travisfoley/dfirtriageИнструмент для цифрового сбора криминалистических данных при реагировании на инциденты на базе Windows.
Инструмент для сбора цифровых криминалистических данных для реагирования на инциденты в ОС Windows.
Чтобы запустить, поместите dfirtriage.exe на целевой компьютер или подключенный USB-накопитель и выполните с правами администратора, справка по -h.
В этом документе описываются функциональность и правильное использование инструмента DFIRtriage. Также включена подробная информация, помогающая в анализе выходных данных. Цель — предоставить специалисту по реагированию на инциденты инструменты, необходимые для быстрого сбора и анализа данных.
DFIRtriage — это инструмент реагирования на инциденты, предназначенный для быстрого получения данных с хоста. При запуске выбранные данные и информация с хоста собираются и помещаются в каталог выполнения. DFIRtriage может запускаться с USB-накопителя или удаленно на целевом хосте.
Реструктуризация вывода
Логирование общего времени выполнения
Исправления ошибок
Добавлены аргументы для отдельных системных артефактов
-sdb, --srumdb (база данных SRUM), -hf, --hiberfil (hiberfil.sys), -p, --pagefile (pagefile.sys)Улучшенные возможности хеширования исполняемых файлов
Детали запущенных процессов
Дампинг ключа BitLocker
-bl или --bitlocker в командной строкеСбор памяти больше не является действием по умолчанию
-m или --memory в командной строкеУдален запрос пользователя в конце выполнения
-hl или --headless для пропуска завершающего запроса пользователя; скрипт выполняется до конца, выполняет очистку и завершает работу без вмешательства пользователя.Брандмауэр Windows
-elfУлучшенный отчет об учетных записях пользователей
dtfind — требование администратора снято
Обновление сторонних инструментов
Внешний IP
PowerShell
-elf, --evtlogfilesСистемная информация
Журналы событий
-elf, --evtlogfilesЖурнал событий приложений
Журнал событий безопасности
Журнал событий PowerShell
Журнал событий брандмауэра Windows
Локальные изменения (уровни 0, 2, 4) (2004, 2005, 2006, 2009, 2033)
Репозиторий инструмента содержит полный набор инструментов, необходимый для правильного выполнения, и упакован в один файл с именем core.ir. Этот файл .ir является единственной необходимой зависимостью DFIRtriage при работе в Python и должен находиться в каталоге с именем data (например, ./data/core.ir). Скомпилированная версия DFIRtriage содержит встроенный полный набор инструментов и не требует дополнительного файла ./data/core.ir.
DFIRtriage собирает данные с хоста, на котором выполняется. При непосредственном использовании лучше всего выполнять с USB-устройства. Для сбора с удаленных хостов файлы DFIRtriage необходимо скопировать на целевой хост, затем выполнить через удаленную оболочку (например, SSH или PSEXEC).
ПРЕДУПРЕЖДЕНИЕ: Не используйте аргументы PSEXEC для передачи учетных данных на удаленную систему для аутентификации. Это приведет к отправке вашего имени пользователя и пароля по сети в открытом виде.
Для правильного использования PSEXEC необходимо выполнить следующие шаги
Вы можете использовать это подключение для копирования DFIRtriage на целевой хост.
Теперь мы можем перекинуть удаленную оболочку на целевой хост с помощью PSEXEC.
psexec \\target\_host cmd
Теперь у вас есть удаленная оболочка на целевом хосте. Все команды, выполняемые в этот момент, выполняются на целевом хосте.
Использование
После установки удаленной оболочки на целевом хосте вы можете перейти в каталог с извлеченным файлом DFIRtriage.exe и выполнить его.
Сбор памяти не выполняется по умолчанию. Для дампа памяти передайте следующий аргумент: -m, --memory
DFIRtriage необходимо выполнять с правами администратора.