visma-prodsec/columboFerramenta de análise forense assistida por ML que automatiza a triagem de memória, disco e sistema ativo no Windows usando Volatility 3, autorunsc e sigcheck para detectar comportamento adversário e artefatos comprometidos.
Columbo é uma ferramenta de análise forense computacional usada para simplificar e identificar padrões específicos em conjuntos de dados comprometidos. Ela divide os dados em pequenas seções e utiliza reconhecimento de padrões e modelos de aprendizado de máquina para identificar o comportamento de adversários e suas possíveis localizações em plataformas Windows comprometidas na forma de sugestões. Atualmente, o Columbo opera na plataforma Windows.
Columbo depende do volatility 3, autorunsc.exe e sigcheck.exe para extrair dados. Portanto, os usuários devem baixar essas ferramentas dependentes e colocá-las na pasta \Columbo\bin. Certifique-se de ler e entender a seção de licença (ou o arquivo License.txt) antes de baixar qualquer coisa. A saída (dados) gerada por essas ferramentas é automaticamente canalizada para o motor principal do Columbo. Ele a divide em pequenas seções, pré-processa e aplica modelos de aprendizado de máquina para classificar a localização do sistema comprometido, arquivos executáveis e outros comportamentos.
Vídeos
Instalação e Configuração
Executável - Binário
NB: Para evitar erros, a estrutura de diretórios deve ser \Columbo\bin\volatility3-master , \Columbo\bin\autorunsc.exe e \Columbo\bin\sigcheck.exe
Por fim, clique duas vezes em "main.exe" dentro de \Columbo.
Código Fonte
NB: Para evitar erros, a estrutura de diretórios deve ser \Columbo\bin\volatility3-master , \Columbo\bin\autorunsc.exe e \Columbo\bin\sigcheck.exe
Por fim, vá ao cmd e execute python.exe \Columbo\main.py
O Columbo usa pré-processamento de dados para organizar os dados e modelos de aprendizado de máquina para identificar comportamentos suspeitos. Suas saídas são 1 (suspeito) ou 0 (genuíno) - na forma de sugestões, puramente para auxiliar os examinadores forenses digitais em suas tomadas de decisão. Treinamos os modelos com diferentes exemplos para maximizar a precisão e usamos diferentes abordagens para minimizar falsos positivos. No entanto, ainda ocorrem falsos positivos (detecção falsa) e, por isso, estamos comprometidos em atualizar os modelos periodicamente.
Não é fácil reduzir falsos positivos (detecção falsa), especialmente quando lidamos com aprendizado de máquina. A saída gerada pelos modelos de aprendizado de máquina pode ser um falso positivo dependendo da qualidade dos dados usados para treinar os modelos. No entanto, para auxiliar os examinadores forenses em sua investigação, o Columbo gera pontuações percentuais para cada 1 (suspeito) e 0 (genuíno). Essa abordagem ajuda os examinadores a selecionar o caminho, comando ou processos que o Columbo classifica como suspeitos.
Opção 2
Análise ao vivo - rastreabilidade de arquivos e processos. Esta opção analisa os processos em execução do Windows para identificar atividades maliciosas em execução, se houver. O Columbo usa o autorunsc.exe para extrair os dados da máquina; as saídas são canalizadas para modelos de aprendizado de máquina e mecanismos de reconhecimento de padrões para classificar atividades suspeitas. Posteriormente, as saídas são salvas em \Columbo\ML\Step-2-results na forma de arquivos Excel para análise posterior. Além disso, os usuários têm opções para examinar processos em execução. O resultado contém informações como rastreabilidade de processos, comandos associados a cada processo - se aplicável - e se os processos são ou não responsáveis por executar novos processos.
Opção 3
Digitalizar e analisar arquivo de imagem de disco rígido (.vhdx): Esta opção recebe caminhos de imagem de disco rígido montada do Windows. Ela usa sigcheck.exe para extrair dados dos sistemas de arquivos. Em seguida, os resultados são canalizados para modelos de aprendizado de máquina para classificar atividades suspeitas. Além disso, as saídas são salvas em \Columbo\ML\Step-3-results na forma de arquivos Excel.
Opção 4
Análise de imagem de memória automática ou manual
Análise manual de imagem de memória
Análise forense de memória. Nesta opção, o Columbo recebe o caminho da imagem de memória e as seguintes opções são apresentadas para seleção do usuário.
Informações da Memória: O Volatility 3 é usado para extrair informações sobre a imagem.
Escaneamento de Processos: O Volatility 3 é usado para extrair informações de processos, DLLs e handles de cada processo. Em seguida, o Columbo usa mecanismos de agrupamento e clusterização para agrupar cada processo de acordo com seus processos pais. Esta opção é posteriormente usada pela rastreabilidade de processos na opção de Detecção de Anomalias.
Árvore de Processos: O Volatility 3 é usado para extrair a árvore de processos dos processos.
Detecção de Anomalias e Rastreabilidade de Processos: O Volatility 3 é usado para extrair uma lista de processos de Detecção de Anomalias. No entanto, o Columbo oferece uma opção chamada Rastreabilidade de Processos para examinar cada processo separadamente e produz coletivamente as seguintes informações.
Análise automática de imagem de memória
Tudo acima, mas de forma automatizada.
Licença MIT
Columbo
Copyright 2020 Visma
Permission is hereby granted, free of charge, to any person obtaining a copy of this software and associated documentation files (the "Software"), to deal in the Software without restriction, including without limitation the rights to use, copy, modify, merge, publish, distribute, sublicense, and/or sell copies of the Software, and to permit persons to whom the Software is furnished to do so, subject to the following conditions:
The above copyright notice and this permission notice shall be included in all copies or substantial portions of the Software.
THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE.
Ferramentas de terceiros
