k1nd0ne/volwebЦентрализованная и улучшенная платформа анализа памяти
VolWeb — это платформа цифрового криминалистического анализа памяти, использующая возможности фреймворка Volatility 3. Она предназначена для помощи в расследованиях и реагировании на инциденты.
Цель VolWeb — повысить эффективность сбора памяти и криминалистического анализа, предоставляя централизованное, визуальное и улучшенное веб-приложение для специалистов по реагированию на инциденты и цифровых криминалистов. Как только следователь получает образ памяти с системы Linux или Windows (Mac вскоре будет поддерживаться), улики могут быть загружены в VolWeb, что запускает автоматическую обработку и извлечение артефактов с помощью возможностей фреймворка Volatility 3.
Используя гибридные технологии хранения, VolWeb также позволяет специалистам по реагированию напрямую загружать образы памяти на платформу VolWeb из различных мест с помощью специальных скриптов, взаимодействующих с платформой и поддерживаемых сообществом. Ещё одна цель — дать пользователям возможность собирать техническую информацию, такую как индикаторы, которые впоследствии можно импортировать в современные CTI-платформы, например OpenCTI, тем самым связывая вашу команду по реагированию на инциденты и команду CTI после расследования.
Документация проекта доступна в Вики. Там вы сможете развернуть инструмент в вашей среде расследования или лаборатории.
[!IMPORTANT] Уделите время чтению документации, чтобы избежать распространённых проблем с настройкой.
Краткое заявление: VolWeb предназначен для использования совместно с CLI фреймворка volatility3; он предлагает другой способ просмотра и исследования некоторых результатов и не выполнит всю углублённую работу по анализу за вас.
Ваши улики загружаются на платформу VolWeb, и по умолчанию используется анализ файловой системы для наилучшей производительности. Но вы также можете привязать улики из облачного хранилища (AWS/MINIO) и связать их с вашими делами, чтобы выполнять анализ непосредственно в облаке.
Функция исследования — одна из ключевых функций VolWeb. Она предоставляет обзор доступных артефактов, извлечённых пользовательским движком volatiltiy3 в бэкенде. Если доступно, вы можете визуализировать дерево процессов и получить базовую информацию о каждом процессе, сбросить их и т. д. Вы также получаете расширенный просмотр результатов всех плагинов по категориям.
« Защитники мыслят списками. Злоумышленники мыслят графами. Пока это так, злоумышленники побеждают. »
Функция графового анализа появилась в VolWeb 3.0 для расследований на Windows (вскоре будет и для Linux). Она позволяет эксперту по криминалистике памяти исследовать потенциально подозрительные процессы в виде графа, предоставляя другой способ взглянуть на данные, а также коррелировать плагины volatility3 для получения большего контекста.
Когда эксперт обнаруживает вредоносную активность, VolWeb даёт возможность создавать индикаторы STIX V2 прямо из интерфейса и централизовать их в вашем деле. После закрытия дела вы можете сгенерировать STIX-пакет и поделиться своими индикаторами с сообществом, используя CTI-платформы, такие как MISP или OpenCTI.
VolWeb интегрирует сканирование YARA для обнаружения шаблонов и сигнатур вредоносного ПО в дампах памяти. Вы можете создавать правила вручную, импортировать их из файлов .yar или репозиториев GitHub, или вставлять существующие правила прямо в редактор. Правила можно организовать в наборы правил для лучшего управления и группового сканирования.
Интерфейс сканирования позволяет гибко выбирать наборы правил, отдельные правила или пользовательские комбинации. Результаты отображаются в сетке с возможностью поиска, показывающей смещения в памяти и совпадающее содержимое. VolWeb автоматически сохраняет ваш последний скан, обеспечивая быстрый доступ к последнему результату без повторного запуска поиска.
VolWeb предоставляет REST API для взаимодействия аналитиков с платформой. На платформе доступен Swagger для получения полной документации. Существует отдельный репозиторий с скриптами, поддерживаемыми сообществом: https://github.com/forensicxlab/VolWeb-Scripts .
VolWeb использует Django в бэкенде. Управляйте своими пользователями и базой данных прямо из панели администратора.
Если вы обнаружили ошибку или хотите предложить новую функцию, пожалуйста, создайте обсуждение, чтобы мы могли быстро их обработать. Пожалуйста, прикладывайте логи к любым проблемам, с которыми вы сталкиваетесь.
VolWeb открыт для вклада. Следуйте руководству по участию в документации, чтобы предлагать новые функции.
Свяжитесь по адресу [email protected] или [email protected] по любым вопросам, касающимся этого инструмента.
Ознакомьтесь с дорожной картой
Ознакомьтесь с обсуждениями
Software Engineering Laboratory, SERLAB
Software Engineering & Practices, SER&P
