🛡️ Forensicator 🛡️

跨平台事件响应与实时取证工具包
Windows (PowerShell) | Linux (Bash) | macOS (Shell)

专为快速、结构化且可操作的取证调查而构建。

🤔 简介

Forensicator 是一个跨平台的事件响应与实时取证工具包。

它旨在帮助取证调查人员和事件响应人员在实时调查期间快速收集、分析和解读系统痕迹。

Forensicator 可以：

• 收集系统和用户活动数据
• 检测异常行为和可疑指标
• 突出显示潜在的失陷或错误配置
• 生成结构化、可直接用于调查的 HTML 报告

⚙️ 平台支持

🖳 Windows (PowerShell)

• 高级事件日志分析
• 通过已知事件 ID 检测可疑活动
• Sigma 规则引擎（1,400+ 条社区规则），针对安全/Sysmon 事件日志进行评估
• 恶意软件哈希匹配（例如 abuse.ch 源）
• 浏览器历史分析及 IOC 匹配
• 可选痕迹加密（AES）
• 检测洞察（Detection Insight）— 检测摘要、重要性、检测逻辑、需要关注的内容及其 MITRE 映射
• 调查存档 + 面向 Forensicator Enterprise 的结构化 JSON 输出
• Forensicator AI — 可选的逐项 AI 判定，来自本地 (Ollama) 或商业 LLM，显示在报告的工具提示中

👉 https://github.com/Johnng007/Live-Forensicator/tree/main/Windows

🍎 macOS (Shell)

• 检测引擎涵盖反弹 Shell、SIP/Gatekeeper/kext 篡改、PATH 劫持、已删除二进制文件执行、凭据时间戳篡改等
• 尽力而为的 Sigma 规则引擎，源自真实的 SigmaHQ 社区规则，针对统一日志进行评估
• 恶意软件哈希匹配和浏览器历史 IOC 匹配，支持自动更新 abuse.ch/URLhaus 源
• FileVault、SIP、Gatekeeper、TCC 和签名系统卷完整性检查
• 应用程序代码签名验证
• 可选痕迹加密（AES）
• 调查存档 + 面向 Forensicator Enterprise 的结构化 JSON 输出

👉 https://github.com/Johnng007/Live-Forensicator/tree/main/MacOS

⚠️ 注意：macOS 将真实的进程创建遥测限制在其 Endpoint Security Framework 中，普通脚本无法访问 — 因此这里的 Sigma 覆盖率比 Windows/Linux 更窄。有关详细信息，请参阅 macOS README。

🐧 Linux (Bash)

• 跨发行版兼容的 Bash 脚本，无非原生依赖
• 检测引擎涵盖反弹 Shell、时间戳篡改、PATH 劫持、已删除二进制文件执行、软件包完整性等
• Sigma 规则引擎源自真实的 SigmaHQ 社区规则，在可用时针对 auditd 和 journald 进行评估
• 恶意软件哈希匹配和恶意 URL 匹配，支持自动更新 abuse.ch/URLhaus 源
• LUKS 磁盘加密状态和凭据文件篡改时间线
• 可选痕迹加密（AES）
• 面向 Forensicator Enterprise 的结构化 JSON 输出

👉 https://github.com/Johnng007/Live-Forensicator/tree/main/Linux

⚠️ 注意：Linux 脚本设计为避免使用非原生工具（例如 net-tools），以实现最大兼容性。Sigma 覆盖率取决于目标机器上是否已配置 auditd — 请参阅 Linux README。

🔍 主要功能

• 跨平台取证痕迹收集
• 在每个平台上检测可疑活动和异常
• 事件日志分析（Windows）
• 所有三个平台均集成 Sigma 规则 — 覆盖范围和数据源因操作系统而异；请参阅下方各平台章节及其各自的 README
• 恶意软件哈希和 IOC 匹配，支持自动更新威胁情报源
• 结构化 HTML 报告（含仪表板）
• 可选痕迹加密（Windows、Linux 和 macOS）
• 带 MITRE 映射的检测洞察（Detection Insight）
• Forensicator AI — 可选的逐项 AI 判定，来自本地 (Ollama) 或商业 LLM（目前支持 Windows；其他平台正在规划中）

📊 输出

Forensicator 会生成：

• 简洁、结构化的 HTML 报告
• 带索引的调查结果，便于导航
• 本地存储的已提取痕迹
• 对每个调查结果的检测洞察
• 带 Sigma 规则的可疑活动统计

这实现了从数据收集 → 调查 → 决策的快速过渡。

⚠️ 重要说明

• 以提升/特权权限运行脚本以获得最佳结果
• 活动可能触发 IDS/IPS 警报 — 这是预期行为
• 外部威胁情报（哈希、IOC）可能在执行期间更新
• 可通过 config.json 自定义配置

🔐 痕迹完整性与加密

Forensicator 支持使用 AES 对收集的痕迹进行可选加密。

这在以下情况下很有用：

• 证据需要安全传输时
• 存在证据保管链（chain-of-custody）顾虑时
• 需要保持痕迹的法律完整性时

⚠️ 适用于 Windows、Linux 和 macOS ⚠️ 不兼容 v4.1.1 之前的版本

🤖 Forensicator AI

默认关闭。启用后，每个调查结果在收集时会发送到本地或商业 LLM，并获得真实、通俗易懂的判定，直接显示在报告的工具提示中。

快速设置（通过 Ollama 使用本地 LLM），目前适用于 Windows：

# 1. Install Ollama (https://ollama.com) and pull a model
ollama pull mistral:7b-instruct

// 2. Enable it in config.json
"ai": {
  "enabled": true,
  "provider": "ollama",
  "base_url": "http://localhost:11434",
  "model": "mistral:7b-instruct"
}

更喜欢商业 API（OpenAI、Anthropic、Azure OpenAI 或任何兼容 OpenAI 的端点）？请相应地设置 provider 并添加你的 api_key。

📘 完整设置指南（所有提供商、调优、故障排除）：opendocs.forensicator.io

🧠 检测能力

Forensicator 通过以下方式识别可疑活动：

• 事件日志分析
• 基于 Sigma 的检测
• 恶意哈希匹配
• 基于 IOC 的 URL 分析（浏览器历史）

📸 截图

终端输出

HTML 仪表板

带 Forensicator AI 的终端输出

AI 分析

✨ 更新日志

完整更新日志： 👉 https://opendocs.forensicator.io/changelog/

Windows: v4.2.0 (August 2026)
- NEW: Forensicator AI — optional, per-finding AI verdicts from a local (Ollama) or commercial LLM (OpenAI, Anthropic, Azure OpenAI, or any OpenAI-compatible endpoint), shown right in the report's tooltip. Off by default.
- NEW: Investigation Summary — a cross-finding case rollup with an overall risk score, reconstructed timeline, attack chain, evidence correlation, and recommended next steps, computed from every finding in the run.
- FIX: Investigation Summary's overall risk score no longer inflated by routine, always-present findings (services, scheduled tasks, browser history, running processes, RDP logins, and similar) that carry no evidence of actual compromise — a clean host with zero detections now correctly scores Low instead of High/Critical.
- FIX: Improvements and bug fixes.

Windows: v4.1.7 (July 2026)
- NEW: Added support for PowerShell v5.
- NEW: Active Directory detection module (Domain Controllers only) — NTDS database integrity, SYSVOL/GPO script analysis, privileged group membership, KRBTGT account age, SPN/Kerberoasting exposure, Kerberos delegation, DCSync rights enumeration, DC-specific privileged/Kerberos event collection, and WMI permanent event subscription detection.
- NEW: Microsoft SQL Server detection module — dangerous configuration options (xp_cmdshell, OLE Automation Procedures, CLR), sysadmin/sa account review, linked servers, TRUSTWORTHY databases, SQL Agent job persistence checks, and login failure event collection.
- NEW: Microsoft SharePoint Server detection module — webshell/dropped-file scanning, suspicious IIS worker process (w3wp.exe) child processes, web.config ViewState/machineKey misconfiguration review, and known exploit URI matching in IIS logs.
- FIX: Sigma rule engine returning zero findings on PowerShell 5.1 due to a ConvertFrom-Json array-unrolling difference between PS5.1 and PS7.
- FIX: HTML report rendering broken on PowerShell 5.1 caused by inconsistent Out-File encoding (UTF-16 vs UTF-8) between PowerShell versions.
- FIX: Friendlier error handling when manage-bde.exe is unavailable during BitLocker key extraction.
- FIX: Improvements and bug fixes.

🤝 贡献

欢迎贡献。

• 开启 issue 讨论重大变更
• 提交带有清晰描述的拉取请求（Pull Request）
• 注重准确性、清晰性和易用性

📄 许可证

Live-Forensicator 是一款开源软件，采用 Apache License 2.0 许可。

版权所有 © 2026 Raptormatics。

您可以根据 Apache License 2.0 的条款自由使用、复制、修改和分发 Live-Forensicator。

完整许可文本请参阅 LICENSE 文件。

第三方组件

Live-Forensicator 可能包含或与第三方工具、库、脚本或组件交互，这些组件根据其各自的许可证分发。这些许可证仍适用于其各自的组件。

用户有责任遵守其与 Live-Forensicator 一起使用的任何第三方组件的适用许可和条款。

☕ 文档

OpenDocs