DFIR-Companion

Servidor complementar de forense DFIR + extensão de captura

Laboratório prático: https://killercoda.com/dfir-companion/scenario/killercoda

Manual do usuário: https://hasamba.github.io/DFIR-Companion/manual/

Índice

• Início rápido
• Docker / Docker Compose
• Windows (Chocolatey)
• Linux (AppImage)
• Capturas de tela
• O que ele produz
• Recursos
• Usando seus servidores MCP
• Estrutura do repositório
• Como as peças se encaixam
• Variáveis de ambiente (companion/.env)
• Scripts npm — referência completa da CLI
• Fluxos de trabalho recomendados
• Roteiro
• Testes
• Aviso legal
• Licença

Capturas de tela

Caso de demonstração: GlobalTech Industries — BEC e Precursor de Ransomware, Maio de 2026.

Um caso totalmente pré-preenchido que você pode explorar sem importar nenhuma evidência real — achados, IOCs, técnicas MITRE, tags/comentários de analistas, dados de exposição do cliente e metadados de relatório estão todos pré-carregados para que cada painel do dashboard tenha algo a mostrar.

Carregue-o com um clique — clique no botão Demo case na barra de ferramentas do dashboard. Funciona também com o EXE portátil do Windows (sem necessidade de Node ou npm). O botão confirma antes de sobrescrever se o caso já existir.

Ou faça o seed pela CLI (dev / Docker):

root@kitploit:~

cd companion && npm run seed-demo              # cria o id de caso "demo"
npm run seed-demo -- --force                  # sobrescreve um caso de demonstração existente
npm run seed-demo -- --case-id globaltech     # usa um id personalizado

Depois abra http://127.0.0.1:4773/dashboard e conecte-se ao caso.

Resumo Executivo, Narrativa e Caminho do Ataque

Resumo do caso gerado por IA, narrativa minuto a minuto e relato do caminho do atacante — do acesso inicial à implantação do ransomware.

Linha do Tempo Forense

Eventos analisados com filtros de severidade, tags de triagem, links de detalhe por linha e rastreamento de alterações de importação (banner de novos eventos com diff expansível).

Super-Linha do Tempo

Todos os eventos já importados, antes da filtragem por escopo/severidade — filtre, marque, favorite e promova linhas para a linha do tempo forense analisada; nada é removido, esta é uma visão superconjunto.

Swimlane da Linha do Tempo

Gráfico visual de eventos por ativo (eixo Y) e tempo (eixo X), colorido por severidade — arraste o eixo de tempo para filtrar a linha do tempo forense para um intervalo.

Achados

Achados gerados por IA com pontuações de confiança, tags de triagem de analistas e links de técnicas MITRE ATT&CK; rastreia o que mudou desde a execução de síntese anterior.

Kill Chain

Eventos agrupados por tática MITRE ATT&CK — uma categorização, não um estágio confirmado de kill-chain, derivada deterministicamente sem IA.

Perguntas Investigativas-Chave

Perguntas padrão de DFIR respondidas automaticamente a partir do caso sintetizado (respondidas / parciais / desconhecidas), cada uma com um ponteiro de evidência ou uma diretiva "colete isto a seguir".

Playbook

Checklist de remediação acionável derivado automaticamente dos achados e próximos passos recomendados; ressincronizado a cada execução de síntese enquanto preserva o status do analista, responsável e prazos.

Ranking de Hosts e Contas

Quais hosts/contas carregam o ataque, pontuados por sinal (eventos ponderados por severidade + técnicas + IOCs conectivos) em vez de volume, com uma janela de escopo sugerida.

Grafo da Cadeia de Evidências

Árvores de processos, movimento lateral e linhagem de arquivos costurados em um grafo causal de ataque. Derivado deterministicamente de campos populados pelo importador — sem IA, sem custo, roda offline.

Grafo de Logon

Quem fez logon onde — contas e hosts vinculados a partir de eventos de logon da super-linha do tempo, distinguindo logons bem-sucedidos, falhos e de risco (RDP/runas/netonly).

Candidatos a Beacon

Canais de saída periódicos regulares demais para serem tráfego humano — uma pista de caça, não um veredicto, com intervalo, jitter e contagem de eventos por candidato.

IOCs com Enriquecimentos de Threat-Intel

Indicadores (IPs · domínios · hashes · arquivos · processos · contas) enriquecidos com VirusTotal, AbuseIPDB, ThreatFox e outros provedores — badges de veredicto, pontuações de detecção, destaques de importação NEW e rótulos de triagem de analistas.

Ativos Comprometidos e Grafo de IOC

Grafo interativo vinculando hosts e contas vítimas aos indicadores que tocaram cada um, mais uma lista de hosts e usuários comprometidos conhecidos.

O que ele produz

• Linha do tempo forense — eventos reais com timestamps de artefatos, classificáveis/filtráveis por data/severidade/fonte
• Achados — conclusões analíticas por técnica com severidade + mapeamento MITRE ATT&CK
• Achados fixados — fixe os achados principais (📌) em uma faixa adesiva no topo do painel de Achados; arraste para reordenar, salto com um clique, lista curta limitada, persistida por caso (viaja na exportação do arquivo do caso)
• IOCs, cobertura MITRE, narrativa do caminho do atacante — badges de corroboração entre fontes + kill chain
• Ações rápidas de IOC inline — clique em qualquer valor detectado (IP/hash/domínio/SID/URL/caminho) em uma linha de evento ou em um valor de IOC para uma bandeja de um clique: copiar, marcar como benigno, marcar como malicioso confirmado, sugerir caça — cada resultado registrado no log de investigação
• Fases do ataque — linha do tempo agrupada em rajadas de atividade por intervalo de tempo, rotuladas pela tática dominante (determinístico, sem IA)
• Candidatos a Beacon/C2 — canais de saída com intervalos regulares entre chegadas (uma pista de caça, não prova)
• Anomalias na linha do tempo — picos de taxa de eventos por ativo, duas linhas de base: par (um ativo muito mais movimentado que outros ativos no mesmo bucket) e própria (um ativo explodindo acima de sua própria taxa típica — captura um host normalmente silencioso que explode, o que a telemetria ampla não consegue mascarar); classificadas como Crítico/Alto/Médio, vinculadas a eventos da linha do tempo (determinístico, sem IA)
• Análise de lacunas de log — períodos silenciosos suspeitos na linha do tempo, sinalizados por regras de densidade + horário de trabalho
• Hipóteses de lacunas e artefatos sombra — ações do atacante propostas por IA durante janelas silenciosas + coletas do Velociraptor para reconstruir o tempo ausente
• "Próximo Passo" de forense de memória — na importação do Volatility 3/Rekall, identifica anomalias (processos com parentesco errado, memória injetada, comandos codificados) e propõe o próximo passo de análise
• Dicas de adversário — grupos MITRE ATT&CK classificados por sobreposição de técnicas (conjunto de dados offline, ciente de sub-técnicas; combustível de hipótese, não atribuição)
• Emulação de adversário — próximas técnicas prováveis: o tradecraft nomeado dos grupos correspondentes que o caso ainda não observou, classificadas por distintividade como prioridades de caça, cada uma com um "caçar isto" de um clique → Velociraptor VQL
• Mitigações e contramedidas defensivas — Mitigações MITRE ATT&CK concretas (códigos M) para as técnicas do caso, classificadas por alavancagem (qual mitigação cobre mais técnicas), mais etapas de endurecimento/detecção/isolamento do MITRE D3FEND; offline, sem IA. Faz a ponte entre "o que o atacante fez" e "o que realmente fazer a respeito". Um botão ✨ Gerar plano de remediação transforma isso em um plano de RI concreto e específico do incidente (uma chamada de IA)
• Ativos comprometidos — hosts/contas vítimas + grafo interativo ativo↔IOC
• Ranking de hosts e contas — quais hosts/contas carregam o ataque, pontuados por sinal (eventos ponderados por severidade + técnicas + IOCs conectivos) e não por volume, com uma janela de escopo sugerida de um clique; clique em uma linha classificada para expandir os eventos/IOCs por trás de sua pontuação inline (limitado a 50 cada) e pular direto para um evento citado na linha do tempo
• Perguntas investigativas-chave — respondidas com ponteiros para evidências ou próximos passos a coletar
• Linhas de investigação — pistas abertas/resolvidas
• Predefinições de visualização do dashboard — layouts de um clique Analista/Líder/Executivo (função) + Triagem/Relatório/Imersão/Preparação de Caça (fase) que reorganizam painéis, filtram por severidade e emparelham um modelo de relatório; por caso, totalmente editável. Analista é o padrão para qualquer caso sem escolha salva por caso; escolher explicitamente Personalizado ainda persiste entre recarregamentos
• Relatórios — exportações em Markdown, HTML, PDF, Word (.docx), CSVs, JSON

Recursos

Integração inicial

• Assistente de configuração — uma sobreposição de primeira execução (também em Configurações) que configura IA, Presidio, integrações, enriquecimento, ingestão por push, NSRL e um canal de notificação, cada um com um teste ao vivo. Tudo é opcional

Captura e ingestão

• Extensão de navegador MV3 de privilégio mínimo — zero acesso a sites na instalação, aprovação/revogação de console por origem exata, captura única da aba ativa, captura por timer + orientada a eventos, auditoria de permissões local, fila offline + sincronização automática
• Push de artefatos com um clique — Splunk/Velociraptor/Kibana/Security Onion/SO-CRATES/CrowdStrike/VolWeb injetam o botão Push to DFIR-Companion; intercepta JSON de API ou faz scraping de tabela; o popup mostra o console autodetectado com um dropdown para forçar um adaptador diferente (ou nenhum) por aba
• Clique com o botão direito "Send to DFIR-Companion" — envia o texto selecionado de uma página, uma tabela próxima ou a URL de um link direto para o caso conectado a partir de qualquer página, não apenas consoles reconhecidos
• Gerenciamento de casos — + Novo caso no dashboard (modelos carregam automaticamente perguntas de incidente + dicas de importação); capturas para caso desconhecido são rejeitadas
• Proteção por senha do caso — 🔒 Senha… bloqueia um caso no dashboard, aplicado no lado do servidor; a ingestão de capturas continua funcionando enquanto bloqueado
• Excluir um caso permanentemente — 🗑️ Excluir… no menu de ciclo de vida do caso remove o diretório de um caso para sempre, com um arquivo ZIP/criptografado opcional feito primeiro; recusa-se a tocar em um diretório que não seja um caso real e não excluirá a pasta ativa de um caso já arquivado por baixo de seu arquivo
• Importar capturas de tela — seleção múltipla de PNG/JPEG/WebP; botão único Importar autodetecta o formato do artefato (CSV/JSON/log)
• "De qual host veio este arquivo?" — uma exportação de log que não nomeia nenhum coletor pede seu host; nomes antigos se incorporam como nomes anteriores
• Pasta de depósito de evidências — arquivos copiados para a pasta drop/ de um caso são importados em segundo plano, movidos para _processed/ ou _failed/, e registrados em drop-log.txt; uma subpasta asset=<HOST> nomeia o host
• Executor de ferramentas externas (Configurações → Ferramentas) — execute suas próprias ferramentas Hayabusa, Chainsaw, Velociraptor CLI, Suricata, Snort, YARA ou personalizadas em evidências brutas e importe sua saída; .evtx bruto mantido byte a byte, versão do parser e código de saída na custódia, fail-closed, desativado por padrão
• MCP através do Claude Code (Configurações → Ferramentas) — envie evidências do caso para os servidores MCP que você configurou no Claude Code (SIFT, REMnux, windows-triage); requer Claude Code no host. Um servidor com um executor de comandos significa execução de comandos lá — leia Usando seus servidores MCP primeiro
• Desfazer/refazer importação — reverta/avance para o estado exato pré-importação (sem re-síntese); pilha multinível por caso
• Importadores personalizados (declarativos) — ensine um novo formato de arquivo com uma definição JSON (sem código); autorável por LLM via um prompt embutido, autodetectado + importado como um embutido, com precedência embutido/personalizado
• Evidência em primeiro lugar — gravada em disco + log de auditoria antes da análise; deduplicação SHA-256 (desative via DFIR_DEDUP=off)
• Cadeia de custódia — cada captura de tela e importação recebe um registro de custódia automático, encadeado por hash, com um manifesto assinado
• Playbooks automáticos por tipo de incidente — escolher um tipo de incidente semeia perguntas-chave, próximos passos e achados esperados
• Busca de texto completo por OCR de capturas de tela — cada captura de tela capturada é submetida a OCR localmente em segundo plano; pesquise o texto visto nos consoles (hostname, "mimikatz", um hash, um erro) na barra de filtros e pule para a captura de tela. Sem IA, somente local (DFIR_OCR_SEARCH=off para desativar; npm run ocr-index para preencher retroativamente)
• Somente localhost — 127.0.0.1 com CORS + Private-Network-Access para a extensão; recusa hostnames não reconhecidos, fechando ataques de DNS-rebinding (DFIR_ALLOWED_HOSTS)

Importadores de evidências

Todos os importadores são determinísticos (sem chamada de IA), leem os próprios timestamps do artefato e marcam eventos com o nome real da ferramenta para correlação entre fontes. O mesmo arquivo pode ser reimportado sem duplicar a linha do tempo.

• Esquema canônico de eventos forenses — identidades/proveniência estruturadas e versionadas sustentam as importações; junções de grafo não dependem mais do texto da descrição| Formato | Fontes principais | Severidade derivada de | |---|---|---| | SIEM / EDR JSON | Elastic, Kibana, Splunk, QRadar, qualquer exportação JSON/NDJSON | Tabela por EID do Windows/Sysmon | | ECAR (telemetria EDR) | EDR Common Activity Record NDJSON (object/action/properties, timestamp_ms em epoch-ms) — eventos de processo/flow/logon/registry/module/file/thread | Evidência Info; incremento por LOLBin/linha de comando codificada (IPs públicos → IOCs) | | Windows Event Log XML | Event Viewer "Save As XML", wevtutil qe /f:xml, Get-WinEvent … ToXml() (Security, Sysmon, System, qualquer canal) | Tabela por EID do Windows/Sysmon | | Chainsaw | JSON/JSONL de hunt EVTX (chainsaw hunt --json); executável diretamente em .evtx bruto via o executor de ferramentas | Nível da regra Sigma correspondida | | Hayabusa | json-timeline ou csv-timeline | Nível da regra Sigma correspondida | | Velociraptor | Array JSON, JSONL ou mapa de artefatos | Veredito Sigma/YARA ou por EID | | THOR (Nextron) | Saída de scan JSON-Lines | Nível de alerta do THOR | | Suricata / Zeek | eve.json, logs JSON do Zeek; telemetria → apenas IOCs | Prioridade do alerta / severidade do aviso | | Snort / Suricata IDS (fast) | Log de alerta de linha única alert_fast | Priority da regra (1→High / 2→Medium / 3→Low) | | YARA | Saída de scan CLI yara -s -m (correspondências de regras + strings/meta) | Info→Medium por correspondência; incremento no meta score/threat_level da regra | | Log de acesso web/proxy | Formato de log combined do Apache/Nginx/Squid (log de acesso de servidor web ou proxy direto); URL da requisição, HTTP Referer e User-Agent capturados (segredos na URL/Referer + UAs de scanner/bot/injeção sobrevivem como eventos + IOCs) | Info por padrão; acesso negado (401/403/407) → Low; clone/push git smart-HTTP → T1213 | | Syslog de firewall Cisco ASA | Mensagens Built/Teardown/Deny %ASA-#-######: | Info por padrão (telemetria); Deny explícito → Low | | Syslog (simples) | RFC 5424 (<PRI>1 …) + RFC 3164 (Mmm dd …) logs de host Linux/Unix | Info por padrão (telemetria); falha de autenticação ou PRI crit/alert/emerg → Low | | Security Onion | Eventos SOC Alerts/Hunt (ECS); enviados pela extensão ou por uma exportação da API do SOC | event.severity_label (rótulo Suricata/SO) | | SO-CRATES | Alertas Suricata + correspondências de arquivos YARA (/api/events) e detecções Sigma (/api/sigma-alerts); enviados pela extensão ou por uma exportação bruta | Prioridade Suricata / nível Sigma / correspondência YARA | | Cyber Triage | Linha do tempo JSONL / JSON / CSV | Pontuação de item do Cyber Triage | | M365 / Entra ID | UAL, logs de entrada e auditoria do Entra | Tabela de tradecraft de BEC / riskLevel do Entra | | Okta | Exportação do System Log | Tabela de tradecraft de IdP (MFA desabilitado, concessão de admin, token de API emitido, sessão personificada) — não a nota operacional do fornecedor | | Google Workspace | Auditoria de Admin + login | Tabela de tradecraft de IdP (2SV desabilitado, papel concedido, OAuth consentido, monitor de e-mail adicionado) | | Hindsight (navegador) | Histórico, downloads, interpretações do Chrome/Edge/Brave (JSON ou CSV) | — (Eventos Info: artefatos de navegador são evidências, não vereditos) | | macOS | Log unificado (log show --style json), eventos de download LSQuarantine, atributos com.apple.quarantine, plists de launchd, itens de login (plist clássico, .sfl2, BTM) | Registro de quarentena ↔ atributo de arquivo ↔ visita do navegador ↔ início de processo unidos por identificador; um plist é lido como configuração, nunca como execução | | iLEAPP / ALEAPP | Artefatos de extração iOS + Android de exportações TSV do LEAPP | — (Eventos Info; parser genérico baseado na coluna de timestamp) | | AWS CloudTrail | Records JSON, NDJSON, Athena | Tabela de ações de API (IAM/logging/S3/secrets) | | GCP / Azure | Cloud Audit Logs, Azure Activity Log | Tabela de ações (IAM/logging/secrets) | | Auditoria do Kubernetes | Log de auditoria do servidor de API (audit.k8s.io JSON-lines / EventList) | Tabela (verbo, recurso) — pod exec/attach T1609, acesso a secret T1552.007, alteração de RBAC T1098, pod privilegiado T1610/T1611, acesso anônimo T1078 | | osquery | Log de resultado de consulta agendada (columns diferencial + snapshot) | Telemetria Info; incremento conservador de tradecraft em uma coluna de linha de comando | | Plaso | CSV do psort (dynamic + l2tcsv) | — (Eventos Info) | | Relatórios de sandbox | report.json do CAPEv2, resumo do Falcon Sandbox | Veredito da amostra + assinaturas comportamentais | | Forense de memória | Volatility 3 (-r json) + Rekall: pslist/pstree, netscan, malfind, cmdline, svcscan; um envelope JSON de execução (comando, status de saída, stderr) é importado ao lado da exportação | Código injetado pelo malfind → High (T1055); listagens → Info/Low; uma execução com zero linhas ou falha diz o que estabelece | | Intact (VolWeb reduzido) | Tabelas de plugin memory_payload.json + yarascan_results.jsonl | Mesmo mapeamento de plugin; acertos YARA em memória → Low, um cluster denso de muitas regras → Info; limites de linhas divulgados | | TheHive | Exportação JSON de caso/alerta, lista de observáveis (TheHive 5) | Severidade do TheHive 1–4; MITRE a partir de tags marcadas com ATT&CK | | E-mail | .eml (RFC 2822), .msg em melhor esforço | Falha de SPF/DKIM/DMARC → heurísticas de spoofing de remetente (T1566 Phishing) | | Histórico de shell | .bash_history / .zsh_history (HISTTIMEFORMAT #epoch do bash + histórico estendido do zsh) | Info por padrão; incremento conservador em tradecraft (reverse shell, download-and-exec, acesso a credenciais, adulteração de log/histórico, SSH lateral) | | Persistência Linux | Chaves autorizadas SSH, cron, units systemd, perfis de shell, listagens SUID e PATH de uma única coleta | Payloads graváveis por qualquer usuário, root executando arquivos graváveis pelo usuário, interpretadores setuid; nada é classificado por meramente existir | | auditd do Linux | Registros brutos de audit.log / ausearch, tabelas do aureport | Tabela de tipo de registro (logins, gerenciamento de contas, sudo, SELinux, adulteração de auditoria) | | journald do systemd | journalctl -o json / -o json-pretty | PRIORITY do syslog + incrementos de tradecraft (sshd, sudo, useradd) | | sysdig / Falco | JSON de alerta do Falco, JSON de evento -j do sysdig | Prioridade da regra Falco; syscalls brutas → telemetria Info | | Wazuh | alerts.json / NDJSON, ou exportação da API (GET /security/events) | rule.level (≥13 Critical, ≥10 High, ≥7 Medium) | | CSV | Exportações do Velociraptor / EDR | — | | Logs genéricos | Firewall, syslog, VPN; linhas repetitivas → padrões contados | Triado por IA |

Classificação determinística de tradecraft — Linhas de comando do Windows/Sysmon, ECAR e memória são classificadas segundo regras colhidas de mais de 110 intrusões reais (The DFIR Report, Huntress): tradecraft de alta confiança → High com sua técnica ATT&CK (desativação do Defender, inibição de recuperação, dumping de credenciais, túneis reversos, Impacket, RMM/C2, exfiltração em nuvem …), uso dual → Medium; descoberta pura é marcada mas nunca escalada.

• Detecção de sucesso de força bruta SSH (T1110.001) — sinaliza um login bem-sucedido após uma rajada de tentativas falhas do mesmo IP de origem → Medium
• Classificação de risco por tipo de logon do Windows — decodifica tipos de logon 4624 e classifica formas de risco (RDP externo, rede em texto claro, runas /netonly) → Medium
• Detecção de timestomp em NTFS (T1070.006) — sinaliza incompatibilidades de timestamp $SI/$FN do MFT como provável timestomping → Medium
• Detecção de nota de ransomware / arquivo renomeado (T1486) — sinaliza nomes de arquivo de nota de resgate e extensões de famílias conhecidas, agregadas por host, acima de Info para que o limite não as enterre
• Detecção de movimento lateral via RDP (T1021.001) — classifica logons RDP com credenciais explícitas para um destino genuinamente remoto como Medium; ruído do gerenciador de sessão local permanece Info
• Detecção de drive-by download e ferramentas de exfiltração em nuvem (T1189 / T1567.002) — downloads executáveis da zona de internet e execução de rclone/restic/megasync/megacmd no Prefetch
• Severidade contextual de YARA — classifica um acerto pelo onde e pelo que correspondeu (auto-scan → Info, string em arquivo de paginação → Low, malware nomeado em um caminho real → High) em vez de um High uniforme
• Sequências de injeção e hollowing — Sysmon 10 / 8 / 25 / 1 unidos apenas por um GUID de processo correspondente; formas de access-then-thread e create-replace-thread → High + T1055
• Marca de download corroborada por execução — uma marca Zone.Identifier é lida em conjunto com Prefetch, inícios de processo e registros de presença do mesmo arquivo e elevada apenas quando a execução é datada depois dela; um payload em fluxo oculto é classificado pelo conteúdo, não pelo nome
• Episódios do Defender — um início de processo a partir de um caminho sobre o qual o Defender agiu, datado após essa ação, é anotado e elevado; um início do mesmo digest após a remediação é um achado High
• Pista de binário copiado — uma linha do MFT cujo horário de modificação antecede o de criação foi copiada para cá (um cmd.exe renomeado, uma ferramenta dropada)
• Vestígios de execute-assembly (T1620) — um log de uso do CLR nomeado após rundll32, mshta ou host semelhante é classificado como High
• Comandos de descoberta em blocos de script — nltest, Get-AD*, ntdsutil … ifm e similares são extraídos de registros 4104/4103 com suas técnicas
• O próprio coletor do caso não é evidência — downloads, instalações, PowerShell gerado e arquivos de regras do Velociraptor são classificados como Info com origem de coletor
• Resumos de ciclo de vida em nuvem — uma linha por linhagem de credencial AWS, ciclo de vida de instância EC2, cliente OAuth do Workspace, cadeia de caixa de correio do Exchange e caminho de privilégio de aplicação do Entra cujos registros formam um dentro de um upload; cada um diz o que seus registros estabelecem e o que não estabelecem
• Relacionamentos de rede — TLS (Zeek ssl/x509, Suricata tls) torna-se uma linha por relacionamento e por certificado; respostas DNS são unidas às conexões posteriores do mesmo cliente dentro do TTL; cadeias de requisições web se unem apenas por identificadores que ambos os registros carregam
• Tags de origem móvel — cada linha do iLEAPP / ALEAPP diz se seu conteúdo foi gravado neste dispositivo, sincronizado ou recebido, a partir de um registro fixado no upstream

Análise por IA

• Configuração guiada de IA — o primeiro passo do assistente de Configuração escolhe provedor → modelo (sugestões baratas/fortes) → chave → URL base opcional, e então executa um teste de conectividade ao vivo antes de você sair
• Duas fases — visão barata por janela (extração) + síntese forte apenas de texto (achados/IOCs/MITRE/caminho do atacante)
• Provedores — OpenAI, OpenRouter, Ollama, LiteLLM, Gemini, Anthropic, Claude Code CLI, Codex CLI; dois níveis opcionais (extração barata + síntese forte) com orçamento de contexto
• Consoles EDR/SIEM como evidência — detecções extraídas; navegação do analista filtrada (detecções reais nunca descartadas)
• Achados cientes da severidade — linhas Critical/High tornam-se achados; criação automática determinística para eventos de alta severidade perdidos
• Pontuação de confiança + raciocínio — cada achado carrega uma confiança de 0–100% (ponderando força da evidência, corroboração por ferramentas e certeza do modelo) mais um motivo em uma linha; um filtro persistente de confiança mínima por caso (sobrevive ao recarregamento) oculta achados de baixa confiança sob demanda
• Selos KEV / confirmado por ferramenta / pista não confirmada — sinaliza se um achado é corroborado por um CVE ativamente explorado, uma detecção classificada por ferramenta, ou apenas telemetria bruta
• Síntese eficiente — re-síntese ao vivo com debounce; pular se inalterado; seleção estratificada de eventos + digest de ativo↔IOC
• Agrupamento de detecções na síntese — acertos repetidos da mesma detecção colapsam em uma entrada de prompt com contagem de acertos/dispersão de hosts/intervalo de tempo, para que uma importação com muitas detecções não fique limitada a algumas centenas de linhas
• Limite elevado de eventos de síntese (300 → 600) — além disso, eventos de severidade Info não competem mais pelo orçamento do prompt, então as detecções classificadas de um caso típico chegam todas ao modelo em uma única passagem
• Deep Pass — uma execução em lote acionada pelo analista que lê TODOS os eventos classificados em um piso de severidade escolhido para cobertura total de IA em grandes casos multi-host, com uma prévia gratuita de custo/cobertura por piso e um painel de dashboard dedicado antes de você gastar qualquer coisa
• Auditoria de cobertura da síntese — o cartão synth-meta mostra quantos eventos na janela uma execução considerou vs. omitiu, e por quê
• Segunda opinião de LLM — um modelo rival (B) re-sintetiza o caso; um árbitro configurável julga cada discordância a partir dos eventos citados; aceite por item ou siga o árbitro em um clique
• Revisão de evidências perdidas — um modelo rápido acionado pelo analista (Jev) classifica as linhas Info deixadas pelo marcador de conteúdo; marque linhas e promova-as com a classificação do modelo (desligado até DFIR_JEV_ENABLED)
• Respostas negativas nomeiam sua evidência — um inventário de coleta por host chega à síntese, então "não observado" diz o que foi coletado e o que coletar em seguida
• Outros comandos nesta sessão — cada achado lista as linhas de comando da sessão de ataque que nenhum achado nomeia
• Regras de marcador de conteúdo assistidas por IA — descreva uma regra em inglês simples; a IA a redige, pré-visualiza e adiciona
• Anonimização de entrada de IA — tokeniza reversivelmente IPs, usuários, hosts, domínios, e-mails, caminhos, números de cartão/telefone/ID nacional, comandos codificados e SIDs; redige segredos de forma irreversível. Presidio opcional captura nomes, com um portão de aprovação

Correlação e deduplicação

• Correlação entre fontes — o mesmo artefato visto por ferramentas diferentes colapsa em um evento corroborado (hash compartilhado / mesmo caminho em uma janela de tempo / duplicata exata), marcado com os nomes reais das ferramentas. Idempotente — reimportar nunca duplica a linha do tempo.
• Correlação de linha de comando entre ferramentas — mescla eventos de criação de processo iguais relatados por ferramentas diferentes que compartilham uma linha de comando, processo pai e host
• Filtro de corroboração (lente) — controle por seção (Timeline / IOCs / Findings) que mostra apenas itens vistos por 2+ ou 3+ ferramentas; uma lente, não um portão
• Pontuações de ruído/confiança por fonte — pondera fontes por confiabilidade para o texto de correlação e limitação de confiança; substituível por caso### Fluxo de investigação
• Escopo de hosts e livro-razão de liberação — status por host derivado de evidências, liberação do analista por trás de uma lista de verificação de elegibilidade que nomeia a classe de evidência ausente, decisões atribuídas somente-adição, sinalizar-sem-reverter obsolescência, e uma lista classificada de hosts nomeados nas evidências mas nunca coletados
• Livro-razão de execuções de análise reproduzíveis — importações, marcação, enriquecimento, síntese e relatórios deixam manifestos imutáveis encadeados por hash fixando suas evidências; execuções podem ser inspecionadas, reproduzidas e comparadas
• Revisão controlada de relatórios e liberação imutável — rascunho → revisão por pares → aprovação, portões de liberação de evidências e integridade, aprovação vinculada à identidade, substituição explícita, diffs de versão, e pacotes executivo/técnico/jurídico/IOC congelados
• Modo de equipe autenticado opcional — OIDC ou uma conta local auditada, funções por caso, identidades de serviço e atribuição do analista; loopback de usuário único permanece o padrão (guia de configuração)
• Respostas de IA com citações — descobertas, Ask-the-case, Explain Event e caçadas sugeridas por IA (playbook + frota) mostram citações numeradas e clicáveis para os eventos/descobertas forenses de suporte, tanto no painel quanto no relatório exportado
• Explain This Event — 💡 botão de IA por linha explica qualquer evento forense em contexto: o que aconteceu, por que importa, normal-vs-suspeito, mapeamento ATT&CK, 1–3 consultas de pivô executáveis (VQL/KQL/SPL), evidências a favor/contra; sobreposição efêmera
• Ask the case (GraphRAG) — perguntas e respostas livres fundamentadas na linha do tempo + grafo determinístico de cadeia de evidências; perguntas multi-hop respondidas via relacionamentos reais
• Modo orientado por hipóteses — hipóteses com status rastreado, links de evidências e classificação estilo ACH; as abertas orientam a síntese, e sobrevivem à síntese e aos arquivos
• Revisão de falsificação de hipóteses sob demanda — um botão "Review" executa uma passagem focada a favor/contra sobre hipóteses abertas sem reexecutar a síntese completa
• Evidência distintiva — cada observação diz se separa uma hipótese de suas alternativas ou se encaixa em todas; um julgamento congelado cuja base muda é sinalizado para revisão
• Resultado do ataque em dois eixos — cada descoberta registra execução (observada / não) e controle (bloqueado / remediado / falhou / permitido / nenhum) separadamente, definido pelo analista e à prova de síntese; um ataque bloqueado não é nem descartado nem deixado aberto como Alto
• Tarefas de descoberta — cada descoberta Crítica/Alta se torna uma tarefa de playbook imperativa, nomeada por evidência, com passos numerados e uma linha Done-when
• Handoff Brief — um painel de troca de turno: descobertas por responsável, perguntas e hipóteses abertas, próximos passos, IOCs não verificados, a última importação, a nota do analista que sai; copiar como Markdown, seção de relatório opcional
• Análises de escopo declarado — Escopo de campanha de phishing, Exposição servida, Cadeia Kerberoast e Acesso sensível: declare o que importa e leia o que as linhas estabelecem, estágio por estágio
• Verificações de recorrência pós-remediação — declare um limite de remediação; Verify retorna fatos com cobertura declarada, nunca um veredito negativo; o status de risco residual é do analista, registrado contra um recibo imutável
• Pistas de lacuna de atribuição — ao lado de cada afirmação de atribuição, as técnicas que o grupo ATT&CK está documentado a usar que este caso não mostrou, como pistas de caça
• Memória do caso — a síntese registra cada execução em um Investigation Log durável e nunca apagado; um bloco known unknowns (lacunas na linha do tempo, fases ATT&CK não cobertas, próximas técnicas de atores semelhantes) fundamenta a síntese + sugestões de caça; hipóteses de candidatos a ator opcionais (DFIR_SYNTH_ADVERSARY_HINTS)
• Diretivas de coleta estruturadas e implantáveis — recomendações "coletar X" carregam um alvo acionável por máquina; implantação com um clique em um host conhecido, com satisfação de importação autodetectada
• Painel Evidence Gaps — fases da kill-chain não cobertas renderizam como itens estruturados com uma diretiva de coleta implantável, em um painel do dashboard e no relatório §4.6.3
• Plano de coleta — lista de verificação de evidências por tipo de incidente como painel do dashboard; itens se auto-marcam conforme evidências correspondentes chegam
• Reconstrução de sessão/história do atacante — a linha do tempo reencadeada em capítulos de sessão por host, com resumos de IA e uma seção de relatório
• Detecção de desvio de relógio e alinhamento de linha do tempo — sinaliza deriva de relógio do host além de 60s; um toggle "Align timelines" corrige em todos os lugares
• Painel Playbook Match — as técnicas do caso ocorreram na ordem que um playbook publicado descreve (Conti, LockBit, BlackCat, Akira, Scattered Spider, Black Basta, BlackSuit, Play, Egg-Cellent Resume); passos ausentes alimentam Evidence Gaps. Corresponde ao playbook, não ao ator
• Avisos de importação com rendimento zero — sinaliza um arquivo grande triado por IA que produziu zero eventos, no banner de importação e no painel Evidence Gaps
• Second look — uma passagem acionada pelo analista resolve perguntas abertas contra a super-linha do tempo, pré-visualiza o que promoveria, e então reexecuta as conclusões
• Cascata imediata de falsos positivos — marcar uma descoberta/IOC/evento como FP reavalia sincronamente perguntas dependentes, próximos passos e hipóteses
• Detecção de rabbit-hole — descobertas desconectadas do grafo principal de evidências são rebaixadas e marcadas como "possible rabbit hole"
• Linha de base de prevalência por caso + propagação de padrão FP — seleção de eventos enviesada por raridade, mais descarte em massa com um clique para eventos que correspondem a um padrão FP já descartado
• Aprender com descobertas descartadas — padrões FP repetidos reduzem (não zeram) a confiança em atividade nova semelhante
• Marcador de eventos baseado em conteúdo (estilo Timesketch tags.yaml) — motor de regras marca eventos, eleva severidade e une técnicas MITRE
• Response Playbook — checklist rastreável (status/prioridade/responsável/prazo/tarefas personalizadas); modelos de IR opcionais expandem descobertas em Contain→Investigate→Eradicate→Recover
• Tags e comentários de triagem — rotular entidades + anexar notas; sincronização ao vivo via WebSocket; sobrevivem à síntese
• Log de atividades — um registro cronológico e filtrável de cada ação relevante à segurança tomada em um caso (importações, marcar/desmarcar falso positivo, execuções de IA, toggles de enriquecimento/anonimização, mudanças de configurações, edições de playbook, comentários/tags, execuções de caça, exportações)
• Ações em massa — seleção múltipla de eventos/IOCs/descobertas: favoritar/rotular/marcar-falso-positivo/enriquecer/copiar
• Lista de permissões de IOC (Configurações) — padrões CIDR/exatos/regex marcam automaticamente IOCs correspondentes como falso positivo; global; opcional
• Lista de exclusão de IOC por caso — remove permanentemente correspondências de domínio/hostname (ou qualquer tipo de IOC) de um caso via regras exatas/sufixo/regex na barra de título do painel de IOCs; valores excluídos são purgados imediatamente e nunca reimportados ou enriquecidos
• Hashes conhecidos-bons NSRL (Configurações) — conjunto plano de hashes ou consulta direta a banco SQLite (~160 GB); marca automaticamente eventos/IOCs correspondentes como falso positivo
• Desofuscação de payload — decodifica automaticamente PowerShell em base64 (-enc, [Convert]::FromBase64String); extrai IOCs ocultos; mostra blocos [Decoded]
• Integração CISA KEV (Configurações) — referência cruzada de CVEs contra o catálogo CISA; forte sinal de acesso inicial
• Pontuação de risco composta de IOC — nível ponderado crítico/alto/médio/baixo/benigno por indicador, mostrado como badge, lente de filtro e coluna de relatório
• Corroboração de IOC — badge ⊕ N mostra quantas ferramentas observaram cada indicador
• Proveniência de IOC — cada IOC classificado como vinculado à detecção (visto em um evento Low+) vs somente-telemetria (apenas Info), distinto do veredito de threat-intel; badge por IOC + filtro All/Detection-linked/Telemetry-only
• Cadeia de proveniência de IOC — painel 🔗 por IOC: evento de extração, consultas de enriquecimento e descobertas citantes, com exportação JSON; linhas de origem exatas para os principais importadores
• Filtro de IOC somente sinalizados — oculta tudo exceto indicadores confirmados por threat-intel
• Filtro de tipo de IOC — dropdown facetado (ip/domain/url/hash/file/process/other) com contagens por tipo; compõe com os filtros flagged-only + busca
• Controles de redução de ruído da lista de IOCs — três filtros de exibição componíveis, ativados por padrão: ocultar IOCs falso-positivos/sem-intel, ocultar arquivos de caminho de sistema do SO, e uma visão "🎯 Signal only" que estreita para sinalizados/corroborados/enriquecidos
• Paginação da lista de IOCs — pagina no lado do cliente como as linhas do tempo, padrão 100/página
• Filtro de exclusão — controle de lista de chips (ao lado da busca da barra de ferramentas) oculta eventos da linha do tempo / IOCs / descobertas que correspondem a qualquer um de vários termos de exclusão; por navegador
• Gerador de pivô de caça — com um clique emite consultas Velociraptor VQL, KQL, ES|QL, SPL, Sigma, YARA, Suricata
• Caçadas Sigma → VQL — cole uma regra Sigma, compile-a deterministicamente (um template fixo por categoria de logsource, cada linha não suportada recusada por nome), lance-a como uma caçada de frota registrada; regras process_creation também caçam histórico Sysmon / 4688
• Query Translator — inglês simples → consultas executáveis (NL: "PowerShell downloading then executing") em todas as plataformas habilitadas; caçadas VQL com implantação em um clique
• Internal Hunt Workbench — consultas de campo tipadas com lógica booleana, intervalos, regex, agrupamento, caçadas salvas e pivôs de entidade sobre a linha do tempo forense ou super-linha do tempo; acertos brutos ficam fora da IA até serem promovidos
• Pacotes de triagem Velociraptor — navegue por artefatos, salve pacotes (os embutidos incluem Hayabusa Full), execute-os como caçadas, e colete + importe automaticamente os resultados
• Caçadas de frota sugeridas por IA — a IA propõe caçadas proativas de varredura de frota fundamentadas no grafo causal de evidências (cadeias de spawn, linhagem de arquivos, movimento lateral), para que as caçadas visem o relacionamento, não apenas o indicador folha
• Caçadas de playbook sugeridas por IA — a IA propõe caçadas por tarefa relacionada a endpoint (coleta de endpoint único ou caçada de frota)
• Loop de feedback de caça — registra o resultado de cada caçada implantada (novas evidências + contagens) por caso; sugestões pulam uma consulta já executada e fazem pivô no que acertou, com um Hunting Profile de caçado/acertado/perdido
• Ingestão por push de webhook (opcional, token) — ferramentas externas enviam alertas via POST /cases/:id/push (webhook SIEM, monitor Velociraptor, scripts)
• Monitoramento ao vivo Velociraptor (opcional) — transmite artefatos CLIENT_EVENT (ex.: ProcessCreation) conforme os eventos disparam; coleta automática em intervalo; auto-monitoramento com um clique para todos os artefatos habilitados
• Importar uma caçada/fluxo externo — cole um id de caçada Velociraptor, fluxo ou URL da GUI (ou uma URL de Uploaded Files para relatórios THOR/Hayabusa); o host é resolvido automaticamente, e um artefato não lido por completo é nomeado, nunca reportado como "no rows"
• Escopo + marcação de falso positivo — defina janela de tempo; marque descobertas/IOCs/eventos como falso positivo com um motivo estruturado (ferramenta conhecida-boa/teste autorizado/falha de detecção/duplicata/outro) + atribuição do analista (reversível); todas as visões reprojetam
• Sugestões de similaridade de falso positivo — marque um item como falso positivo e obtenha candidatos classificados de "itens similares" (MITRE/processo/hash/ativo/IOCs compartilhados), determinístico ou assistido por IA, para descartar o mesmo padrão em uma passagem; marcas de IOC único também podem ser promovidas com um clique para a lista de permissões global de IOC
• Super-Timeline — um registro estilo Timesketch de cada evento importado, mantido separado da linha do tempo forense e nunca lido pela IA; filtre, rotule, salve intervalos de tempo, e promova linhas para a linha do tempo forense
• Linha do tempo forense com severidade controlada — telemetria Info roteia apenas para a super-linha do tempo (a linha do tempo forense mantém sinal graduado Low+) para que a síntese não seja sobrecarregada; configurável via DFIR_FORENSIC_MIN_SEVERITY + uma substituição por caso, a promoção contorna o portão, e IOCs ainda são extraídos de cada evento
• Frescor — "last synthesized N ago" + diff (duração/contagens de eventos/IOC); "last import N ago" + destaques de linhas NEW; ⚠ aviso para casos >5 000 eventos
• Mapa de calor de densidade de eventos da linha do tempo — uma faixa de barras acima da Forensic Timeline agrupa o conjunto de dados filtrado completo (cada página, não apenas a atual) por tempo, colorida pela pior severidade de cada bucket; clique em uma barra para dar zoom na linha do tempo para aquela janela; colapsa em um sparkline fino no mobile
• Paginação da linha do tempo — 100/250/500/todas as linhas por página (selecionável pelo usuário); controles anterior/próximo
• Filtro de origem da linha do tempo — dropdown facetado (ao lado da legenda de severidade) para mostrar/ocultar eventos pela ferramenta/origem que os produziu; eventos multi-origem permanecem visíveis a menos que toda origem seja ocultada
• Filtro de origens da linha do tempo — um nível mais específico que o filtro de origem: mostra/oculta eventos pelo artefato exato que os produziu (ex.: DetectRaptor.Windows.Detection.MFT), tanto na linha do tempo forense quanto na super
• Exibição de linha da linha do tempo — Configurações → Geral alterna quais sub-elementos cada linha da linha do tempo mostra (ícones de ação / pílulas de tag / badges / chip de host / MITRE / descobertas relacionadas / links de evidências); timestamp + mensagem sempre mostrados; por navegador, aplica imediatamente
• Navegação por teclado estilo Vim — j/k move um destaque de linha focada na Forensic Timeline, f favorita, i preenche o formulário manual de IOC, p fixa a descoberta citada, n abre um comentário, ? mostra uma folha de referência; alternável em Configurações → Geral, ativado por padrão
• Lembrar severidade de importação — o prompt de severidade mínima de importação tem uma caixa don't ask again que salva o piso escolhido e pula o prompt em importações futuras; gerencie/limpe em Configurações → Geral → Import severity; por navegador
• Perfil de correlação — janela Strict/Moderate/Aggressive/Custom por caso para mesclagem de eventos entre fontes; dropdown na barra de ferramentas + PUT /cases/:id/correlation-profile

Enriquecimento de threat-intel (desativado por padrão — opcional por caso)

• Fontes — VirusTotal, Hunting.ch (MalwareBazaar/ThreatFox/URLhaus/YARAify), CrowdStrike Falcon TI, AbuseIPDB, MISP, YETI, OpenCTI, RockyRaccoon (prevalência de processo + pai/filho anômalo), CIRCL hashlookup (consulta de hash conhecido / conhecido-bom sem chave — reduz falsos positivos)
• Detecção de domínio semelhante / typosquat — provedor offline sinaliza domínios que se passam por marcas comuns (T1566/T1583.001); ativado por padrão
• Infraestrutura de IP — Reverse DNS (hostnames PTR), WHOIS sobre RDAP (netblock/ASN/contato de abuso), GeoIP (país/cidade/ASN/org), host Shodan (domínios hospedados/portas/serviços/CVEs); a camada de contexto "de onde vem / quem é o dono / o que está hospedado" — Reverse DNS/WHOIS/GeoIP são sem chave, Shodan reutiliza DFIR_SHODAN_KEY
• Local vs externo — MISP/YETI/OpenCTI no próprio servidor; SaaS de terceiros opcional por caso; habilitar a fonte recheca todos os IOCs existentes
• Vereditos datados e com fonte — cada acerto carrega as datas, origem e criador do provedor; asserções expiradas e revogadas são mantidas e marcadas, e Intel Retirement Review lista descobertas cuja intel ficou obsoleta
• Portão de alcançabilidade — sonda de saúde para instâncias auto-hospedadas; retomada automática quando online

Exposição do cliente (separada do enriquecimento de IOC)

• Apenas ativos da organização vítima — HIBP, LeakCheck, DeHashed (vazamentos de email), Shodan (hosts/portas/CVEs expostos); opcional por provedor
• Limite OPSEC — apenas domínios inseridos pelo analista são consultados; domínios de adversário/IOC nunca são enviados; senhas brutas nunca são armazenadas### Painel e relatórios
• Cockpit do investigador — a vista Now predefinida classifica as próximas pistas, lacunas e bloqueios de relatório; Story so far mostra um cartão por fase da kill-chain e copia como um briefing em texto simples
• Painel em tempo real sobre WebSocket — secções recolhíveis, arrastáveis para reordenar, barra de âmbito, links de evidência clicáveis, badges
• Paleta de comandos (Ctrl+K / ⌘K) — pesquisa difusa de todas as ações do painel a partir de uma única sobreposição
• Ícone de ajuda — um botão ? ao lado da engrenagem de definições abre o manual do utilizador online num novo separador
• Tarefas em segundo plano — um popover da barra de ferramentas acompanha importações, síntese e enriquecimento, indica a versão do modelo em que cada tarefa de IA foi executada, e Cancel aborta forçadamente uma execução bloqueada
• Tema escuro/claro — alternável ou preferência do SO
• Linhas da linha temporal forense — host afetado + links de descobertas clicáveis; o relatório tem coluna Host
• Adição manual — registar eventos/IOCs falhados (etiquetados como manual, sobrevivem à reanálise)
• Técnicas MITRE ligam a attack.mitre.org
• Grafo Asset ↔ IoC, Evidence Chain e grafo de Login — partilham uma vista Cytoscape interativa (5 layouts, filtro em tempo real, ecrã inteiro, exportação PNG), cada um com os seus próprios glifos de nós/estilo de arestas (alternâncias host/conta/serviço, linhagem de processos, logons coloridos por risco)
• Timeline Swimlane — gravidade/tática × tempo; clicar em detalhes, Shift-selecionar para ação em massa, exportação PNG
• Relatórios — Markdown + HTML + PDF (um clique) + Word (.docx) + CSVs (descobertas/IOCs/linha temporal) + estado JSON
• Verificação de segurança de evidência pré-exportação — cada exportação legível por humanos é verificada contra os próprios indicadores e texto de evidência do caso; um indicador ativo ou evidência não escapada ainda é enviado, com um banner no documento e um aviso no painel
• Casos Relacionados — um painel que lista outras investigações que partilham um indicador com esta, ordenado de forma a que um hash sinalizado tenha mais peso do que um endereço privado; desligado a menos que DFIR_CROSS_CASE=on
• Camada ATT&CK Navigator — técnicas coloridas por gravidade; carregar para o Navigator
• Bundle STIX 2.1 — para OpenCTI, MISP, Anomali, etc.
• Lista de bloqueio de IOC — apenas TXT/CSV/STIX; filtra por gravidade/tipo/veredicto
• Backup / rotação automática de estado — pré-síntese + snapshots horários de todos os ficheiros de estado por caso; retenção configurável; Settings → Diagnostics → restaurar com um clique
• Arquivo de caso encriptado — exportação .dfircase protegida por palavra-passe do caso INTEIRO (evidência e capturas de ecrã incluídas, encriptado com AES-256-GCM); partilha entre máquinas + restaurar como novo caso
• Pacote de caso redigido — ZIP com IPs/hosts/utilizadores tokenizados, PII desfocada nas capturas de ecrã, indicadores do adversário preservados
• Resumo executivo por IA — orientado à gestão (sem ids ATT&CK/hashes/nomes de ferramentas)
• Narrative Timeline — história em prosa para partes interessadas não técnicas
• Push para DFIR-IRIS — idempotente; mapeia assets/IOCs/linha temporal/tarefas; o diálogo de push mostra (e permite substituir) o nome do caso IRIS de destino, memorizado para que pushes posteriores continuem a atingir o mesmo caso. Settings → DFIR-IRIS tem Test/reconnect (sem reinício)
• Importação de DFIR-IRIS — extrair assets/IOCs/linha temporal de casos existentes (determinístico, sem IA)
• Push para Jira / ServiceNow — push com um clique ou em massa diretamente do painel de descobertas; reenviar atualiza o ticket existente
• Compliance Impact — mapeia descobertas confirmadas para obrigações NIST/PCI/HIPAA/GDPR/SEC/ISO, com contagens decrescentes de notificação de violação
• Push para Timesketch — encontrar-ou-criar sketch; enviar ou descarregar a Forensic Timeline ou a Super Timeline completa (artefactos de triagem de host em bruto incluídos), cada uma para a sua própria linha temporal dentro do mesmo sketch para que nenhuma sobreponha a outra; exportar JSONL
• Exportação para Notion — bloco de página gerido; as suas notas fora dele intactas
• Exportação para ClickUp — Response Playbook como tarefas; reenviar atualiza no local
• Notificações — Slack/MS Teams/Mattermost/Discord/Telegram/SMTP para descobertas/playbook/marcos; limiar por canal + alternâncias
• Exportação de registo de auditoria para um SIEM — encaminha o registo de atividade de cada caso (quem fez o quê, quando, e se funcionou) para Splunk HEC, Elasticsearch ou syslog RFC 5424 para evidência SOC 2 / ISO 27001; opt-in por destino, memoriza até onde chegou por caso, e reenvia em vez de saltar após uma interrupção
• Bot de slash-commands para war-room — bidirecional Slack/Teams/Telegram: /dfir findings, /dfir iocs malicious, /dfir ask … a partir do canal de incidentes; associar um canal a um caso, allowlist de quem pode gastar orçamento de IA (#235)
• Modelos de relatório — layouts de marca globais (acento, cabeçalho/rodapé, ordem das secções); escolher por caso. Uma secção desativada aqui salta a sua geração por IA (resumo executivo, narrativa) para poupar tokens (#168)
• Companheiro móvel — PWA só de leitura (/mobile) para descobertas/linha temporal/IOCs com veredictos; app-shell offline
• Modo de apresentação / replay de linha temporal — deck de slides só de leitura, passo-a-passo (/cases/:id/present) para briefings de handoff e walkthroughs executivos: cartões grandes, navegação por teclado, avanço automático, filtro de gravidade, branding do modelo de relatório; exportar um deck HTML offline autónomo (#177)
• 🌍 Mapa geográfico de IPs — plotar IOCs de IPs geolocalizados num mapa-múndi interativo Leaflet (cores por gravidade, fluxos vítima→atacante, estatísticas por país, filtragem, exportação CSV); coordenadas do enriquecimento GeoIP opt-in, amigável offline (tiles substituíveis)

Ops

• Armazenamento de casos SQLite indexado — base de dados com suporte de worker, paginada por cursor, substitui o estado de caso JSON plano
• Vista Essential / All em Settings — abre numa vista curada de 43 controlos em vez de todos os ~257 campos; memorizada por navegador
• Health / Diagnostics — Settings → Diagnostics vista de operador de uma página: uso de disco, contagem de casos, fila de captura/síntese, configuração de IA redigida + Test AI connectivity em tempo real, tentativas de importador (24h/7d) + falhas recentes; tamanhos de caso calculados a pedido; copiar-para-área-de-transferência sem chaves
• Painel de Estatísticas do Caso — totais por caso, desagregação por fonte, e velocidade de importação em Diagnostics
• Rastreio de custo de IA por caso — Settings → Diagnostics mostra um cartão "AI cost — this case": chamadas, custo em dólares, e contagens de tokens por Vision/Synthesis/Other e por modelo, lidos a partir das contagens reais de custo/tokens por chamada do fornecedor (nunca um $0.00 fabricado quando um fornecedor não o reporta)
• Limite configurável de ingestão de eventos (DFIR_MAX_EVENTS) — substitui o limite de segurança predefinido de 2000 eventos por importação
• Harness de regressão / avaliação de prompts — testes de saída golden seguros para CI e com fornecedor real para qualidade de extração/síntese por IA
• Registo — consola + registo de sessão global + trilha de auditoria por caso; alternância em tempo real de DFIR_LOG_LEVEL; debug traça IA/capturas/OCR/anonimização
• Extensão de navegador — Chrome/Comet a partir da Chrome Web Store, ou Firefox 140+ a partir de qualquer release; precisa do servidor local
• EXE Windows portátil — descompactar + duplo clique, sem Node necessário
• Pacote Chocolatey — choco install dfir-companion; descarrega + verifica a build portátil + inclui a extensão de captura, dados em %LOCALAPPDATA%
• Docker / Compose — docker compose up; evidência em volume do host, sem backend de IA incluído
• Linux AppImage — executável de ficheiro único para qualquer distro glibc, sem Node necessário
• Aviso de atualização — verificação opt-in (predefinição desligada) de um release mais recente no GitHub; banner no painel, nunca descarrega automaticamente
• Prompts personalizáveis — substituir prompts via variável de ambiente ou ficheiro; edições aplicam-se sem reinício
• Caso de demonstração — carregamento com um clique ou npm run seed-demo para semear o cenário GlobalTech
• Scripts CLI — reanalyze, synthesize, coverage, verify:ai, clean-timeline

Usar os seus servidores MCP

O Companion pode apontar evidência de casos a servidores MCP que você executa — uma estação de trabalho SIFT, uma máquina REMnux, um serviço de baseline de triagem Windows — para que a evidência seja analisada numa máquina que tem o ferramental.

Só os alcança através do Claude Code. O Companion não é um cliente MCP: não guarda nenhum URL de servidor, nenhum bearer token, e não inicia nenhum npx ou uvx próprio. O Claude Code já está configurado com os seus servidores e já detém as suas credenciais, por isso é ele que fala e o Companion pede-lhe que o faça.

Pré-requisitos

Toda esta funcionalidade funciona apenas se:

1. O Claude Code estiver instalado e autenticado na máquina que executa o Companion — não no seu portátil, no host do Companion. Defina DFIR_AI_CLAUDE_CODE_BIN se claude não estiver no seu PATH.
2. Os seus servidores MCP estiverem configurados no Claude Code (claude mcp add …, ou o seu ficheiro de configuração), e claude mcp list os mostrar ligados.

Não há alternativa. Se executar o Companion em Docker, a partir do AppImage, ou a partir da build portátil Windows sem o Claude Code ao lado, as rotas MCP dir-lhe-ão isso e nada mais.

Duas consequências que vale a pena conhecer antes de confiar nisto. Cada chamada MCP passa por um modelo, por isso gasta tokens e não é a chamada determinística bit-a-bit que um pedido JSON-RPC direto seria — o prompt torna-o um transporte (uma ferramenta, argumentos exatos, saída verbatim) mas um modelo continua no meio. E porque os servidores vêm da própria configuração do Claude Code em vez de uma gerada, o Claude Code inicia todos os servidores com que está configurado em cada execução, não apenas o que está a ser usado; a allowlist limita o que pode ser chamado, não o que é lançado.

Em Settings → Tools, prima Refresh from Claude Code para carregar a sua lista de servidores, depois permita um e diga o que pode fazer. Não há nada para escrever além de política — os nomes dos servidores vêm do próprio Claude Code, por isso um erro de escrita não o pode deixar com uma entrada que silenciosamente não corresponde a nada.

Executar uma ferramenta contra evidência de caso

POST /cases/<id>/mcp/<serverId>/run com { tool, args, targetPath }. Coloque <target> onde quer que a ferramenta espere o caminho da evidência — é substituído pelo caminho no host de análise após a entrega ter sido executada, por isso o argumento que escreve é o argumento que a ferramenta recebe:```json { "tool": "run_command", "args": { "command": ["vol.py", "-f", "", "pslist"] }, "targetPath": "imports/memory.raw" }

Como as peças se encaixam```

Browser (Comet/Chrome) Localhost companion (127.0.0.1:4773) ┌─────────────────────┐ POST ┌───────────────────────────────────────┐ │ DFIR Capture (MV3) │ /captures ──▶ │ ingest → evidence (screenshots+jsonl) │ │ timer + events │ │ │ │ └─────────────────────┘ │ ▼ per-window AI extraction (cheap) │ │ forensic timeline ──▶ synthesis (strong)│ Dashboard / Reports ◀── WS /ws, │ findings, IOCs, MITRE, attacker path, │ GET /cases/:id/state │ key questions, threads │ └─────────────────────┘ └───────────────────────────────────────┘

2. Extensão (captura):

   Mais fácil: instale diretamente da Chrome Web Store. No Firefox 140+, baixe dfir-capture-extension-firefox-*.zip da última versão e descompacte-o.

   Ou compile a partir do código-fonte: ``` cd DFIR-Companion/extension npm install npm run build # Chrome/Comet → load extension/dist as an unpacked extension npm run build:firefox # Firefox 140+ → load extension/dist-firefox/manifest.json

   root@kitploit:~

No Firefox, carregue-o a partir de about:debugging#/runtime/this-firefox → Load Temporary Add-on… e escolha o ficheiro manifest.json (o Chrome pede a pasta; o Firefox não). O Firefox descarta os add-ons temporários ao reiniciar, por isso repita isso a cada sessão — ainda não há listagem na AMO, então o zip da release não é assinado e não pode ser instalado permanentemente.

O que ele recolhe, já que um carregamento temporário nunca pergunta. O Firefox mostra o seu aviso de recolha de dados apenas para um add-on assinado instalado normalmente; o about:debugging concede tudo silenciosamente. A extensão declara atividade de navegação (uma captura transporta o URL e o título do separador) e conteúdo de sites (a captura de ecrã, e as linhas que um Push extrai). A extensão envia isso para o endereço companion que configurar e para mais nenhum lugar; o que esse companion reencaminha depois — um modelo de visão lê as capturas de ecrã, a síntese por IA lê as linhas, o enriquecimento consulta serviços de reputação — é a configuração do próprio companion. Ver extension/PRIVACY.md.

O popup apenas se liga a um caso existente — você cria casos no dashboard.

3. Abra http://127.0.0.1:4773/dashboard, clique em + New case para criar o seu caso (ele liga-se automaticamente). Depois, no popup da extensão, escolha esse caso no dropdown Case (Refresh cases se ainda não estiver listado) e Start. Navegue pelas suas evidências — o dashboard atualiza em tempo real.

A atualizar um checkout existente? Depois de git pull, volte a executar npm install em ambos companion/ e extension/ — novas funcionalidades podem adicionar dependências (por exemplo, a redação OCR de capturas de ecrã adicionou tesseract.js). Depois reinicie npm run dev (o código do servidor carrega uma vez no arranque).

A configuração completa, os endpoints HTTP, a estrutura de pastas dos casos e o modelo de análise estão documentados em companion/README.md.

Docker / Docker Compose

Execute tudo — servidor companion + dashboard + o add-on do navegador — num único contentor. Não são incluídos Ollama nem LiteLLM; para IA, aponte DFIR_AI_* para qualquer endpoint compatível com OpenAI (um modelo que aloja, um fornecedor remoto, ou um Ollama/LiteLLM que execute separadamente). Com a IA deixada por definir, o contentor ainda faz a captura completa e todos os importadores determinísticos.

Pré-requisito: Docker com o plugin Compose (docker compose version).

Apenas localhost por design: o contentor liga-se a 0.0.0.0 internamente, mas o Compose publica a porta em 127.0.0.1 no seu host — por isso o dashboard nunca é exposto na sua rede.

1. Inicie-o (compilar a partir do código-fonte): ``` git clone https://github.com/hasamba/DFIR-Companion.git cd DFIR-Companion docker compose up -d --build # → http://127.0.0.1:4773/dashboard
   root@kitploit:~

Ou baixe a imagem pré-construída do GHCR em vez de construir: ``` docker compose pull && docker compose up -d

image: ghcr.io/hasamba/dfir-companion:latest

choco upgrade dfir-companion baixa a próxima versão; choco uninstall dfir-companion remove o binário e o shim do PATH. O instalador baixa o mesmo zip portátil publicado na página de Releases e verifica o seu SHA256.

Os seus dados residem no seu perfil de utilizador, não no diretório de instalação propriedade do administrador: casos em %LOCALAPPDATA%\DFIR-Companion\cases e configuração em %LOCALAPPDATA%\DFIR-Companion\.env (criado a partir do exemplo; edite-o para as chaves de IA / threat-intel — todas opcionais). A desinstalação mantém essa pasta para que as evidências nunca sejam eliminadas. Nenhuma regra de firewall é criada — o servidor liga-se apenas a 127.0.0.1.

A extensão de captura está incluída no disco em %LOCALAPPDATA%\DFIR-Companion\extension para instalação offline (útil em estações de trabalho isoladas) — carregue-a via chrome://extensions → Modo de programador → Carregar sem compactação → essa pasta, ou instale-a a partir da Chrome Web Store quando for publicada. Não é instalada automaticamente no navegador.

Ainda não está no repositório comunitário do Chocolatey? Até ser publicada lá, obtenha o dfir-companion.<version>.nupkg a partir do release e execute choco install dfir-companion --source . a partir da sua pasta. O empacotamento reside em packaging/chocolatey/.

Linux (AppImage)

Descarregue dfir-companion-<version>-x86_64.AppImage a partir da página de Releases, depois:``` chmod +x dfir-companion--x86_64.AppImage ./dfir-companion--x86_64.AppImage # → http://127.0.0.1:4773/dashboard

Triage bundles (Settings → Velociraptor tab): Browse server artifacts lista os artefatos CLIENT coletáveis do servidor; monte + salve bundles nomeados (três vêm embutidos — Best Practice (varredura quick-wins), Super-Timeline Triage (artefatos brutos do host, roteados apenas para a super-timeline) e Linux Triage — armazenados globalmente ao lado de cases/ em bundles/). Todo bundle, incluindo os embutidos, é editável in place — uma edição salva um override; Reset to default o descarta. Execute um como hunt a partir do painel Fleet Collection do dashboard (opcionalmente escopado por labels de include/exclude + OS, e um piso de importação por minimum-severity). O collection timeout é uma configuração do bundle (configurada no editor — aumente para artefatos lentos como THOR; o padrão do Velociraptor é 600 s) e é aplicado automaticamente em cada execução. Cada hunt também carrega uma expiração relativa — por quanto tempo ele continua agendando em clientes que se registram depois — escolhida entre 1 hour / 1 day / 1 week (padrão 1 hour, vs o próprio padrão de uma semana do Velociraptor); é um padrão por bundle definido no editor e sobrescrevível por execução. Bundles também podem carregar parâmetros por artefato (passados para o spec do hunt) para que um artefato pesado emita menos na origem — Best Practice inclui **Hayabusa fixado em RuleLevel=Critical/High/Medium

• RuleStatus=Stable+Experimental** para não inundar a importação; ajuste qualquer artefato via o JSON opcional Advanced → parameters do builder, e descarte linhas ruidosas com filtros de exclusão por artefato (VQL WHERE, ex.: NOT OSPath =~ 'pagefile'). O hunt permanece aberto até a expiração, então o Companion auto-coleta após DFIR_VELO_HUNT_WAIT_MIN e ingere tanto as linhas de resultado quanto qualquer relatório JSON enviado (ex.: THOR/Hayabusa via Generic.Scanner.ThorZIP — para esses as linhas não importam, o JSON enviado importa; ele é auto-detectado e roteado para o importador correto), depois sintetiza — ou clique em Collect now no cartão do job ativo para puxar antecipadamente. O job em andamento persiste por caso (state/velo-hunt.json) e sobrevive a um reinício do servidor; os resultados aparecem na timeline/IOCs do dashboard.

Servidores MCP (opcional)

Registrar um servidor é uma decisão de segurança, não apenas configuração — veja Registering an MCP server.

Notificações (opcional)

Envie novos/agravados achados, atualizações de playbook e marcos de investigação para webhooks do Slack / MS Teams ou e-mail SMTP. Não há variável de ambiente de ativação — os canais são criados no dashboard (⚙ Settings → Notifications) e armazenados ao lado de cases/ em notifications/config.json (gitignored; contém as URLs de webhook + senhas SMTP). A lista começa vazia (opt-in). Cada canal tem um limite de severidade e toggles por evento (findings / playbook / milestones). Use o botão Test para verificar um canal de ponta a ponta.

⚠ OPSEC: as notificações enviam conteúdo do caso (títulos de findings/tarefas) para terceiros. Não ative em um caso sensível a menos que o destino seja confiável.

Slack — crie um Incoming Webhook (sem escopos OAuth manuais; o Slack adiciona incoming-webhook automaticamente):

1. Vá para https://api.slack.com/apps → Create New App → From scratch; nomeie-o (ex.: DFIR Companion) e escolha seu workspace.
2. Barra lateral esquerda → Features → Incoming Webhooks → ative Activate Incoming Webhooks.
3. Add New Webhook to Workspace → escolha o canal de destino → Allow.
4. Copie a Webhook URL (https://hooks.slack.com/services/T…/B…/…).
5. No Companion: Settings → Notifications → Add a channel → Slack webhook, cole a URL, Add channel, depois Test.

Um webhook publica em um canal — adicione outro webhook (e outro canal do Companion) para cada canal extra. A URL é um segredo (qualquer um com ela pode publicar lá), por isso o arquivo de configuração é gitignored e a URL é redigida nas respostas da API. Escopos de bot-token como chat:write não são necessários — o Companion publica via o incoming webhook, não a Web API.

MS Teams — adicione um conector Incoming Webhook (ou um fluxo Power Automate "when a webhook request is received") a um canal e cole sua URL (o Companion envia um MessageCard). E-mail SMTP — forneça ao canal um host/porta, usuário+senha opcionais, e from/to; STARTTLS oportunista + AUTH LOGIN são usados quando oferecidos. Para um teste local rápido, aponte para Mailpit (docker run -p 1025:1025 -p 8025:8025 axllent/mailpit).

Telegram — usa um token da Bot API + um ID de chat/canal/grupo:

1. Abra um chat com @BotFather, execute /newbot e copie o token (123456789:AAF…).
2. Obtenha seu chat ID:
   • Chat privado consigo mesmo — envie /start para seu bot, depois abra https://api.telegram.org/bot<TOKEN>/getUpdates; o chat.id é um inteiro positivo.
   • Grupo — adicione o bot, envie qualquer mensagem, abra getUpdates; o chat.id é um inteiro negativo.
   • Canal público — use o username diretamente: @mychannel.
   • Canal privado — adicione o bot como administrador; encaminhe uma postagem para @getidsbot para obter o ID numérico (geralmente -100…).
3. No Companion: Settings → Notifications → Add a channel → Telegram bot, cole o token e o chat ID, depois clique em Test.

Já está executando o war-room bot? Deixe o token em branco e preencha apenas o chat ID — o canal reutiliza DFIR_TELEGRAM_BOT_TOKEN do .env, e o campo mostra (already set). O token permanece apenas no .env, então rotacioná-lo lá rotaciona este canal também. Digite um token aqui apenas para enviar através de um bot diferente; ele então sobrescreve o do env para este canal.

Um token digitado aqui é armazenado em notifications/config.json (ao lado de cases/) e nunca é ecoado de volta ao navegador — o dashboard só sabe se um está definido, e se veio do .env.

Bot de slash-command do war-room (opcional)

As notificações empurram para fora; este é o caminho de volta para dentro. Execute o caso a partir do canal de incidentes em vez de alternar para o dashboard a cada pergunta:``` /dfir bind IR-2026-014 bind this channel to a case — every later command can omit the id /dfir status events, findings, IOCs, open questions /dfir findings top 5 by severity /dfir finding f3 one finding card /dfir iocs malicious IOCs filtered by verdict (flagged | malicious) /dfir ask what was the initial access vector? grounded AI answer (posted when ready) /dfir synthesize trigger a re-synthesis /dfir hunt T1059.001 note a technique to hunt (deploy it from the dashboard) /dfir unbind clear the binding

O companion chama o Telegram e pede novos comandos, portanto nada da máquina é acessível a partir da internet — a mesma direção de saída que o notificador já utiliza. Um bot não pode fazer as duas coisas: limpe qualquer webhook existente com .../deleteWebhook primeiro.

Slack Socket Mode é a mesma ideia: ative o Socket Mode na aplicação, crie um token ao nível da aplicação (xapp-…, scope connections:write), e o companion liga-se ao Slack — sem Request URL.

O modo Webhook alcança este companion a partir da internet através do seu túnel ou reverse proxy — e esse hostname tem de estar em DFIR_ALLOWED_HOSTS, ou a proteção contra DNS-rebinding rejeita o pedido antes de o bot o ver. O MS Teams não tem opção de saída, por isso precisa sempre disto.

OPSEC — qualquer pessoa que possa publicar no canal pode extrair conteúdo de casos. Casos protegidos por palavra-passe são recusados por completo via chat (uma mensagem de chat não transporta um desbloqueio). Defina DFIR_*_ACTION_USERS para manter o gasto de IA, a re-síntese e a re-vinculação em respondedores nomeados; ao fazê-lo, também confina todos os outros ao caso vinculado ao canal.

Ajuste da análise

Exemplo de .env (configuração OpenRouter de dois níveis):``` DFIR_VISION_PROVIDER=openrouter DFIR_VISION_MODEL=openai/gpt-4o-mini # cheap extraction (per screenshot) DFIR_VISION_KEY=sk-or-... DFIR_AI_SYNTH_MODEL=google/gemini-2.5-pro # strong synthesis (one call) DFIR_VISION_IMAGE_DETAIL=high

npm run build

Verificação de tipos / compilação com tsc. Sem argumentos.``` npm run build

npm run verify:ai -- [caseId] [flags]

Teste de fumaça em uma única chamada: envia 3 capturas de tela do meio do caso para o modelo configurado e confirma que a resposta é analisada de acordo com o schema. Exibe descobertas, eventos forenses e pré-visualização do caminho do atacante.

npm run reanalyze -- <caseId> [flags]

Executa novamente a análise de IA sobre as capturas de ecrã já recolhidas de um caso, reconstruindo o estado da investigação. Executa a síntese no final, a menos que --no-synthesis seja passado. Utiliza a sua quota de API (~1 chamada por --window capturas de ecrã, mais 1 chamada de síntese).

Reanalyze unique screenshots, merge into existing state

npm run reanalyze -- test1

Fresh rebuild from empty state

npm run reanalyze -- test1 --reset

Include duplicates too (most thorough)

npm run reanalyze -- test1 --all --reset

Different window size

npm run reanalyze -- test1 --reset --window 3

Try a different model

npm run reanalyze -- test1 --reset --model openai/gpt-4o

Switch provider + model + key for this run

npm run reanalyze -- test1 --reset --provider gemini --model gemini-1.5-pro --key AIza...

Two-tier (recommended): cheap extraction, strong synthesis

npm run reanalyze -- test1 --reset
--model openai/gpt-4o-mini
--synth-model openai/gpt-4o

Cross-provider two-tier

npm run reanalyze -- test1 --reset
--provider openrouter --model openai/gpt-4o-mini --key sk-or-...
--synth-provider openrouter --synth-model google/gemini-2.5-pro --synth-key sk-or-...

Just rebuild the forensic timeline, skip conclusions

npm run reanalyze -- test1 --reset --no-synthesis

npm run clean-timeline -- <caseId> [--apply]

Remove linhas de analista/uso de ferramentas (caçadas do Velociraptor, notebooks, pesquisas, "Response and Monitoring accessed", etc.) da linha do tempo forense. Sem chamadas de IA. Dry-run por padrão.

Preview what would be removed

npm run clean-timeline -- test1

Actually save the cleaned timeline

npm run clean-timeline -- test1 --apply

Read more