Tech Recipe Book
My Services
  • Book
    • About the author
    • Architect
      • Algorithms
        • DB index algorithms
          • How does database indexing work
        • Neural network optimization
          • Neural Network Optimization
        • Route search
          • Road network in a database to build a route
          • Traveling Salesman Problem (TSP)
      • Architecture Frameworks
        • DODAF
        • TOGAF
        • Enterprise Architecture (EA) Tools Reviews 2023 | Gartner
      • Zero Trust
      • Billing
        • SHM billing system
      • Bots
        • Discord
        • Telegram
          • Chat GPT Telegram bot
          • Получаем статистику Telegram-канала при помощи api и python или свой tgstat с регистрацией и смс
          • Как хостить телеграм-бота (и другие скрипты на Python) на Repl.it бесплатно 24/7
          • Создание Telegram бота на PHP #1: основные понятия для работы с API
          • Создание Telegram бота на PHP #2: создание первого бота для Telegram
          • Создание Telegram бота на PHP #3: примеры отправки сообщений с кнопками в Telegram
          • Создание Telegram бота на PHP #4: отправка файлов и изображений в Telegram
          • Создание Telegram бота на PHP #5: работа с хуками
      • Business intelligence
      • Cloud Storage
        • Ceph
        • Virtual Distributed File System
      • Cryptography
        • Open Source PKI Software
        • OpenPGP
          • Email Encryption
          • Kleopatra
          • Miscellaneous Tools
          • Server side applications
      • Message broker
        • Kafka
          • Kafka UI-tools
          • Kafka streams ksqlDb
        • RabbitMQ
      • DB
        • MySQL
          • Auto sharding
          • MariaDB Zabbix monitoring
          • MySQL and MariaDB replication with Zabbix monitoring
        • Postgres
          • HA PostgreSQL with Patroni, Haproxy, Keepalived
          • Mass parallel requests - Greenplum
          • PostgreSQL cluster for development and testing
        • Vitess - Scalable. Reliable. MySQL-compatible. Cloud-native. Database.
      • Identity and Access Management (IDM)
        • FreeIPA - Identity, Policy, Audit
        • FreeIPA as an Enterprise solution
        • Keycloak
          • Keycloak HA cluster
        • Open Identity Platform
        • SSO
          • Keycloak for Java app
          • OpenAM
          • OpenIG
      • Firewall
        • nftables
      • Infrastructure As a Code
        • Ansible
        • IaC Packer Ansible Teraform
        • Installing Jenkins using terraform in Kubernetes in Yandex Cloud with letsencypt
        • Teraform Crosplan Pulumi
        • Yandex IaC solutions
      • Kubernetes
        • Installation
          • Install Kubernetes cluster
          • Deploying a Kubespray cluster to OpenStack using Terraform
          • Kube deploy in Yandex cloud
        • Frameworks
          • Deckhouse
            • LDAP authentification
            • On premise Install
            • Yandex Cloud Install
          • K3S
          • OpenShift OKD
          • RKE2
          • Rancher
            • Rancher Install
        • Auth
          • Keycloak in k8s
          • LDAP
        • GUI management Lens
        • Monitoring
          • Monitoring with Falco
          • Network monitoring
          • Nginx ingress
          • Prometheus Graphana for sample Nodejs app
          • Rsource monitoring Avito
        • Exposing services
          • Exposing Kubernetes Services
          • Cilium BGP
        • CNCF
        • Helm
          • Repositories
            • Artifact Hub | official
            • Bitnami | vmware
          • Awesome helm charts and resources
          • Essential Services for Modern Organizations
          • Security and Compliance
          • Additional charts
        • Isolation
          • vcluster - Virtual Kubernetes Clusters
          • Kiosk
          • KubeArmor
          • Control Plane Hardening
          • Hierarchical namespaces
        • Security Center
          • Minesweeper
          • NeuVector by SUSE
          • SOAR in Kubernetes
          • Security Сenter for Kubernetes
        • Terraform CI security
          • Terraform plan analysis with Checkov and Bridgecrew
          • Yandex Terraform scan
        • Vulnerability management
          • Aqua
          • Sysdig
          • Kyverno
          • GitLab
          • NeuVector by SUSE
        • Image scanning
          • Snyk
          • Sysdig
          • Harbor
          • Trivy
        • Signature verification
          • Sigstore
        • Control plane security
          • Gatekeeper
            • Applying OPA Gatekeeper
          • Kyverno
            • Policy as a code. Kyverno
        • Runtime Security
          • Osquery
          • Falco
          • ClamAV
        • Network security
          • Cilium
          • Control Plane Hardening (API restriction)
          • Network policy recipes
          • Service mesh
            • Istio HA, LoadBalance, Rate limit
          • mTLS Autocert
        • Honeypot
          • Building honeypot using vcluster and Falco
        • Backup
          • Kasten K10
        • Secrets
          • Vault CSI Driver
      • Load Balance
        • Nginx
        • HAProxy
          • Proxy methods
          • HAProxy for RDP
          • Payment gateway A/B test with HAProxy
          • HAPRoxy for Percona or Galera
      • Monitoring
        • Zabbix
          • Apache Zabbix
          • Disc Quota
          • Nginx Zabbix
          • SSL certificates Zabix
          • Zabbix notifications
        • Nagios
          • Datacenter monitoring
        • Prometheus and Grafana
      • Windows
        • Sysmon enhanced Windows audit
        • Sysmon to Block Unwanted File
      • Linux
        • Rsync
        • Debian based
          • Apt-Cacher NG
          • Unattended Upgrades in Debian / Ubuntu
        • RedHat basede
          • RPM Server
        • Logs analysis
        • Build armhf qemu
      • NGFW
      • CI/CD
        • DevSecOps
          • DAST
            • Burp
              • Dastardly
            • StackHawk
            • ZAP and GitHub Actions
          • SAST
            • Checkmarx
            • OSV by Google
            • Snyk
            • SonarQube
        • GitLab Runner in Yandex Cloud
        • Dynamic Gitlab Runners in Yandex Cloud
        • GitLab runner in Kubernetes with Werf
        • Kubernetes deploy strategies
        • Kubernetes highload deploy. part 1
        • Kubernetes highload deploy. part 2
        • Kubernetes Argo Rollouts
        • Jenkins in Kubernetes
        • Ansible Semaphore
        • Image storage, scaning and signing
        • Install WireGuard with Gitlab and Terraform
        • CI/CD example fror small web app
        • Threat matrix for CI CD Pipeline
      • SIEM / SOC
        • Datadog
        • Splunk
          • Splunk — general description
        • MaxPatrol
          • MaxPatrol 8 and RedCheck Enterprise
        • QRadar IBM
        • Cloud Native Security Platform (CNAPP) - Aqua
        • OSSIM | AT&T
          • AlienVault (OSSIM) install
        • Wazuh
        • EDR
          • Cortex XDR | Palo Alto Networks
          • Cynet
          • FortiEDR | Fortinet
          • Elastic
        • Elastic
          • Install Elasticsearch, Logstash, and Kibana (Elastic Stack) on Ubuntu 22.04
          • Setting Up Elastic 8 with Kibana, Fleet, Endpoint Security, and Windows Log Collection
        • Threat Intelligence
          • MISP
          • msticpy Microsoft
          • X-Force | IBM
          • Elastic
      • VPN
        • Full-Mesh VPN fastd, tinc, VpnCloud
        • Wireguard
          • WireGuard for Internet access
          • WireGuard on MikroTik and Keenetic
          • WireGuard site to site
        • SoftEther VPN Project
        • Cisco AnyConnect client
        • OpenConnect
        • SSTP python server
      • OS hardening
        • CIS Benchmarks
      • Cloud Providers
      • OpenNebula
        • OpenNebula Edge Cloud - Open Source Cloud & Edge Computing
        • Discover OpenNebula – Open Source Cloud & Edge Computing Platform
        • OpenNebula Multi-Cloud
        • Kubernetes on OpenNebula
        • The Open Source Alternative to Nutanix
        • The Simple Alternative to OpenStack
        • OpenNebula Partner Ecosystem
      • OpenStack
        • Install manual
        • Install with DevStack
      • VM
        • Create a VHD file from a Linux disk
        • Backup / Migration
          • Coriolis
          • Proxmox Backup Server
        • oVirt
        • VMware vCenter
        • Proxmox
      • Docker
        • Container optimization
        • Ubuntu RDP container
      • LXC
        • LXD on Ubuntu 18.04
        • Install, Create and Manage LXC in Ubuntu/Debian
    • Big Data
      • OLAP data qubes
      • Storage and autoscale in Lerua
    • Machine Learning
      • Yandex YaLM 100B. GPT model
      • Kaggle Community Datasts Models
      • AI in video production
      • Image search
      • Chat bots
        • You.com
        • Chat GPT
          • Implementing GPT in NumPy
        • Jailbreak Chat
      • Coding plugins CodeWhisperer
    • Malware
      • Isiaon/Pitraix: Modern Cross-Platform Peer-to-Peer Botnet over TOR
      • theZoo A repository of LIVE malwares
    • Pentest
      • Red Team
        • MITRE ATT&CK matrix
        • C2 Frameworks
          • Brute Ratel C4
          • Cobalt Strike
          • Covenant
          • Havoc Framework
          • Merlin
          • Metasploit
          • Sillenttrinity
          • Sliver
        • Manage and report
          • Dradis Framework
          • Hexway
        • Underground
      • Social engineering
        • Social Engineer Toolkit setoolkit
      • OSINT
        • OSINT for comapny
        • Instagram fishing
      • Forensics
        • Forensics tools
      • Pentesting Methodology
      • Web
      • CI/CD Methodology
      • Cloud Methodology
        • Hacking The Cloud
      • Kubernetes Pentesting
      • Android
        • SSL Unpinning for Android applications
      • iOS
        • SSL unpinning iOS and macOS applications
      • HackBar tool
      • CyberChef Tools
      • Python virtualenv
      • IppSec - YouTube
      • Hacktricks.xyz
    • Compliance
      • 152 ФЗ. Personal data
      • PCI DSS and ГОСТ Р 57580.1-2017
      • Cloud compliance
      • ГОСТ Р 57580.1-2017 для Kubernetes
      • Kubernets as DevSecOps and NIST compliance
      • NIST SP 800-61 cyberincidece control
      • CIS Kubernetes Benchmark v1.6 - RKE2 v1.20
      • CIS Kubernetes Benchmark v1.23 - RKE2
      • Requirements for Russian Banks
      • Tools
        • Chef InSpec
        • Elastic SIEM
    • Asset management
      • CMDBuild
    • Project management
    • Incident management SRE
    • Risk management
      • IT risk management
      • BSI-Standard 200-3
    • Web Dev
      • Cookie security
      • OWASP Top 10 2021
      • Docker nginx php mysql
      • Docker tor hiddenservice nginx
      • Docker Compose wp nginx php mariadb
      • Dependency Checking
        • Nexus Analyzer
        • OWASP dependency-check
      • Yii skeeks cms
      • YiiStudio
    • Art
      • GTK Themes
      • Themes for Xfce Desktop
      • XFCE / Xubuntu Windows 95
      • Moscow events
      • Photo goods
      • Russian style gifts
    • Cryptocurrency
      • News
      • Arbitrage
      • Stocks
      • Exchange aggregators
      • Where to use
      • Prepaid cards
        • BitFree
        • Pyypl Your Money at Your Fingertips
    • IT magazines
      • WIKI and Writeups tools
        • BookStack
        • GitBook
        • MkDocs
        • Wiki.js
        • DokuWiki
    • Languages
    • Learning
      • (ISC)2
        • CISSP
      • Offensive Security
        • OSCP
        • OSEP
        • OSED
      • DevSecOps
        • Certified DevSecOps Professional (CDP)
        • Certified DevSecOps Expert (CDE)
      • Web Security Academy: PortSwigger
    • Relocation
      • London experience
      • IT visas in 2022
      • Remote work
      • Running business in UAE
    • Freenet
      • Independent online services: the philosophy of a free Internet
      • Tor Project Anonymity Online
      • I2P Anonymous Network
    • Services
      • SMS Registration
        • Registering ChatGPT in Russia
      • Local and regional eSIMs for travellers - Airalo
      • Digital busines cards
      • No KYC services and exchanges
Powered by GitBook
On this page
  • MemProcFS-Analyzer
  • Hayabusa
  • KAPE

Was this helpful?

  1. Book
  2. Pentest
  3. Forensics

Forensics tools

Last updated 1 year ago

Was this helpful?

На сегодняшний день у ряда специалистов по форензике в РФ возникают трудности в проведении исследования цифровых свидетельств с помощью платного коммерческого ПО, поскольку не всегда есть возможность продлить лицензионную подписку или срок действия аппаратного ключа. Приходится искать альтернативные пути, которые позволят, пусть и с некоторыми потерями во времени, выполнять расследования с сохранением достаточного уровня качества. Мы в “Информзащите” изучили довольно большой ряд бесплатных опенсорсных инструментов, которые применяем в наших расследованиях и хотим поделиться с вами нашими впечатлениями и опытом применения такого ПО.

MemProcFS-Analyzer

Регулярно обновляемый инструмент, представляющий из себя комплексный скрипт Powershell и набор многих популярных утилит для проведения цифровых исследований в рамках форензики. Важная особенность – полностью автоматическая установка всех необходимых компонентов при первом запуске скрипта. Основной фокус этого инструмента – исследование дампов оперативной памяти, однако анализ здесь проводится без применения традиционного Volatility. Скрипт создаёт виртуальный диск и монтирует к нему исследуемый дамп памяти, взаимодействуя с ним в дальнейшем как с файловой системой.

Интересное решение для тех, кто не любит использовать Volatility из-за большого набора плагинов и необходимости подбирать нужный профиль ОС для анализа. Справедливости ради, я должен заметить, что применял этот тулкит только для анализа дампов памяти ОС Windows. Насколько инструмент приемлем для анализа дампов памяти ОС Linux, я сказать не могу. Автор тулкита тоже ничего не указал в описании по этому поводу. Мне же хочется отметить некоторые фичи, которые вызвали у меня отдельный интерес в рамках исследований.

Ещё в ходе извлечения файлов из дампа программа сразу же укажет на подозрительные дочерние процессы в памяти и задачи планировщика. Неплохая зацепка, чтобы понять, в каком направлении можно «копать» после завершения процесса.

Файлы подозрительных процессов автоматически проверяются опенсорсным антивирусом ClamAV. Для этого скрипт временно отключает службу «Защитник Windows», чтобы это не было неожиданностью для вас.

После завершения извлечения и первичной обработки данных мы получаем вот такой набор папок, содержащих отсортированные свидетельства:

Радует, что в результате обработки создаются не только текстовые и .csv файлы, но и отформатированные таблицы Excel, с которыми гораздо приятнее работать.

В файле proc.xlsx содержится не только список процессов с их PID, PPID и имени пользователя, из-под которого производится запуск, но и полная команда запуска процесса по аналогии с плагином cmdscan/cmdline из Volatility.

Файл tasks.xlsx содержит полный список всех задач планировщика с полной строкой запуска команд.

Если в процессе автоматической обработки скрипт выявил процессы с подозрительным наследованием, например, когда типичный процесс outlook.exe порождает powershell.exe, то список этих процессов с их описанием располагается в отдельной папке sys\proc\Unusual_Parent-Child_Relationships в виде текстовых файлов.

Ну и, конечно, так всеми любимый таймлайн. Полностью отформатированный, с удобными фильтрами.

Из минусов, которые встретились мне в ходе работы с инструментом, хочется отметить следующие.

  • На сегодняшний день есть проблема с сетевой доступностью обновлений для компонентов этого тулкита, поэтому при запуске вы увидите такие вот ошибки.

Данные компоненты придётся загружать вручную. Это касается и обновления базы данных для ClamAV. Без обновлённых баз ClamAV просто «повесит» скрипт в бесконечных попытках подключиться к локальному сервису ClamAV, который, в свою очередь, без обновлённых баз просто не запустится.

  • Нет отдельного списка по выявленным компонентам «автозагрузки». Есть некоторые данные из реестра, но мы с вами знаем, что это не полноценная информация.

  • Обработанные данные в итоге запаковываются в архив 7zip с паролем MemProcFS, что на сайте автора не указано, и найти его можно только в теле скрипта. Это может вызвать замешательство при первом использовании.

Hayabusa

Для бесплатного ПО имеет достаточно гибкие настройки и не требует каких-либо «танцев с бубном» при установке. В последних релизах умеет работать в несколько потоков, что значительно сокращает время анализа.

На вход ожидается указание пути к папке с файлами событий .evtx, либо можно провести live-анализ текущего хоста. Вывод можно направить в .csv файл, который будет выглядеть следующим образом:

С моей точки зрения, это весьма информативный список результатов. Данный инструмент не просто экспортирует системные события и сортирует по источникам, но и на основе внутренних алгоритмов находит взаимосвязи определённых событий и делает предположения о наличии вредоносной активности в системе. Сортировать результаты можно не только по уровню их опасности, но и по типу вредоносного воздействия из классификации MitreAttack. Кстати, уровень точности значительно возрастает при установленном сервисе sysmon в системе. Впрочем, это логично, учитывая, что sysmon ведёт очень подробный лог событий сам по себе.

Hayabusa позволяет кастомизировать правила, которые пишутся в .yml файлах, в синтаксисе, напоминающем YARA-правила:

Кстати, можно импортировать отдельные Sigma-правила, которые Hayabusa прекрасно понимает.

По личному опыту – Hayabusa очень хорошо выявляет атаки, направленные на Active Directory. Различные попытки брутфорса, Password Spray, Pass-the-hash, Pass-the-ticket, Golden Ticket, Credential Dumping и вот это вот всё детектится очень хорошо.

Из минусов - разве что вывод доступен только в формате .csv, так что придётся форматировать вручную.

KAPE

Теперь расскажу про более масштабный инструмент, работающий прежде всего с клонами/образами жёсткого диска. Автором является достаточно известный специалистам по форензике Eric Zimmerman. Собственно, KAPE и расшифровывается как Kroll's Artifact Parser and Extractor, а Kroll – это название компании, частью которой является и сам автор KAPE.

Инструмент тоже регулярно обновляется и представляет собой набор скриптов, тесно интегрированных с форензик-утилитами самого Eric Zimmerman, имеющий вполне приличный для бесплатного инструмента графический интерфейс.

У KAPE есть два основных режима работы: сбор данных (т.н. acquisition) и их анализ. Левая часть главного окна отвечает как раз за сбор данных, а правая - за различные варианты анализа.

Сначала вы выбираете диск-источник, данные с которого нужно исследовать. Здесь важный момент – KAPE не умеет принимать на вход образы дисков. Поэтому сначала необходимо смонтировать образ в виде логического диска и на вход Target source подать путь к логическому диску. В Target destination указываем папку, куда будут извлечены данные для анализа. А вот то, какие именно данные будут извлечены, вы выбираете из длинного списка плагинов. На самом деле запутаться здесь сложно, потому что названия плагинов соответствуют тем данным, которые будут извлечены. Например, плагин !SANS_Triage извлечёт стандартный набор данных по методологии SANS. Какие именно данные? Делаем двойной клик по названию плагина и видим такое окно:

Здесь перечислены модули, которые будут использованы данным скриптом. Эти модули хранятся в папке KAPE\Targets. Открываем, к примеру, EventLogs.tkape и видим:

Делаем вывод, что для анализа будут извлечены файлы .evtx из соответствующих папок.

Думаю, что логика понятна – имеющиеся плагины можно открыть и проверить по указанным файлам модулей, какие именно данные будут извлечены и откуда.

Запускаем извлечение, процесс пошёл:

В моём случае, при выбранном !SANS_Triage, я получил вот такой набор папок и файлов для дальнейшего анализа:

Теперь в работу вступает вторая часть KAPE – плагины для анализа из правой части главного окна. Логика та же самая – на вход Module source указываем папку с содержимым из первого этапа и в Module destination указываем, куда сохранить результаты анализа файлов. Содержимое плагинов можно просматривать точно так же, как и на первом этапе. С модулями – то же самое. Далее – выбираем формат сохранения результатов и запускаем анализ.

В ходе выполнения можно заметить запуски стандартных инструментов от Eric Zimmerman, но это характерно для плагина !EZParser. Другие модули запускают утилиты, указанные в их описании:

Кстати, скорее всего вам уже стало понятно, что можно создать собственные плагины и добавить их в папку KAPE\Modules.

На выходе получаем набор папок с результатами анализа, разложенные по категориям:

Дальше – типичная работа специалиста по форензике. Изучаем .csv файлы и ищем необходимые доказательства.

Из минусов можно отметить следующие.

  • На сегодняшний день есть некоторые проблемы с получением ссылки на KAPE после заполнения формы на сайте. Письмо с ней приходит с перебоями или не приходит вовсе. К тому же, требуется обязательно указывать корпоративную почту.

  • Необходимость самостоятельно скачивать некоторые утилиты для модулей и копировать их в папку KAPE\Modules\bin.

  • KAPE плохо реагирует на работу с образами дисков, которые смонтированы с помощью FTKImager, и рекомендует использовать Arsenal Image Mounter. Впрочем, эта проблема решается установкой опции Ignore FTK Warning в правой части главного окна. Но, по опыту, с FTKImager здесь действительно какие-то проблемы, потому что с Arsenal у меня действительно получалось вытащить больше данных из анализируемых файлов при базовом анализе с плагином !EZParser.

Вот такие три отличные, бесплатные приложения, которые мы используем при проведении исследований в рамках форензики. Если будут какие-то вопросы, оставляйте их в комментариях.

Из интересного - файл FindEvil.xlsx, в котором содержится информация о подозрительных файлах, выявленных на основе индикаторов, описанных автором отдельно по ссылке

Отличный, регулярно обновляемый опенсорсный инструмент для глубокого анализа системных событий Windows с фокусом на выявление завершённых или активных кибератак. Скачать можно по ссылке

Скачать KAPE можно с официального сайта по запросу через форму обращения.

https://github.com/ufrisk/MemProcFS/wiki/FS_FindEvil
https://github.com/Yamato-Security/hayabusa
https://www.kroll.com/en/services/cyber-risk/incident-response-litigation-support/kroll-artifact-parser-extractor-kape
https://habr.com/ru/companies/lanit/articles/690434/