memOptix

此 Jupyter 笔记本旨在协助 DFIR 专业人员对 Windows 内存转储进行分诊。

请注意，此笔记本是根据 CrowdStrike 的 Supermem Python 脚本（https://github.com/CrowdStrike/SuperMem）生成的输出而创建的。在运行此笔记本之前，请先对内存转储运行 SuperMem 分诊模式 2 或 3。如果您决定以交互方式对内存转储运行 Volatility 以生成所需输出，此笔记本中还提供了一个单独的 Volatility 处理单元格。

此笔记本使用了以下开源项目：

https://github.com/microsoft/msticpy

https://github.com/volatilityfoundation/volatility3

https://github.com/CrowdStrike/SuperMem

作者 : J Marasinghe

先决条件

• Python 3.8 或更高版本
• Volatility3
• 需要以下 API 密钥来 支持 MSTICPY 的富化功能。GeoIPLite、GreyNoise 和 OTX

使用方法

1. git clone https://github.com/blueteam0ps/memOptix.git
2. 更新 msticpyconfig.yaml，并包含先决条件中所述的 API 密钥。
3. 在 Jupyter 中打开 memOptix-analyst.ipynb，并按照笔记本内的说明进行操作。
4. 如果您不打算运行 Supermem，但希望生成该笔记本所需的 CSV，请运行以下单元格。如果您已有 CSV，则请按说明更新路径并跳过 CSV 生成。

截图

图片来源 由 Darius Dan 创建的记忆图标 - Flaticon