johnng007/live-forensicatorКроссплатформенный набор инструментов для реагирования на инциденты и живой криминалистики со встроенным обнаружением, структурированным анализом и генерацией отчётов — разработан для быстрых и действенных расследований безопасности.
Создан для быстрых, структурированных и практически применимых криминалистических расследований.
Forensicator — это кроссплатформенный набор инструментов для реагирования на инциденты и live-криминалистики.
Он создан, чтобы помочь экспертам по компьютерной криминалистике и специалистам по реагированию на инциденты быстро собирать, анализировать и интерпретировать системные артефакты в ходе исследования работающих систем.
Forensicator:
👉 https://github.com/Johnng007/Live-Forensicator/tree/main/Windows
👉 https://github.com/Johnng007/Live-Forensicator/tree/main/MacOS
⚠️ Примечание: macOS ограничивает телеметрию создания процессов своим Endpoint Security Framework, к которому обычный скрипт не имеет доступа, — поэтому покрытие Sigma здесь уже, чем в Windows/Linux. Подробности см. в README для macOS.
👉 https://github.com/Johnng007/Live-Forensicator/tree/main/Linux
⚠️ Примечание: скрипты для Linux разработаны так, чтобы избегать нештатных утилит (например,
net-tools) ради максимальной совместимости. Покрытие Sigma зависит от того, настроен лиauditdна целевой системе, — см. README для Linux.
Forensicator создаёт:
Это обеспечивает быстрый переход от сбора данных → расследования → принятия решений.
config.jsonForensicator поддерживает опциональное шифрование собранных артефактов с помощью AES.
Это полезно, когда:
⚠️ Доступно в Windows, Linux и macOS ⚠️ Обратная совместимость с версиями до v4.1.1 не поддерживается
Отключено по умолчанию. При включении каждая находка по мере сбора отправляется локальной или коммерческой LLM и получает настоящее заключение на понятном языке, которое отображается прямо во всплывающей подсказке отчёта.
Быстрая настройка (локальная LLM через Ollama), в настоящее время — Windows:
# 1. Install Ollama (https://ollama.com) and pull a model
ollama pull mistral:7b-instruct
// 2. Enable it in config.json
"ai": {
"enabled": true,
"provider": "ollama",
"base_url": "http://localhost:11434",
"model": "mistral:7b-instruct"
}
Предпочитаете вместо этого коммерческий API (OpenAI, Anthropic, Azure OpenAI или любую OpenAI-совместимую конечную точку)? Установите соответствующий provider и добавьте свой api_key.
📘 Полное руководство по настройке (все провайдеры, тонкая настройка, устранение неполадок): opendocs.forensicator.io
Forensicator выявляет подозрительную активность с помощью:
Полный журнал изменений: 👉 https://opendocs.forensicator.io/changelog/
Windows: v4.2.0 (August 2026)
- NEW: Forensicator AI — optional, per-finding AI verdicts from a local (Ollama) or commercial LLM (OpenAI, Anthropic, Azure OpenAI, or any OpenAI-compatible endpoint), shown right in the report's tooltip. Off by default.
- NEW: Investigation Summary — a cross-finding case rollup with an overall risk score, reconstructed timeline, attack chain, evidence correlation, and recommended next steps, computed from every finding in the run.
- FIX: Investigation Summary's overall risk score no longer inflated by routine, always-present findings (services, scheduled tasks, browser history, running processes, RDP logins, and similar) that carry no evidence of actual compromise — a clean host with zero detections now correctly scores Low instead of High/Critical.
- FIX: Improvements and bug fixes.
Windows: v4.1.7 (July 2026)
- NEW: Added support for PowerShell v5.
- NEW: Active Directory detection module (Domain Controllers only) — NTDS database integrity, SYSVOL/GPO script analysis, privileged group membership, KRBTGT account age, SPN/Kerberoasting exposure, Kerberos delegation, DCSync rights enumeration, DC-specific privileged/Kerberos event collection, and WMI permanent event subscription detection.
- NEW: Microsoft SQL Server detection module — dangerous configuration options (xp_cmdshell, OLE Automation Procedures, CLR), sysadmin/sa account review, linked servers, TRUSTWORTHY databases, SQL Agent job persistence checks, and login failure event collection.
- NEW: Microsoft SharePoint Server detection module — webshell/dropped-file scanning, suspicious IIS worker process (w3wp.exe) child processes, web.config ViewState/machineKey misconfiguration review, and known exploit URI matching in IIS logs.
- FIX: Sigma rule engine returning zero findings on PowerShell 5.1 due to a ConvertFrom-Json array-unrolling difference between PS5.1 and PS7.
- FIX: HTML report rendering broken on PowerShell 5.1 caused by inconsistent Out-File encoding (UTF-16 vs UTF-8) between PowerShell versions.
- FIX: Friendlier error handling when manage-bde.exe is unavailable during BitLocker key extraction.
- FIX: Improvements and bug fixes.
Вклад приветствуется.
Live-Forensicator — это программное обеспечение с открытым исходным кодом, распространяемое под лицензией Apache License 2.0.
Авторские права © 2026 Raptormatics.
Вы можете свободно использовать, воспроизводить, изменять и распространять Live-Forensicator в соответствии с условиями Apache License 2.0.
Полный текст лицензии см. в файле LICENSE.
Live-Forensicator может включать сторонние инструменты, библиотеки, скрипты или компоненты либо взаимодействовать с ними, которые распространяются под собственными лицензиями. Эти лицензии остаются применимыми к соответствующим компонентам.
Пользователи несут ответственность за соблюдение применимых лицензий и условий любых сторонних компонентов, которые они используют вместе с Live-Forensicator.