FastFinder

Легковесный инструмент реагирования на инциденты для охоты за угрозами и форензического триажа

✨ Обзор

FastFinder — это мощный, легковесный инструмент реагирования на инциденты, разработанный для специалистов по кибербезопасности, занимающихся охотой за угрозами, живой форензикой и триажем конечных точек. Созданный для платформ Windows и Linux, он превосходно справляется с быстрым обнаружением подозрительных файлов с использованием множества критериев обнаружения.

🔍 Ключевые возможности обнаружения

• Обнаружение на основе пути: сопоставление путей и имен файлов
• Проверка хешей: проверка контрольных сумм MD5, SHA1 и SHA256
• Анализ содержимого: простой поиск строк и сложная оценка правил YARA
• Кроссплатформенность: нативная совместимость с Windows и Linux

🛡️ Проверено в бою

• ✅ Готов к продакшену: успешно применялся в реальных сценариях реагирования на инциденты
• ✅ Подтверждено индустрией: используется множеством команд CERT, CSIRT и SOC
• ✅ Обширные примеры: включает реальные образцы вредоносного ПО и сценарии сканирования уязвимостей

📸 Скриншоты

Базовый пользовательский интерфейс

Выбор конфигурации

Результаты сканирования и совпадения

🚀 Установка

Быстрый старт (рекомендуется)

📥 Скачать последний релиз

Сборка из исходников

⚠️ Примечание: Компиляция требует CGO и зависимостей YARA. Смотрите руководства для конкретных платформ:

• 🪟 Windows: Руководство по компиляции
• 🐧 Linux: Руководство по компиляции

Установка через Docker (без зависимостей!)

Самый простой способ собрать FastFinder без установки каких-либо зависимостей:

# Сборка бинарных файлов для Linux и Windows
cd docker
make build-binaries

# Бинарные файлы будут в ./bin/
# - fastfinder-linux-amd64
# - fastfinder-windows-amd64.exe

Контейнер времени выполнения Docker

Запустите FastFinder внутри привилегированного контейнера Docker для сканирования томов или смонтированных файловых систем:

# Сборка образа времени выполнения (включает FastFinder + YARA + редакторы)
.\docker-helper.ps1 build-runtime

# Запуск сканирования с указанием каталога конфигурации
.\docker-helper.ps1 run-runtime -ConfigPath "C:\path\to\config_folder" -ScanPath "C:\data\to\scan"

# Интерактивный режим оболочки (без сканирования, только доступ к оболочке)
.\docker-helper.ps1 run-runtime -Interactive

Требования

• Время выполнения: не требуется зависимостей для предварительно скомпилированных бинарных файлов
• Компиляция: Go 1.24+, CGO, libyara
• Права: рекомендуется административный доступ для полного доступа к системе

📖 Использование

Интерфейс командной строки

fastfinder [ОПЦИИ]

Доступные опции

Опция	Описание	По умолчанию
-h, --help	Вывести справку
-c, --configuration <файл конфигурации yaml>	Путь к файлу конфигурации
-b, --build <выходной исполняемый файл>	Создать автономный бинарник со встроенной конфигурацией (только архитектура x64)
-r, --root <Путь>	Корневой путь сканирования (переопределяет перечисление дисков)
-s, --silent	Тихий режим — запуск без видимого окна или консоли
-v, --verbosity <уровень детализации>	Уровень детализации логов (1-5)	3
-t, --triage	Режим непрерывного мониторинга	false

Уровни детализации

• Уровень 1: только оповещения
• Уровень 2: оповещения и предупреждения
• Уровень 3: оповещения и ошибки (по умолчанию)
• Уровень 4: оповещения, ошибки и операции ввода-вывода
• Уровень 5: полная детализация (для отладки или очень подробного логирования)

Быстрые примеры

# Базовое сканирование с файлом конфигурации
./fastfinder -c config.yaml

# Режим непрерывного мониторинга
./fastfinder -c config.yaml -t

# Создание автономного исполняемого файла (только архитектура x64)
./fastfinder -c config.yaml -b standalone_scanner.exe

💡 Совет: FastFinder может работать с правами обычного пользователя, но административный доступ предоставляет доступ ко всем системным файлам.

Сканируйте и экспортируйте совпадения в соответствии с вашими потребностями

Примеры конфигураций доступны здесь. Ниже приведен полный пустой шаблон конфигурации. Вам не нужно реализовывать каждый атрибут, если вы не используете всё.