Boîte à outils

1. Live forensic

git clone https://github.com/xophidia/DFIR_Linux_Collector.git  
cd DFIR_Linux_Collector  
./setup.sh  
  
./DFIR_linux_collector 

Dump generic artifacts  
    
   +  passwd ...................[success]  
   +  auth .....................[success]  
   +  syslog ...................[success]  ...

1. Chkrootkit

Tout comme le programme rkhunter, chkrootkit recherche la présence de rootkits.

2. ClamAV

ClamAV est un moteur d’antivirus multiplateforme. Compatible avec les règles YARA, il s’appuie sur plusieurs types de signatures numériques pour effectuer ses analyses.

3. Hfind

Hfind est un outil présent dans la suite The Sleuth kit. Il permet de parcourir une base de données d’empreintes numériques afin d’identifier un élément passé en paramètre. Il peut s’avérer utile par exemple lors de la recherche d’empreintes numériques au sein de la base NSRL. Cette dernière est d’ailleurs disponible sur le site du NIST : https://www.nist.gov/itl/ssd/software-quality-group/national-software-reference-library-nsrl/nsrl-download/current-rds

4. Loki et Thor

Nextron Systems propose trois scanners, Loki, Thor Lite et Thor 10. Un comparatif est disponible sur le site officiel pour identifier celui qui répond le mieux aux besoins : https://www.nextron-systems.com/compare-our-scanners/)

Lors de sa première exécution, Loki met à jour sa base de données de règles YARA provenant de ces dépôts :

Cette société propose également la solution Valhalla qui contient plus de 17 000 règles YARA. Ces scanners ne se limitent pas aux règles YARA puisque les IoC et les règles SIGMA font également partie des sources de connaissance exploitables.

5. MISP

1. Autopsy

Autopsy est une solution d’investigation numérique, open source et disponible pour Windows et Linux. Il s’agit d’une interface graphique qui permet une analyse des prélèvements de mémoire de masse et de mémoire vive. Il regroupe les éléments par thème facilitant le travail de l’analyste et s’appuie sur la suite The Sleuth Kit afin d’analyser les images disques.

La figure 7 suivante est un exemple des catégories d’artefacts exploitables : https://openclassrooms.com/fr/courses/1750151-menez-une-investigation-d-incident-numerique-forensic/6474302-identifiez-les-artefacts-windows-dinteret-pour-linvestigation

Figure 7 : exemple des catégories d’artefacts exploitables

À noter qu’Autopsy propose également un module pour exploiter les données provenant du projet VIC qui se charge d’offrir des éléments/services concourant à la protection des enfants (https://www.projectvic.org/).

2. DFTimewolf

DFTimewolf est un orchestrateur pensé pour la réponse à incident et l’investigation numérique. Il assure la récolte, le traitement et l’export des données. Il s’appuie sur des connecteurs « modules » et sur des recettes (recipes) afin d’automatiser les traitements. Il s’intègre à des solutions telles que Plaso, Timesketch, GRR, GCP (Google Cloud Platform), AWS.

Ci-dessous l’exemple d’une recette permettant de télécharger sur le site VirusTotal un fichier PCAP associé à une empreinte numérique.

{  
 "name": "vt_pcap",  
 "short_description": "Downloads the PCAP from VirusTotal 
for a specific hash.", 
 "description": "Downloads the PCAP files generated from 
VirusTotal sandbox's...

1. Bulk_extractor

Il s’agit d’un outil dédié à l’extraction de fichiers et de répertoires depuis un prélèvement monté ou non. Compatible avec Microsoft Windows et GNU/Linux. Il possède de nombreuses options que vous retrouverez dans ce manuel : https://digitalcorpora.s3.amazonaws.com/downloads/bulk_extractor/BEUsersManual.pdf. Il ne s’appuie pas sur les en-têtes des fichiers contrairement à Scalpel, mais sur le contenu qu’il soit alloué ou non, fragmenté ou bien compressé.

Bulk-extractor /mnt/analyste/tsk.dd -o /tmp/out/ 

De nombreux scanners sont disponibles afin de cibler au mieux votre recherche. L’option -e active un scanner alors que -E désactive tous les scanner hormis celui précisé. Par exemple, nous désactivons tous les scanners hormis JSON et autorisons en plus ELF. Ce seront ces deux formats qui seront récupérés.

Bulk-extractor -E json -e elf /mnt/analyste/tsk.dd...

1. Bitscout

Bitscout est un script d’automatisation de création d’une image bootable. L’idée est de fournir un cadre optimal pour effectuer la phase de triage, la recherche des malwares et l’investigation numérique. Le système d’exploitation hôte est Ubuntu. Comptez quelques minutes pour la création de l’image.

L’installation vous propose trois modes selon la quantité d’outils éléments présents. La liste des outils est disponible sur le même dépôt GitHub et libre à vous d’en ajouter au besoin. La connexion à l’image se fera via un VPN ; trois solutions vous sont proposées (OpenVPN via TCP ou UDP et WireGuard). Le format de l’image disponible est ISO, RAW, Qcow2 et VMDK et comptez 800 MB pour une image de type compact.

git clone https://github.com/vitaly-kamluk/bitscout.git  
sudo ./automake.sh  
  
1. compact - minimal size, less tools and drivers.  
2. normal - some forensic tools, all drivers, etc.  
3. maximal - includes maximum forensic tools and frameworks. 

2. CSI Linux

Il s’agit d’une distribution dédiée à l’investigation numérique. La liste des outils installés (https://csilinux.com/) permet de répondre aux besoins des différentes...

1. Solutions existantes

Avant de présenter quelques cas concrets, commençons par énumérer les solutions les plus connues pouvant être utilisées pour la construction et le déploiement d’un laboratoire d’analyse. Les solutions identifiées ci-dessous sont triées par ordre alphabétique.

Ansible

Ansible est une solution dédiée à la gestion de configuration ainsi qu’au déploiement de solutions logicielles sur un système...