#1Инструменты для анализа жестких дисков, твердотельных накопителей и других носителей информации для восстановления данных и артефактов.
Рекомендация Kitploit
orlikoski/skadiСобирайте, обрабатывайте и проводите охоту с использованием данных с узлов под управлением MacOS, Windows и Linux.
libyal/libvmdkБиблиотека и инструменты для доступа к формату VMware Virtual Disk (VMDK)
ccob/volumiserCLI и интерактивная консоль для перечисления, просмотра и извлечения файлов из образов дисков виртуальных машин (VHDX, VMDK, EBS-снимки, raw-диски)…
libyal/libvhdiБиблиотека и инструменты для доступа к формату образов виртуальных жёстких дисков (VHD)
korczis/foremostУтилита для восстановления файлов (file carving), которая извлекает удалённые файлы из образов дисков и raw-накопителей путём сопоставления…
dwmetz/cyberpipeПростой в использовании скрипт PowerShell для сбора данных о памяти и диске для расследований DFIR.
jschicht/rawcopyКомандная строка низкоуровневого извлечения файлов для NTFS
gregwar/fatcatИнструмент для исследования, извлечения данных, восстановления и судебной экспертизы файловых систем FAT
libyal/libvshadowБиблиотека и инструменты для доступа к формату Volume Shadow Snapshot (VSS)
kfallahi/underlaycopyНабор инструментов PowerShell для извлечения заблокированных файлов Windows (SAM, SYSTEM, NTDS, ...) с помощью парсинга MFT и прямого чтения диска
jschicht/logfileparserПарсер для $LogFile на NTFS
nmht3t/rawhiveBOF для Cobalt Strike, который извлекает выбранные кусты реестра Windows напрямую с необработанного тома NTFS, анализируя метаданные NTFS и читая…
trustedsec/tscopyИнструмент на Python, который анализирует NTFS $MFT для копирования заблокированных файлов во время реагирования на инциденты, обходя блокировки ОС…
ghassan-elsman/crow-eyeКриминалистический движок Windows с открытым исходным кодом, который выполняет сбор, разбор и корреляцию артефактов (MFT, USN, реестр и т. д.) для…
la3ar0v/tuxresponseАвтоматизированный скрипт реагирования на инциденты для Linux с живым триажем, сбором памяти (LiME), созданием образов дисков, сканированием YARA и…
dmtrkovalenko/ffsF*ck file system — инструмент поиска файлов в командной строке, который обходит ядро ОС и читает ваш диск напрямую
alex-cart/leafФреймворк для сбора цифровых доказательств в Linux
jschicht/extractusnjrnlИнструмент для извлечения $UsnJrnl из NTFS тома
