arkime

Arkime Arkime is a large scale, open-source network analysis and packet capture system. Arkime augments your current security infrastructure to store and index network traffic in standard PCAP format, providing fast, indexed access. An intuitive and simple web interface is provided for PCAP...

DFIR_Resources_REvil_Kaseya

Ресурсы для специалистов DFIR, реагирующих на атаку на цепочку поставок Kaseya с использованием программы-вымогателя REvil Вчера компании Sophos и Huntress Labs обнаружили, что Kaseya, популярный поставщик услуг удаленного управления для MSP, был скомпрометирован для проведения атаки на цепочку...

capa

Website | Download | Web Interface capa detects capabilities in executable files. You run it against a PE, ELF, .NET module, shellcode file, or a sandbox report and it tells you what it thinks the program can do. For example, it might suggest that the file is a backdoor, is capable of installing...

CIRTKit

One DFIR console to rule them all. Built on top of theViper Framework Documentation Please see the wiki for more information about CIRTKit and documentation Roadmap Future integrations Bit9 Palo Alto Networks EnCase/FTK Future modules Packet Analysis possibly Dshell Javascript...

LinuxCatScale

Script de collecte IR Linux-CatScale Linux CatScale est un script bash qui utilise des outils natifs du système pour collecter des données complètes sur des hôtes Linux. Ces données aident les professionnels du DFIR à trier et à évaluer les incidents. Une instance Elk Stack est également configur...

MongoBleed-DFIR-Triage-Script-CVE-2025-14847

Eric Capuano1 氏は、MongoBleed（CVE-2025-14847）と注意すべき指標に関する優れたブログを公開しました。PoC は Joe Desimone2 氏がメモリリークエクスプロイトの仕組みを正確に示しており、Kevin Beaumont3 氏は脆弱性に関する優れた解説記事を執筆しています（参考セクションのリンクを参照）。 MongoBleed トリアージスクリプト...

Sigma-Rules

Sigma-Rules Правила, созданные на основе наших публичных отчётов, теперь напрямую вносятся в проект SigmaHQ. Вы можете найти правила, относящиеся к нашим отчётам, с помощью следующего поиска. У нас также есть закрытый набор правил Sigma для клиентов. Если вас интересует демо-версия или доступ к...

pockint

POCKINT aussi connu sous le nom de Pocket Intelligence est le couteau suisse OSINT pour les professionnels de la DFIR/OSINT. Un programme GUI léger et portable, il offre aux utilisateurs des capacités OSINT essentielles dans un format compact : la boîte de saisie de POCKINT accepte des indicateur...

plaso

Plaso Plaso Langar Að Safna Öllu - super timeline all the things Plaso Plaso Langar Að Safna Öllu, or super timeline all the things , is a Python-based engine used by several tools for automatic creation of timelines. Plaso default behavior is to create super timelines but it also supports creati...

yeti

Plateforme Yeti Yeti vise à combler le fossé entre les praticiens de la CTI et de la DFIR en fournissant une plateforme et un pipeline de renseignement forensique pour les équipes DFIR. Il est né de la frustration de devoir répondre à la question « où ai-je déjà vu cet artefact ? » ou « comment...

awesome-incident-response

Awesome Incident Response Курируемый список инструментов и ресурсов для реагирования на инциденты безопасности, предназначенный для помощи аналитикам безопасности и командам DFIR. Команды цифровой криминалистики и реагирования на инциденты DFIR — это группы людей в организации, отвечающие за...

dfir-orc

DFIR ORC Французское агентство кибербезопасности ANSSI Этот проект сопровождаетсяANSSI. Чтобы узнать больше, вы можете посетить страницу на французском языке, посвящённую стратегии ANSSI в области открытого исходного кода. Вы также можете нажать на значки выше, чтобы узнать больше об их значении...

loki-parse

loki-parse loki-bot악성코드과 관련된, 손상된 호스트와 C2 서버 간의 네트워크 트래픽을 탐지하고 파싱하는 Python 스크립트입니다. 이 스크립트는 C2로 유출되는 데이터가 무엇인지, 봇 추적 등을 알고 싶어하는 DFIR 분석가와 보안 연구자에게 유용할 수 있습니다. 이 스크립트는 스위치 없이 네트워크에서 직접 스니핑하거나--pcap $pcapfile 사용 네트워크 트래픽의 PCAP을 읽을 수 있습니다. 스크립트가 loki-bot 관련 네트워크 트래픽을 탐지하면 패킷에 포함된 데이터를 JSON 형식으로 화면에...

ma2tl

ma2tl macapt vers timeline Il s'agit d'un outil DFIR permettant de générer une chronologie forensique macOS à partir des bases de données de résultats d'analyse de macapt. Prérequis Python 3.7.0 ou ultérieur pytz tzlocal xlsxwriter Installation root@kitploit: % git clone...

ma2tl

ma2tl macapt to timeline This is a DFIR tool for generating a macOS forensic timeline from the analysis result DBs of macapt. Requirements Python 3.7.0 or later pytz tzlocal xlsxwriter Installation root@kitploit: % git clone https://github.com/mnrkbys/ma2tl.git Usage root@kitploit: % python...

ATMMalScan

Introduction ATMMalScan est un outil en ligne de commande pour les systèmes d'exploitation Windows version 7 et supérieures, qui aide à rechercher des traces de logiciels malveillants sur un DAB pendant le processus DFIR. Cet outil examine les processus en cours d'un système, ainsi que le disque...

SharpHide

SharpHide Un simpatico trucco di persistenza per confondere le indagini DFIR. Utilizza l'API nativa NtSetValueKey per creare una chiave di registro nascosta terminata da null. Funziona aggiungendo un byte null davanti al nome del valore della chiave UNICODESTRING. Maggiori informazioni su questa...

CVE-2024-4577-Exploitation-AsyncRAT-Deployment-DFIR-Investigation

CVE-2024-4577 Indagine DFIR su AsyncRAT...

LAB-DFIR-cve-2023-38831

LAB-DFIR-cve-2023-38831 Questo lab simula un attacco CVE-2023–38831 e richiede di investigare sull'immagine del disco; contiene inoltre una serie di domande tra cui la comprensione del registro di Windows, dei file NTFS, della cache del browser e una comprensione completa delle funzioni che...

memOptix

memOptix Este notebook Jupyter foi criado para auxiliar profissionais de DFIR na triagem de dumps de memória do Windows. Observe que este notebook foi criado com base na saída gerada pelo script Python Supermem da CrowdStrike https://github.com/CrowdStrike/SuperMem. O modo de triagem 2 ou 3 do...