Skip to content

Latest commit

 

History

History
599 lines (191 loc) · 35.2 KB

应急响应大合集：用于安全事件响应的工具与资源列表-云栖社区-阿里云.md

File metadata and controls

599 lines (191 loc) · 35.2 KB
Raw

本文由 简悦 SimpRead 转码， 原文地址 yq.aliyun.com 精简版 0 0 0

  1. 云栖社区>
  2. 博客>
  3. 正文

应急响应大合集：用于安全事件响应的工具与资源列表

美人迟暮 2017-05-02 11:37:00 浏览3893

应急响应大合集：用于安全事件响应的工具与资源列表

IR 工具收集

工具集

  • Belkasoft Evidence Center - 该工具包通过分析硬件驱动、驱动镜像、内存转储、iOS、黑莓与安卓系统备份、UFED、JTAG 与 chip-off 转储来快速从多个源提取数字证据

  • CimSweep - CimSweep 是一套基于 CIM/WMI 的工具,能够在所有版本的 Windows 上执行远程事件响应

  • CIRTkit - CIRTKit 不仅是一个工具集合,更是一个框架,帮助在事件响应与取证调查过程中统一

  • Cyber Triage - Cyber Triage 远程收集\分析终端数据,以帮助确定计算机是否被入侵.其专注易用性与自动化,采用无代理方法使公司在没有重大基础设施\没有取证专家团队的情况下做出响应,其结果用于决定是否应该被擦除或者进行进一步调查

  • Digital Forensics Framework - DFF 是一个建立在专用 API 之上的开源计算机取证框架,DFF 提出了一种替代目前老旧的数字取证解决方案,其设计简单\更加自动化,通过 DFF 接口可以帮助用户进行数字调查取证的主要步骤,专业与非专业人员都可以快速的进行数字取证并执行事件响应

  • Doorman - Doorman 是一个 osquery 的管理平台,可以远程管理节点的 osquery 配置.它利用 osquery 的 TLS 配置\记录器\分布式读写等优势为管理员提供最小开销的管理

  • Envdb - Envdb 将你的生产\开发\云等环境变成数据库集群,你可以使用 osquery 作为基础搜索,它可以和集群中心节点包装 osquery 的查询过程

  • Falcon Orchestrator - Falcon Orchestrator 是由 CrowdStrike 提供的一个基于 Windows 可扩展的应用程序,提供工作流自动化、案例管理与安全应急响应等功能

  • FIDO - Netflix 开发的 Fully Integrated Defense Operation (FIDO) 用于自动化评估\响应恶意软件入侵响应过程,FIDO 的主要目的是协助处理大量的手动工作来评估对安全堆栈的威胁与生成的大量警报

  • GRR Rapid Response - GRR Rapid Response 是一个用来远程现场取证的应急响应框架，其带有一个可以管理客户端的 Python 编写的服务器

  • Kolide - Kolide 是一个无代理的 osquery Web 接口与远程 API 服务器,Kolide 作为 Envdb 替代品的设计理念就是极度便携(仅有一个可执行程序),在保持代码简单的情况下保持性能

  • Limacharlie - 一个终端安全平台,它本身是一个小项目的集合,并提供了一个跨平台的低级环境,你可以管理并推送附加功能进入内存给程序扩展功能

  • MIG - Mozilla Investigator (MIG) 是一个在远程终端执行调查的平台,它可以在大量系统中并行获取数据,从而加速事故调查与保证日常业务安全

  • MozDef - Mozilla Defense Platform (MozDef) 旨在帮助安全事件处理自动化,并促进事件的实时处理

  • nightHawk - nightHawk Response Platform 是一个以 ElasticSearch 为后台的异步取证数据呈现的应用程序,设计与 Redline 配合调查

  • Open Computer Forensics Architecture - Open Computer Forensics Architecture (OCFA) 是另一个分布式开源计算机取证框架,这个框架建立在 Linux 平台上,并使用 postgreSQL 数据库来存储数据

  • Osquery - osquery 可以找到 Linux 与 OSX 基础设施的问题,无论你是要入侵检测还是基础架构可靠性检查 osquery 都能够帮助你提高公司内部的安全组织能力, incident-response pack 可以帮助你进行检测\响应活动

  • Redline - 为用户提供主机调查工具，通过内存与文件分析来找到恶意行为的活动迹象，包括对威胁评估配置文件的开发

  • The Sleuth Kit & Autopsy - Sleuth Kit 是基于 Unix 和 Windows 的工具，可以帮助计算机取证分析，其中包含各种协助取证的工具，比如分析磁盘镜像、文件系统深度分析等

  • TheHive - TheHive 是一个可扩展的三个一开源解决方案，旨在让 SOC、CSIRT、CERT 或其他任何信息安全从业人员方便的进行安全事件调查

  • X-Ways Forensics - X-Ways 是一个用于磁盘克隆、镜像的工具，可以查找已经删除的文件并进行磁盘分析

  • Zentral - 与 osquery 强大的端点清单保护能力相结合，通知与行动都灵活的框架，可以快速对 OS X 与 Linux 客户机上的更改做出识别与响应

书籍

社区

磁盘镜像创建工具

  • AccessData FTK Imager - AccessData FTK Imager 是一个从任何类型的磁盘中预览可恢复数据的取证工具,FTK Imager 可以在 32\64 位系统上实时采集内存与页面文件

  • GetData Forensic Imager - GetData Forensic Imager 是一个基于 Windows 程序,将常见的文件格式进行获取\转换\验证取证

  • Guymager - Guymager 是一个用于 Linux 上媒体采集的免费镜像取证器

  • Magnet ACQUIRE - Magnet Forensics 开发的 ACQUIRE 可以在不同类型的磁盘上执行取证,包括 Windows\Linux\OS X 与移动操作系统

证据收集

  • bulk_extractor - bulk_extractor 是一个计算机取证工具，可以扫描磁盘映像、文件、文件目录，并在不解析文件系统或文件系统结构的情况下提取有用的信息，由于其忽略了文件系统结构，程序在速度和深入程度上都有了很大的提高

  • Cold Disk Quick Response - 使用精简的解析器列表来快速分析取证镜像文件(dd, E01, .vmdk, etc)并输出报告

  • ir-rescue - ir-rescue 是一个 Windows 批处理脚本与一个 Unix Bash 脚本,用于在事件响应期在主机全面收集证据

  • Live Response Collection - BriMor 开发的 Live Response collection 是一个用于从各种操作系统中收集易失性数据的自动化工具

应急管理

  • FIR - Fast Incident Response (FIR) 是一个网络安全应急管理平台，在设计时考虑了敏捷性与速度。其可以轻松创建、跟踪、报告网络安全应急事件并用于 CSIRT、CERT 与 SOC 等人员

  • RTIR - Request Tracker for Incident Response (RTIR) 对于安全团队来说是首要的开源应急处理系统,其与世界各地的十多个 CERT 与 CSIRT 合作,帮助处理不断增加的事件报告,RTIR 包含 Request Tracker 的全部功能

  • SCOT - Sandia Cyber Omni Tracker (SCOT) 是一个应急响应协作与知识获取工具,为事件响应的过程在不给用户带来负担的情况下增加价值

  • threat_note - 一个轻量级的调查笔记，允许安全研究人员注册、检索他们需要的 IOC 数据

Linux 发行版

  • ADIA - Appliance for Digital Investigation and Analysis (ADIA) 是一个基于 VMware 的应用程序,用于进行数字取证.其完全由公开软件构建,包含的工具有 Autopsy\Sleuth Kit\Digital Forensics Framework\log2timeline\Xplico\Wireshark 大多数系统维护使用 Webmin.可在各种系统下进行使用

  • CAINE - Computer Aided Investigative Environment (CAINE) 包含许多帮助调查人员进行分析的工具,包括取证工具

  • DEFT - Digital Evidence & Forensics Toolkit (DEFT) 是一个用于计算机取证的 Linux 发行版,它与 Windows 上的 Digital Advanced Response Toolkit (DART) 捆绑在一起.DEFT 的轻量版被成为 DEFT Zero

  • NST - Network Security Toolkit - 包括大量的优秀开源网络安全应用程序的 Linux 发行版

  • PALADIN - PALADIN 是一个附带许多开源取证工具的改 Linux 发行版,用于在法庭上以正确的方式执行取证任务

  • Security Onion - Security Onion 是一个特殊的 Linux 发行版,旨在利用高级的分析工具进行网络安全监控

  • SIFT Workstation - SANS Investigative Forensic Toolkit (SIFT) 使用优秀开源工具以实现高级事件响应与入侵深度数字取证,这些功能免费提供,并且经常更新

Linux 证据收集

日志分析工具

  • Lorg - 一个用 HTTPD 日志进行高级安全分析与取证的工具

内存分析工具

  • Evolve - Volatility 内存取证框架的 Web 界面

  • inVtero.net - 支持 hypervisor 的 Windows x64 高级内存分析

  • KnTList - 计算机内存分析工具

  • LiME - LiME 是 Loadable Kernel Module (LKM),可以从 Linux 以及基于 Linux 的设备采集易失性内存数据

  • Memoryze - 由 Mandiant 开发的 Memoryze 是一个免费的内存取证软件,可以帮助应急响应人员在内存中定位恶意部位, Memoryze 也可以分析内存镜像或者装成带有许多分析插件的系统

  • Memoryze for Mac - Memoryze for Mac 是 Memoryze 但仅限于 Mac,且功能较少

  • Rekall - 用于从 RAM 中提取样本的开源工具

  • Responder PRO - Responder PRO 是一个工业级的物理内存及自动化恶意软件分析解决方案

  • Volatility - 高级内存取证框架

  • VolatilityBot - VolatilityBot 是一个自动化工具,帮助研究员减少在二进制程序提取解析阶段的手动任务,或者帮助研究人员进行内存分析调查的第一步

  • WindowsSCOPE - 一个用来分析易失性内存的取证与逆向工程工具,被用于对恶意软件进行逆向分析,提供了分析 Windows 内核\驱动程序\DLL\虚拟与物理内存的功能

内存镜像工具

  • Belkasoft Live RAM Capturer - 轻量级取证工具,即使有反调试\反转储的系统保护下也可以方便地提取全部易失性内存的内容

  • Linux Memory Grabber - 用于 dump Linux 内存并创建 Volatility 配置文件的脚本

  • Magnet RAM Capture - Magnet RAM Capture 是一个免费的镜像工具,可以捕获可疑计算机中的物理内存,支持最新版的 Windows

  • OSForensics - OSForensics 可以获取 32/64 位系统的实时内存,可以将每个独立进程的内存空间 dump 下来

OSX 证据收集

  • Knockknock - 显示那些在 OSX 上被设置为自动执行的那些脚本、命令、程序等

  • OSX Auditor - OSX Auditor 是一个面向 Mac OS X 的免费计算机取证工具

  • OSX Collector - OSX Auditor 的实时响应版

其他工具

  • Cortex - Cortex 可以通过 Web 界面逐个或批量对 IP 地址\邮件地址\URL\域名\文件哈希的分析,还可以使用 REST API 来自动执行这些操作

  • Crits - 一个将分析引擎与网络威胁数据库相结合且带有 Web 界面的工具

  • Fenrir - Fenrir 是一个简单的 IOC 扫描器,可以在纯 bash 中扫描任意 Linux/Unix/OSX 系统,由 THOR 与 LOKI 的开发者创作

  • Fileintel - 为每个文件哈希值提供情报

  • Hindsight - Google Chrome/Chromium 的互联网

  • Hostintel - 为每个主机提供情报

  • Kansa - Kansa 是一个 PowerShell 的模块化应急响应框架

  • rastrea2r - 使用 YARA 在 Windows、Linux 与 OS X 上扫描硬盘或内存

  • RaQet - RaQet 是一个非常规的远程采集与分类工具,允许对那些为取证构建的操作系统进行远端计算机的遴选

  • Stalk - 收集关于 MySQL 的取证数据

  • SearchGiant - 从云服务中获取取证数据的命令行程序

  • Stenographer - Stenographer 是一个数据包捕获解决方案,旨在快速将全部数据包转储到磁盘中,然后提供对这些数据包的快速访问.它存储尽可能多的历史记录并且管理磁盘的使用情况,在磁盘受限被触发时执行既定策略,非常适合在事件发生前与发生中捕获流量,而不是显式存储所有流量

  • traceroute-circl - 由 Computer Emergency Responce Center Luxembourg 开发的 traceroute-circl 是一个增强型的 traceroute 来帮助 CSIRT\CERT 的工作人员,通常 CSIRT 团队必须根据收到的 IP 地址处理事件

  • X-Ray 2.0 - 一个用来向反病毒厂商提供样本的 Windows 实用工具(几乎不再维护)

Playbooks

进程 Dump 工具

  • Microsoft User Mode Process Dumper - 用户模式下的进程 dump 工具,可以 dump 任意正在运行的 Win32 进程内存映像

  • PMDump - PMDump 是一个可以在不停止进程的情况下将进程的内存内容 dump 到文件中的工具

沙盒／逆向工具

  • Cuckoo - 开源沙盒工具

  • Cuckoo-modified - 社区基于 Cuckoo 的大修版

  • Cuckoo-modified-api - 一个用来控制 Cuckoo 沙盒设置的 Python 库

  • Hybrid-Analysis - Hybrid-Analysis 是一个由 Payload Security 提供的免费在线沙盒

  • Malwr - Malwr 是由 Cuckoo 沙盒提供支持的一个免费在线恶意软件分析服务

  • Mastiff - MASTIFF 是一个静态分析框架,可以自动化的从多种文件格式中提取关键特征

  • Viper - Viper 是一个基于 Python 的二进制程序分析及管理框架,支持 Cuckoo 与 YARA

  • Virustotal - Virustotal, Google 的子公司,一个免费在线分析文件/URL的厂商,可以分析病毒\蠕虫\木马以及其他类型被反病毒引擎或网站扫描器识别的恶意内容

  • Visualize_Logs - Cuckoo、Procmon等日志的开源可视化库

时间线工具

  • Highlighter - Fire/Mandiant 开发的免费工具,用来分析日志/文本文件,可以对某些关键字或短语进行高亮显示,有助于时间线的整理

  • Plaso - 一个基于 Python 用于 log2timeline 的后端引擎

  • Timesketch - 协作取证时间线分析的开源工具

视频

Windows 证据收集

  • AChoir - Achoir 是一个将对 Windows 的实时采集工具脚本化变得更标准与简单的框架

  • Binaryforay - 一个 Windows 取证的免费工具列表 (http://binaryforay.blogspot.co.il/)

  • Crowd Response - 由 CrowdStrike 开发的 Crowd Response 是一个轻量级 Windows 终端应用,旨在收集用于应急响应与安全操作的系统信息,其包含许多模块与输出格式

  • FastIR Collector - FastIR Collector 在 Windows 系统中实时收集各种信息并将结果记录在 CSV 文件中,通过对这些信息的分析,我们可以发现早期的入侵痕迹

  • FECT - Fast Evidence Collector Toolkit (FECT) 是一个轻量级的应急响应工具集,用于在可疑的 Windows 计算机上取证,它可以让非技术调查人员更专业的进行应急处理

  • Fibratus - 利用与跟踪 Windows 内核的工具

  • IOC Finder - IOC Finder 是由 Mandiant 开发的免费工具,用来收集主机数据并报告存在危险的 IOC

  • Fidelis ThreatScanner - Fidelis ThreatScanner 是一个由 Fidelis Cybersecurity 开发的免费工具,使用 OpenIOC 和 YARA 来报告终端设备的安全状态,ThreatScanner 衡量系统的运行状态后会出具匹配情况的报告,仅限 Windows

  • LOKI - Loki 是一个使用 YARA 与其他 IOC 对终端进行扫描的免费 IR 扫描器

  • PowerForensics - PowerShell 开发的实时硬盘取证框架

  • PSRecon - PSRecon 使用 PowerShell 在远程 Windows 主机上提取/整理数据,并将数据发送到安全团队,数据可以通过邮件来传送数据或者在本地留存

  • RegRipper - Regripper 是用 Perl 编写的开源工具,可以从注册表中提取/解析数据(键\值\数据)提供分析

  • TRIAGE-IR - Triage-IR 是一个 Windows 下的 IR 收集工具

本文来自合作伙伴“阿里聚安全”，发表于 2017年04月17日 10:15.

本文首发在云栖社区，遵循云栖社区版权声明：本文内容由互联网用户自发贡献，版权归用户作者所有，云栖社区不为本文内容承担相关法律责任。云栖社区已在2020年6月升级到阿里云开发者社区。如果您发现有涉嫌抄袭的内容，请填写侵权投诉表单进行举报，一经查实，阿里云开发者社区将协助删除涉嫌侵权内容。

网友评论

[登录](https://account.aliyun.com/login/login.htm?from_type=yqclub&oauth_callback=https%3A%2F%2Fyq.aliyun.com%2Farticles%2F85909%3Fdo%3Dlogin)后评论  0/500    评论

加载失败，请刷新页面

相关文章

企业安全管理的“六脉神剑” 小旋风柴进 2017-05-02 09:07:00 浏览1551 应急响应大合集：用于安全事件响应的工具与资源列表 美人迟暮 2017-05-02 11:35:00 浏览2794 CIO:云计算数据中心运维管理要点 玄学酱 2017-07-05 11:12:00 浏览1050 实例：某大型企业遭受勒索蠕虫袭击纪实 知与谁同 2017-07-05 17:03:00 浏览1748 WannaCry勒索蠕虫下的工控安全预警 知与谁同 2017-07-03 16:05:00 浏览1415 网络摄像头路由器存漏洞 使用智能设备需注意安全 知与谁同 2017-07-03 11:04:00 浏览1172 智能设备，注意安全 知与谁同 2017-07-03 15:29:00 浏览1342 勒索病毒肆虐 凸显三大信息安全问题 知与谁同 2017-07-03 15:34:00 浏览1259 如何应对数据中心突发事件 boxti 2017-08-02 10:35:42 浏览1766 九步成功打造应急响应计划 玄学酱 2017-07-05 14:15:00 浏览1322 WannaCry勒索蠕虫下的工控安全预警 云栖大讲堂 2017-08-01 15:40:00 浏览1746 云应急响应和取证：企业须知 晚来风急 2017-08-02 13:40:00 浏览1071 不要忽视安全事件应急响应管理 云栖大讲堂 2017-09-01 16:05:00 浏览1772 不要被自己的漏洞打败 解读ISO27001及ISO27002漏洞管理方法 晚来风急 2017-09-01 13:26:00 浏览1705 应急响应前移：从事后到事前 行者武松 2017-11-16 14:59:11 浏览1696 网络与信息安全应急处置预案 cnbird 2011-09-19 10:35:36 浏览1433 安全评估问题收集与整理 cnbird 2009-07-20 12:51:00 浏览865 云计算数据中心运维管理要点 技术小阿哥 2017-11-27 16:01:00 浏览1187 云计算数据中心运维管理要点 技术小大人 2017-11-09 14:01:00 浏览1088 阿里率先响应大进口战略，邀约200家世界顶级品牌参加首届国际进口博览会 技术小能手 2018-07-30 09:37:15 浏览2047 下拉加载更多

  • 作者介绍

美人迟暮

+ 关注

1034

文章数

18

粉丝数

0

关注的人

  • 技术领域

[

开发与运维

集结各类场景实战经验，助你开发运维畅行无忧

](http://developer.aliyun.com/group/othertech)

下一篇 【云栖号直播】本周重磅：2020阿里云弹性计算年度发布会 云栖号资讯小编 35692人浏览

  • 本文目录

  1. 应急响应大合集：用于安全事件响应的工具与资源列表

  2. 工具集

  3. 书籍

  4. 社区

  5. 磁盘镜像创建工具

  6. 证据收集

  7. 应急管理

  8. Linux 发行版

  9. Linux 证据收集

  10. 日志分析工具

  11. 内存分析工具

  12. 内存镜像工具

  13. OSX 证据收集

  14. 其他工具

  15. Playbooks

  16. 进程 Dump 工具

  17. 沙盒／逆向工具

  18. 时间线工具

  19. 视频

  20. Windows 证据收集