Инструменты

Многофункциональные инструменты

Name Interface Platform Manufacturer Licence
EnCase Forensic GUI Windows Guidance Software Commercial
FTK (Forensic Toolkit) GUI Windows AccessData Commercial
Forensic Explorer GUI Windows GetData Commercial
X-Ways Forensics GUI Windows X-Way Software Technology AG Commercial
Mac Marshal Forensic Edition™ GUI Macintosh Architecture Technology Commercial
BlackLight GUI Anywhere BlackBag Technologies Commercial
Autopsy GUI Anywhere Brian Carrier Opensource

Живые CD/DVD

Name Interface Platform Manufacturer Licence
SIFT SANS Freeware
PALADIN SAMURI Freeware
DEFT DEFT Staff Freeware
Helix e-fense Commercial
BackTrack BackTrack Linux Freeware
C.A.IN.E Caine Freeware

Блокировка записи

Name Interface Platform Manufacturer Licence
Tableau Forensic Bridge Tableau Commercial
Wiebetech Dock Wiebetech Commercial

Анализ регистра

Name Interface Platform Manufacturer Licence
REGA(REGistry Analyzer) GUI Windows 4&6tech Commercial
Registry Recon GUI Windows Arsenal Recon Commercial
Registry Workshop GUI Windows TorchSoft Commercial
RegRipper CLI Windows Harlan Carvey Opensource
UserAssist GUI Windows Didier Stevens Freeware
Registry Binary Parser GUI Windows woanware Freeware/Opensource
RegRipperRunner GUI Windows woanware Freeware/Opensource
ForensicUserInfo GUI Windows woanware Freeware/Opensource
USBDeviceForensics GUI Windows woanware Freeware/Opensource
Windows USB Storage Parser (usp) CLI Windows TZWorks Freeware/Commercial
Yet Another Registry Utility (yaru) CLI Windows TZWorks Freeware/Commercial
Windows ShellBag Parser (sbag) CLI Windows TZWorks Freeware/Commercial
Computer Account Forensic Artifact Extractor (cafae) CLI Windows TZWorks Freeware/Commercial

Анализ метаданных файловых систем

Name Interface Platform Manufacturer Licence
mft2csv GUI Windows joakim Freeware
anlyzeMFT CLI Anywhere David Kovar Opensource
MFTView GUI Windows Sanderson Forensics Freeware
NTFS Directory Enumerator CLI Windows TZWorks Freeware/Commercial
Windows $MFT and NTFS Metadata Extractor Tool CLI Windows TZWorks Freeware/Commercial
Windows INDX Slack Parser CLI Windows TZWorks Freeware/Commercial
Graphical Engine for NTFS Analysis (gena) CLI Windows TZWorks Freeware/Commercial

Анализ событий

Name Interface Platform Manufacturer Licence
Event Log Explorer GUI Windows FSPro Labs Commercial
Log Parser CLI Windows Microsoft Freeware
NTFS Log Tracker GUI Windows blueangel Freeware
NTFS TriForce CLI Windows David Cowen Freeware
Windows Journal Parser (jp) GUI Windows TZWorks Freeware/Commercial
Windows Event Log Viewer GUI Windows TZWorks Freeware/Commercial
Windows Event Log Parser GUI Windows TZWorks Freeware/Commercial
UsnJrnl2Csv CLI Windows joakim Freeware
LogFile Parser CLI Windows joakim Freeware

Анализ малвари

Name Interface Platform Manufacturer Licence
PeStudio GUI Windows Marc Ochsenmeier Freeware
PEView GUI Windows Wayne J. Radburn Freeware
Automater CLI Win & Lin TEKDEFENSE OpenSource
Noriben CLI Windows Rurik OpenSource

Анализ артефактов веб-браузеров

Name Interface Platform Manufacturer Licence
WEFA(WEb browser Forensic Analyzer) GUI Windows 4&6 Tech Commercial
Web Historian GUI Windows Mandiant Freeware
IEF(Internet Evidence Finder) GUI Windows Magnet Forensics Commercial
ChromeForensics GUI Windows woanware Freeware
FireFoxForensics GUI Windows woanware Freeware
firefoxsessionstoreextractor GUI Windows woanware Freeware
Windows ‘index.dat’ Parser (id) CLI Windows TZWorks Freeware/Commercial
BrowsingHistoryView GUI Windows NirSoft Freeware
IECacheView GUI Windows NirSoft Freeware
IECookiesView GUI Windows NirSoft Freeware
IEHistoryView GUI Windows NirSoft Freeware
ChromeCacheView GUI Windows NirSoft Freeware
ChromeHistoryView GUI Windows NirSoft Freeware
MozilaCacheView GUI Windows NirSoft Freeware
MozilaCookieView GUI Windows NirSoft Freeware
MozilaHistoryView GUI Windows NirSoft Freeware
SafariCacheView GUI Windows NirSoft Freeware
SafariHistoryView GUI Windows NirSoft Freeware
OperaCacheView GUI Windows NirSoft Freeware
WebBrowserPassView GUI Windows NirSoft Freeware
MyLastSearch GUI Windows NirSoft Freeware

Анализ баз данных

Name Interface Platform Manufacturer Licence
Exchange EDB Viewer GUI Windows Lepide Software Freeware
ESEDatabaseView GUI Windows NirSoft Freeware
EseDbViewer GUI Windows woanware Freeware
SQLite Expert GUI Windows Bogdan Ureche Commercial
Oxygen SQLite Viewer GUI Windows Oxygen Forensic Commercial
SQLite Database Browser GUI Win & Mac Tabuleiro Opensource
OracleForensics Tools

Анализ электронной почты

Name Interface Platform Manufacturer Licence
E-mail Examiner GUI Windows Paraben Commercial
Mail Viewer GUI Windows MiTeC Freeware
Email Utilities GUI Windows Stellar Information Systems Commercial
Email Recovery Tools GUI Windows Lepide Software Commercial

Сетевая форензика

Name Interface Platform Manufacturer Licence
WireShark GUI Anywhere WireShark Freeware
NetworkMiner GUI Windows NETRESEC Commercial
RSA NetWitness GUI Win & Lin RSA Commercial
Ostinato GUI Anywhere Pstavirs Opensource
Packet Builder GUI Windows Colasoft Freeware
SplitCap CLI Windows NETRESEC Opensource
tshark CLI Anywhere WireShark Freeware
Scapy CLI Anywhere Philippe Biondi Opensource
tcpdump CLI Anywhere Freeware (Cheatsheet)
DNS Query Utility (dqu) CLI Windows TZWorks Freeware/Commercial
Packet Capture ICMP Carver (pic) CLI Windows TZWorks Freeware/Commercial
Network Xfer Client/Server Utility (nx) CLI Windows TZWorks Freeware/Commercial
snorbert CLI Windows Woanware Freeware
SessionViewer CLI Windows Woanware Freeware
enumdotnet CLI Windows Woanware Freeware

Мобильная форензика

Name Interface Platform Manufacturer Licence
MD Series GMDSystem Commercial
Cellebrite Mobile Forensics Cellebrite Commercial
Device Seizure Paraben Commercial
XRY Series Micro Systemation Commercial
Oxygen Forensic® Suite GUI Windows Oxygen Software Commercial
MPE+ GUI Windows Access Data Commercial
Lantern GUI Mac KatanaForensics Commercial
iPhone Backup Browser GUI Windows rene.devichi Commercial

Анализ хэшей

Name Interface Platform Manufacturer Licence
HashTab GUI Win & Mac Implbits Free/Comm
md5deep/hashdeep CLI Anywhere Jesse Kornblum Freeware
ssdeep CLI Anywhere ManTech Freeware
NSRL Hashsets NIST Freeware

Восстановление данных

Name Interface Platform Manufacturer Licence
RMF(Recover My Files) GUI Windows GetData Commercial
R-Studio GUI Anywhere R-Tools Technology Commercial
Power Data Recovery GUI Windows MiniTool® Solution Commercial

Фреймворки

Одним из самых популярных фреймворков является Volatility Framework — фреймворк для исследования образов содержимого оперативной памяти и извлечения цифровых артефактов из энергозависимой памяти (RAM).

Для тестирования фреймворка рекомендую воспользоваться готовыми образами RAM.
DFF (Digital Forensics Framework) — фреймворк для криминалистического анализа, интерфейсы представлены как в виде командной строки, так и GUI. DFF можно использовать для исследования жестких дисков и энергозависимой памяти и создания отчетов о пользовательских и системных действиях.
PowerForensics предоставляет единую платформу для криминалистического анализа жестких дисков в реальном времени.
Sleuth Kit (TSK) — это набор средств командной строки для цифровой судебной экспертизы, которые позволяют исследовать данные томов жестких дисков и файловой системы.
MIG: Mozilla InvestiGator — это платформа для проведения оперативных исследований на удаленных конечных точках. Фремйворк позволяет исследователям параллельно получать информацию из большого количества источников, ускоряя тем самым расследование инцидентов и обеспечение безопасности повседневных операций.
bulk_extractor — позволяет извлекать информацию с помощью специальных сканеров (почта, номер кредитной карты, GPS координаты, номера телефонов, EXIF данные в изображениях). Быстрота работы достигается за счет использования многопоточности и работы с жестким диском «напрямую».
PhotoRec — мультисистемная платформа для поиска и извлечения файлов с исследуемых образов операционных систем, компакт-дисков, карт памяти, цифровых фотокамер и т.д. Основное предназначение — извлечение удаленных (или утраченных) файлов.

Анализ сетевого взаимодействия

SiLK (System for Internet-Level Knowledge) — предназначен для эффективного сбора, хранения и анализа данных сетевого потока. SiLK идеально подходит для анализа трафика на магистрали или границе крупного, распределенного предприятия или провайдера среднего размера.
Wireshark — этот сетевой анализатор пакетов (или сниффер) может быть эффективно использован для анализа трафика (в том числе и вредоносного). Один из популярнейших инструментов. Функциональность, которую предоставляет Wireshark, очень схожа с возможностями программы tcpdump, однако Wireshark имеет графический пользовательский интерфейс и гораздо больше возможностей по сортировке и фильтрации информации. Программа позволяет пользователю просматривать весь проходящий по сети трафик в режиме реального времени, переводя сетевую карту в неразборчивый режим (promiscuous mode).

Реал-тайм утилиты

  • grr — GRR Rapid Response: инструмент для расследования и анализа инцидентов.
  • mig — Mozilla InvestiGator — распределенная реал-тайм платформа для расследования и анализа инцидентов.

Работа с образами (создание, клонирование)

  • dc3dd — улучшенная версия консольной утилиты dd.
  • adulau/dcfldd — еще одна улучшенная версия dd.
  • FTK Imager — FTK Imager- просмотр и клонирования носителей данных в среде Windows.
  • Guymager — просмотр и клонирования носителей данных в среде Linux.

Извлечение данных

  • bstrings — улучшенная версия популярной утилиты strings.
  • bulk_extractor — выявления email, IP-адресов, телефонов из файлов.
  • floss эта утилита использует расширенные методы статического анализа для автоматической деобфускации данных из двоичных файлов вредоносных программ.
  • photorec — утилита для извления данных и файлов изображений.
  • DMDE — DM Disk Editor and Data Recovery Software

  • The PC-3000 UDMA is a hardware-software solution intended for diagnosing and repairing HDDs based on SATA

Работа с RAM

  • inVtero.net — фреймворк, отличающийся высокой скоростью работы.
  • KeeFarce — извлечение паролей KeePass из памяти.
  • Rekall — анализ дампов RAM, написанный на python.
  • volatility — Volatility Framework представляет собой набор утилит для разностороннего анализа образов физической памяти.
  • VolUtility — веб-интерфейс для Volatility framework.

Сетевой анализ

  • SiLK Tools — инструменты для анализа трафика для облегчения анализа безопасности крупных сетей.
  • Wireshark — известнейший сетевой сниффер.

Артефакты Windows (извлечение файлов, историй загрузок, USB устройств и т.д.)

  • FastIR Collector — обширный сборщик информации о системе Windows (реестр, файловая система, сервисы, автозагрузка и т.д.)
  • FRED — кросплатформенный анализатор реестра Windows.
  • MFT-Parsers — лист сравнения MFT-парсеров (MFT — Master File Table).
  • MFTExtractor — MFT-парсер.
  • NTFS journal parser — парсер журналов NTFS.
  • NTFS USN Journal parser — — парсер журналов USN.
  • RecuperaBit — восстановление NTFS данных.
  • python-ntfs — анализ NTFS данных.
  • https://github.com/snovvcrash/usbrip (https://drive.google.com/file/d/1icgopzdFKT9sO7lUpG102MDhTi8CTcj9/view)

Исследование OS X

Поиск exif

Internet Artifacts

  • chrome-url-dumper — извлечение информации из Google Chrome.
  • hindsight — анализ истории Google Chrome/Chromium.

Анализ временных интервалов

  • plaso — извлечение и агрегация таймстапов.
  • timesketch — анализ таймстапов.

Hex редакторы

  • 0xED — HEX редактор OS X.
  • Hexinator — Windows версия Synalyze It.
  • HxD — маленький и быстрый HEX редактор.
  • iBored — кросс-платформенный HEX редактор.
  • Synalyze It! — HEX редактор в тимплейтами.
  • wxHex Editor — кросс-платформенный HEX редактор со сравнением файлов.

Конверторы

  • CyberChef — мультиинструмент для кодирования, декодирования, сжатия и анализа данных.
  • DateDecode — конвертирование бинарных данных.

Анализ файлов

Обработка образов дисков

  • imagemounter — утилита командной строки для быстрого монтирования образов дисков
  • libewf — Libewf библиотека и утилиты доступа и обработки форматов EWF, E01.
  • xmount — конвертирования образов дисков.

Дисковые инструменты и сбор данных

  • Arsenal Image Mounter утилита для работы с образами дисков в Windows, доступ к разделам и томам и т. д.
  • DumpIt утилита для создания дампа физической памяти компьютеров Windows, 32/64 бит. Может работать с USB-накопителя.
  • EnCase Forensic Imager утилита для создания доказательных файлов EnCase.
  • Encrypted Disk Detector утилита для выявления зашифрованных томов TrueCrypt, PGP или Bitlocker.
  • EWF MetaEditor утилита для редактирования метаданных EWF (E01).
  • FAT32 Format утилита для форматирования дисков большой емкости в FAT32.
  • Forensics Acquisition of Websites браузер, предназначенный для захвата веб-страниц для проведения расследований.
  • FTK Imager просмотр и клонирование носителей данных в среде Windows.
  • Guymager многопоточный утилита с GUI для создания образов дисков под управлением Linux.
  • Live RAM Capturer утилитая для извлечения дампа RAM, в том числе защищенный анти-отладочной или антидампинговой системой.
  • NetworkMiner инструмент сетевого анализадля обнаружения ОС, имени хоста и открытые портов сетевых узлов с помощью перехвата пакетов / анализа PCAP.
  • Magnet RAM Capture утилита для захвата RAM от Windows XP до Windows 10, Win Server 2003, 2008, 2012.
  • OSFClone утилита live CD/DVD/USB для создания dd или AFF образов.
  • OSFMount утилита для монитирования образов дисков, также позволяет создавать RAM-диски.

Анализ электронной почты

  • EDB Viewer утилита для просмотра файлов EDB Outlook без сервера Exchange.
  • Mail Viewer утилита для просмотра файлов Outlook Express, Windows Mail/Windows Live Mail, базы данных сообщений Mozilla Thunderbird и отдельных файлов EML.
  • MBOX Viewer утилита для просмотра электронных писем и вложений MBOX.
  • OST Viewer утилита для просмотра файлов OST Outlook без сервера Exchange.
  • PST Viewer утилита для просмотра файлов PST Outlook без сервера Exchange.

Анализ файлов и данных

  • analyzeMFT утилита парсинга MFT из файловой системы NTFS, позволяя анализировать результаты с помощью других инструментов.
  • bstrings утилита поиска в двоичных данных, включая поиск регулярных выражений.
  • CapAnalysis утилита просморта PCAP.
  • Crowd Response консольное приложение Windows для помощи в сборе системной информации для реагирования на инциденты и обеспечения безопасности.
  • Crowd Inspect утилита для получения информации о сетевых процессах, перечислении двоичных файлов, связанных с каждым процессом. Создает запросы к VirusTotal и другим онлайн-средствам анализа вредоносных программ и служб репутации.
  • DCode утилита преобразует различные типы данных в значения даты / времени.
  • Defraser утилита для обнаружения полных и частичных данных о мультимедийных файлах в нераспределенном пространстве.
  • eCryptfs Parser утилита рекурсивно анализирует заголовки каждого файла eCryptfs в выбранном каталоге.
  • Encryption Analyzer утилита для анализа защищенных паролем и зашифрованных файлов, анализирует сложность шифрования отчетов и варианты дешифрования для каждого файла.
  • ExifTool утилита для чтения и редактирования данных Exif в большом количестве типов файлов.
  • File Identifier онлайн анализ типа файлов (более 2000).
  • Forensic Image Viewer утилита для извлечения данных из изображений.
  • Link Parser утилита для рекурсивного анализа папок, извлекающая более 30 атрибутов из файлов Windows .lnk (shortcut).
  • Memoryze анализ образов RAM, включая анализ «page» файлов.
  • MetaExtractor утилита для извеления мета-информации из офисных документов и pdf.
  • Shadow Explorer утилита для просмотра и извлечения файлов из теневых копий.

Инструменты для Mac OS

  • Audit утилита для вывода аудита и журналов OS X.
  • Disk Arbitrator блокирует монтирование файловых систем, дополняя блокиратор записи при отключении арбитража диска.
  • FTK Imager CLI for Mac OS консольная версия для Mac OS утилиты FTK Imager.
  • IORegInfo утилита для отображении информации по подключенным к компьютеру устройствам (SATA, USB и FireWire, программные RAID-массивы). Может определять информацию раздела, включая размеры, типы и шину, к которой подключено устройство.
  • mac_apt утилита для работы с образами E01, DD, DMG.
  • Volafox утилита для анализа памяти в Mac OS X.

Мобильные устройства

  • iPBA2 утилита анализа резервных копий iOS.
  • iPhone Analyzer утилита анализа файловой структуры Pad, iPod и iPhone.
  • ivMeta утилита для извлечения модели телефона и версии программного обеспечения, а также временные данные и данные GPS с видео iPhone.
  • Rubus утилита для деконструирования резервных файлов Blackberry .ipd.
  • SAFT извлечение SMS, журналов звонков и контактов из Android устройств.