefactos de construção podem ser encontrados no diretório dist/.
O tox também é utilizado para executar linting e testes unitários num ambiente autónomo. Para executar tanto o linting como os testes unitários usando a versão Python instalada por defeito, execute:
tox
Para uma explicação mais detalhada sobre como construir e testar o projeto, consulte a documentação.
O projeto Dissect encoraja qualquer contribuição para o codebase. Para que a sua contribuição se enquadre no projeto, consulte o guia de desenvolvimento.
O Dissect é lançado como open source pela Fox-IT (https://www.fox-it.com) parte do NCC Group Plc (https://www.nccgroup.com).
Desenvolvido pela Equipa Dissect ([email protected]) e disponibilizado em https://github.com/fox-it/dissect.
Termos de licença: AGPL3 (https://www.gnu.org/licenses/agpl-3.0.html). Para mais informações, consulte o ficheiro LICENSE.