memOptix

Эта Jupyter-тетрадь создана для помощи специалистам DFIR в триажировании дампов памяти Windows.

Обратите внимание, что эта тетрадь создана на основе выходных данных, генерируемых Python-скриптом Supermem от CrowdStrike (https://github.com/CrowdStrike/SuperMem). Перед запуском этой тетради следует выполнить режим триажа 2 или 3 SuperMem для дампа памяти. В составе тетради также предусмотрена отдельная ячейка для обработки Volatility, если вы решите запустить Volatility интерактивно для генерации требуемых выходных данных.

В этой тетради используются следующие проекты с открытым исходным кодом:

https://github.com/microsoft/msticpy

https://github.com/volatilityfoundation/volatility3

https://github.com/CrowdStrike/SuperMem

Автор: J Marasinghe

Предварительные требования

• Python 3.8 или выше
• Volatility3
• Для поддержки обогащений MSTICPY требуются следующие API-ключи: GeoIPLite, GreyNoise и OTX

Использование

1. git clone https://github.com/blueteam0ps/memOptix.git
2. Обновите msticpyconfig.yaml и добавьте API-ключи, описанные в предварительных требованиях
3. Откройте memOptix-analyst.ipynb в Jupyter и следуйте инструкциям внутри тетради
4. Если вы не планируете запускать Supermem и хотите сгенерировать CSV-файлы, необходимые для тетради, запустите следующую ячейку. Если CSV-файлы уже есть, обновите путь, как указано в инструкции, и пропустите генерацию CSV.

Скриншоты

Автор изображения Иконки памяти созданы Darius Dan - Flaticon