dfirtriage

Ferramenta de aquisição forense digital para resposta a incidentes baseados em Windows.

Como Usar

Para executar, coloque o dfirtriage.exe no alvo ou em uma unidade USB conectada e execute com direitos de administrador, -h para ajuda.

---

Manual do Usuário do DFIRTriage v6.0

Descrição

Este documento descreve a funcionalidade e o uso adequado da ferramenta DFIRtriage. Também estão incluídas informações detalhadas para ajudar na análise da saída. O objetivo é equipar o Respondente de Incidentes com as ferramentas necessárias para coletar e analisar dados rapidamente.

Sobre

O DFIRtriage é uma ferramenta de resposta a incidentes projetada para fornecer ao Respondente de Incidentes dados rápidos do host. Após a execução, dados e informações selecionados do host serão coletados e colocados no diretório de execução. O DFIRtriage pode ser executado a partir de uma unidade USB ou executado remotamente no host alvo.

O que há de novo na v6.0?

Reestruturação da saída

• Reorganizou os arquivos e diretórios de saída de forma mais lógica

Registro do tempo total de execução

• adicionou o tempo total de execução ao arquivo de log de execução (runlog.txt)

Correções de bugs

• status de saída não zero 1 quando ntuser.dat está ausente de um diretório de perfil de usuário
• agora tenta apenas extrair arquivos bloqueados de diretórios de perfil de usuário onde existe um arquivo ntuser.dat

Argumentos adicionados para artefatos de sistema individuais

• dividir a opção de aquisição de arquivos de sistema em artefatos individuais reduz o tamanho total do arquivo quando você deseja apenas um e não todos os 3. -sdb, --srumdb (banco de dados srum), -hf, --hiberfil (hiberfil.sys), -p, --pagefile (pagefile.sys)

Capacidades aprimoradas de hash de arquivos executáveis

• Gera hash de todos os arquivos .dll e .exe no disco do SO. Recomenda-se desativar a varredura em tempo real do antivírus ao usar os argumentos de hash.

Detalhes do processo em execução

• melhorou as informações do processo em execução para incluir PID, PPID, nome do processo, comando executado para iniciar o processo e arquivos abertos pelo processo.

Despejo da chave BitLocker

• para despejar informações da chave BitLocker do disco do SO, agora você pode passar o argumento -bl ou --bitlocker na linha de comando

Aquisição de memória não é mais ação padrão

• para adquirir memória, você deve passar o argumento -m ou --memory na linha de comando

Prompt do usuário removido ao final da execução

• não é mais necessário designar o argumento -hl ou --headless para ignorar o prompt do usuário final, o script será executado até a conclusão, limpará e sairá sem intervenção do usuário.

Firewall do Windows

• despejando a configuração do firewall do Windows
• análise padrão de eventos-chave do firewall
• extraindo o log completo de eventos do firewall (EVTX) com o argumento -elf

Relatório de conta de usuário aprimorado

• criando um relatório de conta de usuário mais detalhado que inclui SIDs de conta e hora do último logon.

dtfind - requisito de administrador removido

• removeu o requisito de permissões de administrador para executar o dtfind

Atualização de ferramentas de terceiros

• o conjunto de ferramentas core.ir foi atualizado com as versões atuais das ferramentas

IP Externo

• Obtém o endereço IP externo do endpoint

PowerShell

• Agora adquire o histórico do PowerShell para comandos executados pelo SYSTEM
• O arquivo EVTX completo do PowerShell agora é extraído com o argumento -elf, --evtlogfiles

Informações do Sistema

• Novos dados de sistema e rede coletados no relatório WLAN

Logs de Eventos

• Adquire eventos de montagem de unidade virtual (VHD) do log de eventos de operações VHD
• Novos eventos de log adicionados à coleção padrão.
• Extraindo logs de eventos completos do PowerShell e do Firewall com o argumento -elf, --evtlogfiles

Log de eventos do aplicativo

• Eventos WER para falhas de aplicativo apenas (1001)
• Usuário fazendo logon com perfil temporário (1511)
• Não é possível criar perfil usando perfil temporário (1518)
• Eventos de erro de aplicativo, semelhantes a WER/1001. Estes incluem o caminho completo para o EXE/Módulo com falha (1000)
• Eventos de falha/travamento de aplicativo, semelhantes a WER/1001. Estes incluem o caminho completo para o EXE/Módulo com falha (1002)

Log de eventos de segurança

• Ataque de repetição (4649)
• Solicitação de TGT Kerberos (4768)
• Ticket de serviço Kerberos solicitado (4769)
• Renovação de ticket de serviço Kerberos (4770)
• Pré-autenticação Kerberos falhou (4771)
• Estação de trabalho bloqueada (4800)
• Estação de trabalho desbloqueada (4801)
• Protetor de tela foi invocado (4802)
• Protetor de tela foi dispensado (4803)
• Foi feita uma tentativa de alterar a senha de uma conta (4723)
• Uma conta de usuário foi desabilitada (4725)
• Uma conta de usuário foi excluída (4726)
• Criações de grupo (4727, 4731, 4754)
• Remoções de membros de grupo (4729, 4733, 4757)
• Alterações de grupo (4735, 4737, 4755, 4764)
• Uma conta de usuário foi bloqueada (4740)
• Uma conta de computador foi criada (4741)
• Uma conta de computador foi alterada (4742)
• Uma conta de computador foi excluída (4743)
• Histórico de SID (4765, 4766)
• Uma conta de usuário foi desbloqueada (4767)
• ACL definida em contas (4780)
• A hora do sistema foi alterada (4616)
• O ticket de serviço Kerberos foi negado (4821)
• Autenticação NTLM falhou (4822, 4823)
• Pré-autenticação Kerberos falhou (4824)
• Serviços de Certificados receberam uma solicitação de certificado (4886)
• Serviços de Certificados aprovaram uma solicitação de certificado (4887)
• Um modelo dos Serviços de Certificados foi atualizado (4899)
• A segurança do modelo dos Serviços de Certificados foi atualizada (4900)
• A política Kerberos foi alterada (4713)
• Uma operação foi executada em um objeto (4662)

Log de eventos do PowerShell

• Atividade de bloco de execução do PowerShell (4103)
• Comando Remoto (4104)

Log de eventos do Firewall do Windows

Modificações Locais (Níveis 0, 2, 4) (2004, 2005, 2006, 2009, 2033)

Dependências

O repositório da ferramenta contém o conjunto completo de ferramentas necessário para a execução adequada e é empacotado em um único arquivo chamado core.ir. Este arquivo .ir é a única dependência necessária do DFIRtriage quando executado em Python e deve residir em um diretório chamado data (ex.: ./data/core.ir). A versão compilada do DFIRtriage possui o conjunto completo de ferramentas embutido e não requer a adição do arquivo ./data/core.ir.

Operação

O DFIRtriage adquire dados do host no qual é executado. Execuções presenciais são melhor realizadas a partir de um dispositivo USB. Para aquisições de hosts remotos, os arquivos do DFIRtriage precisarão ser copiados para o alvo e depois executados via shell remoto (ex.: SSH ou PSEXEC).

Uso do PSEXEC

AVISO: Não use argumentos PSEXEC para passar credenciais para um sistema remoto para autenticação. Fazer isso enviará seu nome de usuário e senha pela rede em texto claro.

Os seguintes passos devem ser seguidos para o uso adequado do PSEXEC

1. Mapeie uma unidade de rede e autentique-se com uma conta que tenha privilégios administrativos locais no host alvo.

Você pode usar esta conexão mapeada para copiar o DFIRtriage para o alvo.

2. Agora podemos abrir um shell remoto no host alvo usando PSEXEC.

   psexec \\target\_host cmd

3. Agora você tem um shell remoto no alvo. Todos os comandos executados a partir deste ponto são feitos no host alvo.

Uso