Awesome Incident Response

一份精选的安全事件响应工具和资源列表，旨在帮助安全分析师和 DFIR 团队。

数字取证与事件响应（DFIR）团队是组织内负责管理安全事件响应的团队，包括收集事件证据、修复其影响，以及实施控制措施以防止事件在未来再次发生。

目录

• 对手模拟
• 一体化工具
• 书籍
• 社区
• 磁盘镜像创建工具
• 证据收集
• 事件管理
• 知识库
• Linux 发行版
• Linux 证据收集
• 日志分析工具
• 内存分析工具
• 内存镜像工具
• OSX 证据收集
• 其他列表
• 其他工具
• 操作手册
• 进程转储工具
• 沙箱/逆向工具
• 扫描工具
• 时间线工具
• 视频
• Windows 证据收集

IR 工具集合

对手模拟

• APTSimulator - Windows 批处理脚本，使用一组工具和输出文件使系统看起来像是已被入侵。
• Atomic Red Team (ART) - 小型且高度可移植的检测测试，映射到 MITRE ATT&CK 框架。
• AutoTTP - 自动化战术技术与程序。手动重新运行复杂序列以进行回归测试、产品评估，为研究人员生成数据。
• Caldera - 自动化对手模拟系统，在 Windows 企业网络中执行入侵后的对抗行为。它使用规划系统和基于对抗战术、技术与常识（ATT&CK™）项目的预配置对手模型在操作期间生成计划。
• DumpsterFire - 模块化、菜单驱动、跨平台工具，用于构建可重复、定时、分布式的安全事件。轻松为蓝队演练和传感器/警报映射创建自定义事件链。红队可以创建诱饵事件、干扰和诱饵来支持和扩展其操作。
• Metta - 信息安全准备工具，用于进行对抗模拟。
• Network Flight Simulator - 轻量级实用程序，用于生成恶意网络流量并帮助安全团队评估安全控制和网络可见性。
• Red Team Automation (RTA) - RTA 提供了一个脚本框架，旨在让蓝队测试其针对恶意战术的检测能力，模仿 MITRE ATT&CK。
• RedHunt-OS - 用于对手模拟和威胁狩猎的虚拟机。

一体化工具

• Belkasoft Evidence Center - 该工具包将通过分析硬盘、驱动器镜像、内存转储、iOS、Blackberry 和 Android 备份、UFED、JTAG 和芯片提取转储，快速从多个来源提取数字证据。
• CimSweep - 基于 CIM/WMI 的工具套件，能够在所有版本的 Windows 上远程执行事件响应和狩猎操作。
• CIRTkit - CIRTKit 不仅是工具的集合，还是一个框架，用于帮助持续统一事件响应和取证调查流程。
• Cyber Triage - Cyber Triage 收集并分析主机数据以确定其是否已被入侵。其评分系统和推荐引擎允许您快速关注重要工件。它可以从其收集工具、磁盘镜像和其他收集器（如 KAPE）导入数据。它可以在检查员的桌面上或服务器模式下运行。由 Sleuth Kit Labs 开发，该公司还制作了 Autopsy。
• Cynative - 用于您基础设施的深度研究代理 - 沙箱化、只读，涵盖 AWS、GCP、Azure、K8s、GitHub 和 GitLab。
• Dissect - Dissect 是一个数字取证与事件响应框架和工具集，允许您快速访问和分析来自各种磁盘和文件格式的取证工件，由 Fox-IT（NCC Group 的一部分）开发。
• Doorman - osquery 舰队管理器，允许远程管理节点检索的 osquery 配置。它利用 osquery 的 TLS 配置、日志记录器和分布式读/写端点，以最小的开销和侵入性为管理员提供跨设备群的可见性。
• Flare - 完全可定制的、基于 Windows 的安全发行版，用于恶意软件分析、事件响应、渗透测试。
• Fleetdm - 为安全专家量身定制的最先进的主机监控平台。利用 Facebook 经过实战考验的 osquery 项目，Fleetdm 提供持续更新、功能和快速解答重大问题。
• GRR Rapid Response - 专注于远程实时取证的事件响应框架。它由一个安装在目标系统上的 Python 代理（客户端）和一个可以管理并与代理通信的 Python 服务器基础设施组成。除了包含的 Python API 客户端外，PowerGRR 还提供了在 Windows、Linux 和 macOS 上运行的 PowerShell API 客户端库，用于 GRR 自动化和脚本编写。
• IRIS - IRIS 是一个面向事件响应分析师的 Web 协作平台，允许在技术层面共享调查。
• Kuiper - 数字取证调查平台
• Limacharlie - 端点安全平台，由一系列协同工作的小型项目组成，为您提供一个跨平台（Windows、OSX、Linux、Android 和 iOS）的低级环境，用于管理和推送额外模块到内存中以扩展其功能。
• Matano：AWS 上的开源无服务器安全湖平台，允许您将数 PB 的安全数据摄取、存储和分析到 Apache Iceberg 数据湖中，并作为代码运行实时 Python 检测。
• MozDef - 自动化安全事件处理流程，并促进事件处理人员的实时活动。
• MutableSecurity - 用于自动化网络安全解决方案的设置、配置和使用的 CLI 程序。
• nightHawk - 使用 ElasticSearch 作为后端构建的异步取证数据呈现应用程序。它旨在摄取 Redline 收集。
• Open Computer Forensics Architecture - 另一个流行的分布式开源计算机取证框架。该框架构建在 Linux 平台上，并使用 PostgreSQL 数据库存储数据。
• osquery - 使用类似 SQL 的查询语言轻松询问有关您的 Linux 和 macOS 基础设施的问题；提供的 事件响应包 帮助您检测和响应入侵。
• Redline - 为用户提供主机调查能力，通过内存和文件分析以及威胁评估配置文件的开发来发现恶意活动的迹象。
• SOC Multi-tool - 一个强大且用户友好的浏览器扩展，为安全专业人员简化调查。
• The Sleuth Kit & Autopsy - 基于 Unix 和 Windows 的工具，有助于计算机的取证分析。它附带各种有助于数字取证的工具。这些工具帮助分析磁盘镜像、执行文件系统的深入分析以及各种其他事情。
• TheHive - 可扩展的三合一开源免费解决方案，旨在让 SOC、CSIRT、CERT 以及任何处理需要快速调查和采取行动的安全事件的信息安全从业者的生活更轻松。
• VanGuard - 跨平台事件响应工具包，在单个零安装二进制文件中包含 28 个预构建用例。收集内存、磁盘、网络和云工件，并自动生成时间线。
• Velociraptor - 端点可见性和收集工具
• X-Ways Forensics - 用于磁盘克隆和成像的取证工具。它可用于查找已删除的文件和磁盘分析。
• Zentral - 将 osquery 强大的端点清单功能与灵活的通知和操作框架相结合。这使人们能够识别并响应 OS X 和 Linux 客户端上的变化。

书籍

• Applied Incident Response - Steve Anson 关于事件响应的书。
• Art of Memory Forensics - 检测 Windows、Linux 和 Mac 内存中的恶意软件和威胁。
• Crafting the InfoSec Playbook: Security Monitoring and Incident Response Master Plan - 作者 Jeff Bollinger、Brandon Enright 和 Matthew Valites。
• Digital Forensics and Incident Response: Incident response techniques and procedures to respond to modern cyber threats - 作者 Gerard Johansen。
• Introduction to DFIR - 作者 Scott J. Roberts。
• Incident Response & Computer Forensics, Third Edition - 事件响应的权威指南。
• Incident Response Techniques for Ransomware Attacks - 构建勒索软件攻击事件响应策略的绝佳指南。作者 Oleg Skulkin。
• Incident Response with Threat Intelligence - 基于威胁情报构建事件响应计划的绝佳参考。作者 Roberto Martinez。
• Intelligence-Driven Incident Response - 作者 Scott J. Roberts、Rebekah Brown。
• Operator Handbook: Red Team + OSINT + Blue Team Reference - 事件响应人员的绝佳参考。
• Practical Memory Forensics - 实践内存取证的权威指南。作者 Svetlana Ostrovskaya 和 Oleg Skulkin。
• The Practice of Network Security Monitoring: Understanding Incident Detection and Response - Richard Bejtlich 关于 IR 的书。

社区