На початку 90-х років, дослідження проводились наживо в реальному часі, використання дослідного пристрою здійснювалось без будь-яких засобів захисту даних. Зі змінами інформаційних технологій, з’явилась тенденція до зменшення пристроїв зберігання інформаційні, а інформаційний простір накопичувачів збільшувався. З часом використання пристроїв наповнених величезною кількістю інформації, зробило криміналістичний аналіз даних наживо, неефективним. Час потребував нових засобів дослідження даних, що спонукало експертів та фахівців з кібербезпеки, розробляти нові аналітичні програмні засоби з відкритим кодом, що давали можливість використання їх у розслідуваннях, не змінюючи інформаційної структури дослідних носіїв, здобувати цифрові докази. Також на при кінці тих самих 90-х, на комерційному ринку почали з’являтися програмні та апаратні засоби забезпечення розслідування кіберзлочинів. Шляхом таких розробок, що поєднали загальні методи криміналістики з новими сучасними цифровими методами відстеження, відновлення, фіксування даних, що об’єднали цифрове віртуальне середовище з фактичною об’єктивною реальністю та дають можливість збирати артефакти та за сукупності логічних складових яких, можна довести факт кіберзлочину.

Комп’ютерна криміналістика, залишається одною з головних складових цивільного процесу та виступає як форма збору доказової інформації (наприклад, електронні поштові повідомлення).

​

Багаторічна практика застосування інструментів цифрової експертизи з відкритим кодом (digital forensics software (DFS) tool), відповідає релевантністю процесів до програмних засобів з комерційними пропрієтарними складовими, а тому застосування їх є достатнім для глибокого аналізу інформаційного середовища носіїв даних та належним збиранням доказів для представлення їх до суду.

Найпопулярніші цифрові криміналістичні інструменти з відкритим кодом, які охоплюють багато реалізацій процесів з оптимальним часом здобування артефактів, розробниками групуються та інтегруються у динамічні портативні дистрибутиви операційних систем (Linux, Unix, Mаc), що вміщуються у повному зліпку файлів та налаштувань цієї самої системи, розміщені у файл образ (ISO), що має назву - Live CD, записаний на CD/DVD диск або розміщений на USB накопичувачі. Або містяться у дистрибутивах, що інсталюються в існуючи операційні системи, як окремі програми та утілити.

 

 

 

ОПЕРАЦІЙНІ СИСТЕМИ, ОРІЄНТОВАНІ НА ЦИФРОВУ КРИМІНАЛІСТИКУ

 

SIFT Workstation — набір безплатних інструментів для цифрової криміналістики та реагування на інциденти з відкритим вихідним кодом від SANS Institute. Універсальний і детально документований інструментарій на основі Ubuntu LTS 20.04.

 

Appliance for Digital Investigation and Analysis (ADIA) - Open Source - інструментарій для проведення цифрових розслідувань і збору даних, що включає Autopsy, Sleuth Kit, Digital Forensics Framework, log2timeline, Xplico і Wireshark. Доступний у вигляді образів для VMware і VirtualBox.

 

Skadi -  набір утиліт з відкритим вихідним кодом, який дає змогу збирати, обробляти і проводити розширений аналіз криміналістичних артефактів й зображень. Працює на MacOS, Windows і Linux, легко масштабується.

 

Autopsy - досить функціональна, щоб займати окреме місце в цьому списку. Це платформа для цифрової криміналістики та графічний інтерфейс для аналізатора образів дисків The Sleuth Kit, PhotoRec, STIX та інших програм для цифрової криміналістики. Підтримує сторонні модулі на Java і Python, що розширюють можливості платформи. 

 

ІНСТРУМЕНТИ ДЛЯ СПІЛЬНОГО РОЗСЛІДУВАННЯ

 

IRIS - вебдодаток для спільної роботи над складними та заплутаними розслідуваннями. Спрощує обмін файлами, наприклад, журналами Windows. Може бути розгорнута на сервері або локальному комп'ютері з Docker-образу.

 

Kuiper - платформа сфокусована на зборі та аналізі доказів. Надає зручний графічний інтерфейс, централізоване управління парсерами, підтримує масове завантаження артефактів з будь-яких каналів і дає змогу цілій групі аналітиків спільно маркувати та сортувати файли.

 

TheHive - платформа реагування на інциденти безпеки з відкритим вихідним кодом, призначена для SOC, CSIRT, CERT і будь-яких інших фахівців з інформаційної безпеки. Легко інтегрується з MISP і виділяється опрацьованою рольовою моделлю, що дозволяє аналітикам з різних компаній без проблем працювати над одним випадком.

 

GRR Rapid Response дає змогу групі аналітиків сортувати атаки та виконувати їхній аналіз віддалено в режимі реального часу. Складається з клієнтського python-агента, який встановлюється на цільові системи, та керує python-сервером. Підтримує низькорівневий доступ і автоматичне планування повторюваних завдань.

 

DFIRTrack - платформа для цифрової криміналістики, орієнтована на розбір одного або декількох великих інцидентів, що зачепили відразу багато різних систем. Являє собою вебдодаток для розгортання в Ubuntu, заснований на Django і використовує PostgreSQL.

 

Orochi - це платформа для групового аналізу дампів пам'яті. Де-факто являє собою графічний інтерфейс для Volatility 3. Зберігає результати роботи цієї утиліти в ElasticSearch.

 

Timesketch - утиліта для спільного timeline analysis. Дає змогу відновити та наочно представити послідовність подій під час інциденту.

 

МОНІТОРИНГ ХОСТІВ

 

Zentral - рішення для моніторингу кінцевих точок. Об'єднує збір журналів подій за допомогою osquery з гнучкою системою повідомлень і різними сховищами даних: ElasticStack, Azure Log Analytics, Splunk.

 

Fleetdm - інструмент для моніторингу хостів, який використовує osquery для отримання журналів подій і збирає їх із цільових систем у реальному часі.

 

POFR - клієнт-серверна "чорна скринька", яка реєструє дані про виконання процесів, доступ до файлів і мережевих з'єднань у Linux-системах, а потім передає звіти на сервер за протоколом SSH.

 

IntelMQ - система автоматизованого опрацювання інцидентів, яку можна використовувати для збору даних для подальшого аналізу. Має модульну структуру, що складається з ботів для вилучення, збагачення і запису даних.

 

Velociraptor - інструмент для збору інформації про стан хостів за допомогою гнучкої мови запитів VQL. Дозволяє значною мірою автоматизувати збір різноманітних криміналістичних артефактів.

 

Meerkat - набір модулів PowerShell, призначених для збору артефактів із систем на базі Windows без попереднього встановлення агента. Сценарії використання включають реагування на загрози, пошук загроз, базовий моніторинг, порівняння снапшотів.

 

IOC - СКАНЕРИ

 

Loki - простий сканер індикаторів компрометації для перевірки кінцевих точок.

 

Fenrir - універсальний bash-скрипт для сканування Linux, OSX і Unix систем. Працює з широким набором індикаторів компрометації.

 

Fastfinder - кросплатформенна утиліта для пошуку підозрілих файлів. Підтримує контрольні суми md5/sha1/sha256, регулярні вирази та правила YARA.

 

ЗБИРАННЯ АРТЕФАКТІВ

 

Artifactcollector - агент, що налаштовується, для збору артефактів з Windows, macOS і Linux. Вміє витягувати файли, каталоги, записи реєстру, команди WMI. Інтегрується з Digital Forensics Artifact Repository.

 

Osquery - аналітика операційної системи для знавців баз даних. Утиліта представляє операційну систему як високопродуктивну реляційну базу даних. Це дає змогу використовувати SQL для роботи з усім вмістом комп'ютера. Доступна для Linux, macOS, Windows і FreeBSD.

 

Ir-rescue - пара сценаріїв для Windows і Unix, які збирають великий обсяг криміналістичних даних, що відповідає потребам більшості розслідувань. Запускають безліч команд та інструментів, тому залишають помітні сліди в системі.

 

UAC - (Unix-like Artifacts Collector) - використовує вбудовані інструменти Unix-подібних систем для автоматизації збору артефактів. Працює незалежно від архітектури, зокрема на macOS і Android.

 

FastIR Artifacts - кросплатформний збирач артефактів із підтримкою Digital Forensics Artifact Repository.

 

DFTimewolf - фреймворк для організації збору, обробки та експорту даних, цінних для криміналістів.

 

AChoir - сценарій для збору артефактів Windows у режимі реального часу.

 

CyLR - інструмент для збору криміналістичних артефактів із систем із файловою системою NTFS.

 

DFIR ORC - тулкіт для делікатного збору артефактів: файлових таблиць, гілок реєстру та журналів подій з машин під управлінням Windows. Розроблено так, щоб звести до мінімуму вплив на систему, в якій він працює. Не встановлює жодних програм, створює мінімум файлів, ключів реєстру та служб і записує мінімально необхідний обсяг даних.

  

РОБОТА З РЕЄСТРОМ

 

RegRipper - інструмент з відкритим вихідним кодом для вилучення інформації (ключі, значення, інші дані) з реєстру. Написаний мовою Perl.

 

RegRippy і Regipy -  пара бібліотек для читання і вилучення корисних криміналістичних даних з гілок реєстру Windows. Цього разу на Python.

 

РОБОТА З ЖУРНАЛАМИ 

 

Logdissect - CLI-утиліта і Python API для аналізу, фільтрації та експорту даних у файли журналу Windows або JSON.

 

APT Hunter - розроблений для пошуку підозрілої активності в журналах Windows. Автоматизує збір журналів Sysmon, Security, System, Powershell, Powershell Operational, ScheduledTask, WinRM, TerminalServices, Windows Defender. Сортує події за серйозністю і веде статистику, яка допомагає виявляти аномалії.

 

LogonTracer - аналізує Windows Active Directory, пов'язує ім'я хоста (або IP-адресу) та ім'я облікового запису, знайдені в подіях, пов'язаних із входом у систему, а потім відображає їх у вигляді схеми. Дозволяє реконструювати історію авторизацій.

 

StreamAlert - без серверна система аналізу журналів у реальному часі, написана на Python. Приймає дані з будь-яких джерел, має вбудовану систему сповіщень на основі настроюваної користувацької логіки. Виконується з мінімальними привілеями, зберігає дані в зашифрованому вигляді.

 

USBRip - проста консольна утиліта для відновлення історії підключення USB-носіїв до комп'ютерів під керуванням Linux. Може експортувати зібрані дані у JSON-файл.

​​

РОБОТА З ПАМ'ЯТТЮ ТА ОБРАЗАМИ СИСТЕМИ

 

Volatility 3 - один із найпопулярніших фреймворків для дослідження дампів оперативної пам'яті. Підтримує 18 різних версій операційних систем, вміє працювати з дампами ядра Virtualbox і снапшотами VMware.

 

AVML - портативний інструмент для збору даних з енергонезалежної пам'яті Linux-систем. Написаний на Rust і призначений для розгортання у вигляді статичного бінарного файлу. Його можна використовувати для отримання даних "наосліп", не знаючи версію дистрибутив цільової ОС.

 

LiME - модуль ядра (LKM), що завантажується, для захоплення даних із пам'яті пристроїв під управлінням Linux, зокрема й Android-смартфонів. Розвивається і вдосконалюється з 2012 року.

​

Bmap-tools - інструмент для копіювання файлів з використанням створення карти блоків (bmap).

 

INDXParse - тулкіт для вилучення артефактів NTFS.

 

nTimetools - інструментарій для роботи з тимчасовими мітками в Windows. Дозволяє експертам-криміналістам перевіряти мітки у файловій системі NTFS з точністю до 100 наносекунд.

 

RecuperaBit - утиліта для криміналістичної реконструкції файлової системи та відновлення файлів. Підтримує тільки NTFS.

 

Sleuth Kit - бібліотека для низькорівневого дослідження образів дисків, файлових систем і пошуку доказів.

 

MemProcFS - утиліта для простого доступу до фізичної пам'яті, як до файлів віртуальної файлової системи.

 

dof (Docker Forensics Toolkit) - витягує і допомагає інтерпретувати криміналістичні артефакти з Docker-контейнерів. Відображає історію складання образу, монтує файлову систему контейнера в заданому місці, розподіляє артефакти за часовою шкалою тощо.

​​

ВИЛУЧЕННЯ ВЕБ-АРТЕФАКТІВ

 

Hindsight - простий і функціональний інструмент для аналізу вебартефактів з підтримкою браузерів на базі Chromium. Дає змогу аналізувати історію відвідувань і завантажень, вміст кешу, cookie, закладки, автозаповнення, збережені налаштування, розширення і паролі. Усі витягнуті дані поміщаються на тимчасову шкалу.

 

Dumpzilla - аналогічна програма для збору цікавої інформації з браузерів Firefox, Iceweasel і Seamonkey.

 

РОБОТА З МЕТАДАНИМИ

 

Exif Tool - читання, запис і редагування метаданих у файлах різних графічних форматів.

 

Exiv2 - бібліотека для роботи з метаданими Exif, IPTC, XMP і ICC.

 

PdfParser - служить для вилучення даних із файлу PDF-файлів.

 

FOCA -  інструмент для пошуку метаданих і прихованої інформації в документах, завантажених у веб. Працює з Microsoft Office, Open Office, PDF, Adobe InDesign і SVG.

 

ІНСТРУМЕНТИ ДЛЯ MAC

 

macOS Artifact Parsing Tool - комплект для обробки образів дисків Mac і вилучення даних, корисних для розслідування. Являє собою фреймворк на основі Python, і плагіни для обробки окремих артефактів, наприклад, історії Safari.

 

ESF Playground - інструмент для перегляду подій в Apple Endpoint Security Framework (ESF) в режимі реального часу.

 

Knockknock - виводить повний список елементів (програм, скриптів, команд, двійкових файлів), які автоматично виконуються в macOS.

 

ІНСТРУМЕНТИ ДЛЯ СМАРТФОНІВ

​

MobSF - автоматизована система для аналізу шкідливих програм і оцінки безпеки мобільних додатків (Android/iOS/Windows), здатна виконувати статичний і динамічний аналіз. Підтримує бінарні файли мобільних застосунків (APK, XAPK, IPA та APPX) разом із заархівованим вихідним кодом і надає REST API для безшовної інтеграції з конвеєром CI/CD або DevSecOps.

 

Andriller - утиліта для збору даних з Android-пристроїв. Може бути використана для зняття блокування зі смартфона.

 

ALEAPP - парсер журналів подій і Protobuf для Android.

 

iLEAPP - парсер журналів подій для iOS.

 

РІЗНІ ІНСТРУМЕНТИ

 

Bitscout - інструмент для створення LiveCD/LiveUSB пристосованих для цифрової криміналістики тощо.

 

Digital Forensics Artifact Repository - машино зчитувальна база знань з цифрової криміналістики.

 

Sherloq - набір інструментів для судової експертизи цифрових фотографій.

 

Swap_digger - bash - скрипт, що автоматизує вилучення файлу підкачки Linux і пошук облікових даних користувачів, адрес електронної пошти, вмісту вебформ, WiFi SSID ключів та інших чутливих даних.

 

Bulk extractor - сканує образи дисків, каталоги або окремі файли та витягує з них корисну інформацію, наприклад, адреси електронної пошти, JPEG або JSON snippets.

 

LaZagne - додаток з відкритим вихідним кодом для вилучення паролів, що зберігаються на комп'ютері.

 

Fibratus - інструмент для дослідження і трасування ядра Windows.

 

Fflib - розширюваний відкритий формат для зберігання образів дисків і криміналістичної інформації.

 

Sigma - відкритий формат підпису для SIEM-систем.

​

За більш детальними консультаціями або зустрічами, звертайтесь до нас по телефону

​