ir-rescue

ir-rescue ir-rescue consta de dos scripts hermanos que recopilan una gran cantidad de datos forenses de sistemas Windows de 32 y 64 bits ir-rescue-win y de sistemas Unix ir-rescue-nix. Los scripts respetan el orden de volatilidad y los artefactos que se modifican con la ejecución p. ej. , archivo...

Douglas-042

Douglas-042 - 威胁狩猎 应急响应 - PowerShell 狩猎 DOUGLAS-042 是一款设计精妙的 PowerShell 脚本，旨在加速分类（triage）流程，并协助系统性地收集来自取证工件以及短暂易失性数据中的关键证据。其核心使命是在 Windows 生态系统中定位潜在安全漏洞这一艰巨任务中提供不可或缺的协助。DOUGLAS-042...

iris-web

Sistema de Investigación de Respuesta a Incidentes Versión actual v2.4.20 Demostración en línea IRIS Iris es una plataforma web colaborativa que tiene como objetivo ayudar a los respondedores de incidentes a compartir detalles técnicos durante las investigaciones. Tabla de contenido Primeros paso...

YAMA-dev

YAMA 又一款用于恶意软件检测的内存分析器 概念 YAMA 是一个用于生成扫描器的系统，可在应急响应期间检测特定恶意软件。YAMA 生成的扫描器专为探索 Windows 操作系统内存并检测恶意软件而设计。随着仅驻留在内存中的无文件恶意软件日益增多，YAMA 旨在通过检测此类恶意软件来促进事件处理中的快速响应。 特性 生成作为单个二进制文件运行的扫描器 使用 YARA 规则和内存信息检测恶意软件 通过编写自定义 YARA 规则，为每个用户的应急响应需求创建恶意软件检测二进制文件 以文本/JSON 格式输出检测结果 扫描器的工作原理 YAMA 扫描器作为 Windows...

Meerkat

Meerkat Meerkat es una colección de módulos de PowerShell diseñados para la recolección de artefactos y el reconocimiento de endpoints basados en Windows sin necesidad de un agente previamente desplegado. Los casos de uso incluyen el triaje de respuesta a incidentes, la caza de amenazas, la...

LinuxCatScale

Linux-CatScale 应急响应数据采集脚本 Linux CatScale 是一个利用系统原生工具从 Linux 主机广泛采集数据的 Bash 脚本。所采集的数据旨在帮助数字取证与事件响应（DFIR）专业人员对事件进行分类和范围界定。同时提供了一个 ELK 栈实例来消费输出结果并协助分析过程。 使用方法 解析 它收集了什么 免责声明 已测试的操作系统 使用方法 此脚本旨在尽可能自动化。我们建议从外部设备/U 盘运行，以避免覆盖证据，以防将来需要完整镜像。 请在疑似受感染的主机上使用 sudo...

Playbooks

Tabla de contenido TOC IR Playbooks Este repositorio contiene todos los Playbooks de Respuesta a Incidentes y los flujos de trabajo del SOC de la Compañía. Cada carpeta contiene un Playbook dividido en 6 secciones según NIST - 800.61 r2 1- Preparación Esta sección debe incluir la siguiente...

Trawler

为持久化而疏浚Windows 这是什么？ Trawler 是一个 PowerShell 脚本，旨在帮助事件响应者在 Windows 主机上发现潜在的安全入侵指标，主要关注持久化机制，包括计划任务、服务、注册表修改、启动项、二进制文件修改等。 目前，trawler 可以检测 MITRE 和 Atomic Red Team 明确指出的绝大多数持久化技术，并且会定期添加更多检测。 主要特性 扫描 Windows 操作系统的多种持久化技术（如下所列） CSV 输出，包含 MITRE 技术及调查启动元数据...

spyre

Spyre ...一款简单、独立的模块化主机入侵指标扫描器 Spyre 是一款基于 YARA 模式匹配引擎及其他扫描模块的简单主机入侵指标扫描器。该项目的主要目标是让 YARA 规则和其他入侵指标易于投入实际使用。 用户需要自行准备规则集。awesome-yara 仓库提供了互联网上免费 YARA 规则集的良好概览。 Spyre 旨在供事件响应人员用作调查工具。它不 打算发展成任何形式的端点保护服务。 开始使用 使用 Spyre 很简单： 1. 添加 YARA 签名。在默认配置中，Spyre 会分别从 filescan.yar 和 procscan.yar 读取用于文件和进程扫描的 YA...

cloud-sniper

Cloud Sniper 已迁新址！！点击此处访问！！ 云安全运营 什么是 Cloud Sniper？ Cloud Sniper 是一个专为管理云环境中的 安全运营 而设计的平台。它是一个开放平台，能够通过精确分析和关联原生云工件来响应安全事件。它可用作一个 虚拟安全运营中心（vSOC） ，用于检测和修复安全事件，提供公司云安全态势的完整可见性。 使用此平台，您将获得对安全事件的全面综合管理，从而降低雇佣一组一级安全分析师来搜寻基于云的 入侵指标（IOC） 的成本。这些 IOC如果未经关联，将导致检测复杂攻击困难重重。同时， Cloud Sniper...

sleuthkit

The Sleuth Kit INTRODUCCIÓN The Sleuth Kit es un kit de herramientas forense de código abierto para analizar sistemas de archivos y discos de Microsoft y UNIX. The Sleuth Kit permite a los investigadores identificar y recuperar evidencia de imágenes adquiridas durante la respuesta a incidentes o ...

Microsoft-Extractor-Suite

Microsoft-Extractor-Suite 入门 要开始使用 Microsoft-Extractor-Suite，请查看 Microsoft-Extractor-Suite 文档。 关于 Microsoft-Extractor-Suite Microsoft-Extractor-Suite 是一个功能完备、积极维护的 PowerShell 工具，旨在简化从 Microsoft 内部多个来源收集所有必要数据和信息的过程。 支持以下 Microsoft 数据源： 统一审计日志 管理审计日志 邮箱审计日志 邮箱规则 传输规则 消息跟踪日志 Entra ID 登录日志 Entra ID...

RATDecoders

RATDecoders Malconf es una librería de python3 que puede utilizarse para analizar estáticamente familias de malware específicas y extraer los datos de configuración que pueden ser utilizados por los respondedores de incidentes durante un incidente. Como librería, también puede instalarse en...

MemProcFS

MemProcFS: MemProcFS 是一种简单便捷的方式，可将物理内存以虚拟文件系统的形式呈现为文件。 无需复杂的命令行参数，即可轻松进行点击式内存分析！通过挂载的虚拟文件系统中的文件，或通过功能丰富的应用程序库，访问内存内容和工件，并将其集成到您自己的项目中！ 分析内存转储文件、通过 DumpIt 或 WinPMEM 获取的实时内存 、来自虚拟机或 PCILeech FPGA 硬件设备的读写模式实时内存 ！ 甚至可以通过安全连接连接到远程 LeechAgent 内存采集代理——从而支持远程实时内存事件响应——即使在更高延迟、低带宽的连接上也能实现！深入了解 MemProcFS...

rastrea2r

.. image:: https://github.com/rastrea2r/rastrea2r/blob/master/logo.png :align: center :alt: logo .. image:: https://travis-ci.org/rastrea2r/rastrea2r.svg?branch=master :target: https://travis-ci.org/rastrea2r/rastrea2r.svg?branch=master :alt: travis-ci for master branch .. image::...

awesome-dfir-skills

🔥 awesome-dfir-skills 一个由社区驱动的 DFIR / 事件响应 技能 集合：可重复使用的提示词、工作流和辅助文件，帮助从业者更快行动、保持一致性，或许——还能多睡一会儿。 🚀 快速开始 1. 从 skills/README.md 中选择一个技能 2. 复制/粘贴到你的 AI 助手（Claude, Codex 等）中 3. 当提示时，将你的工件提供给它 4. 见证魔法发生 ✨ 专业提示: 保留像 timewindow 这样的占位符不变——当技能要求时再填入具体值。 🤔 什么是“技能”？ 将技能视为 IR 的作弊码 。它是一个小巧、可重复使用的工件，你可以复制/粘贴到 ...

binaryalert

BinaryAlert: 无服务器、实时与回溯性恶意软件检测 .. image:: https://travis-ci.org/airbnb/binaryalert.svg?branch=master :target: https://travis-ci.org/airbnb/binaryalert :alt: 构建状态 .. image:: https://coveralls.io/repos/github/airbnb/binaryalert/badge.svg?branch=master :target:...

avml

AVML Acquire Volatile Memory for Linux Summary A portable volatile memory acquisition tool for Linux. AVML is an X8664 userland volatile memory acquisition tool written in Rust, intended to be deployed as a static binary. AVML can be used to acquire memory without knowing the target OS distributi...

stride-gpt

STRIDE GPT is an AI-powered threat modelling tool that leverages Large Language Models LLMs to generate threat models and attack trees for a given application based on the STRIDE methodology. Users provide application details, such as the application type, authentication methods, and whether the...

Cyber-Defence

Introducción Este repositorio contiene información publicada públicamente por el Equipo de Respuesta a Incidentes Cibernéticos de NCC Group. Contacto Para solicitar más información sobre cualquier cosa en este repositorio, contacta con el equipo en [email protected]. Para contactar con nuest...