Artifact Collection, malware traces, logs, incident response Сбор артефактов, следы вредоносных программ, журналы, реагирование на инциденты

[BloodBear]

Hello all,

I'm wondering what some of you may use for your artifact and event log collection software. Do you use stuff like nirsoft.ab applications, or bulk extractor, Kape or other software? Just wondering what people are using for collecting and analyzing logs and searching for dormant malware.

Then another question of mine is what to people use in incident response for this same thing once they get a forensic image, what tools do you use to analyze that image?

Thank you.

Всем здравствуйте,


Мне интересно, что некоторые из вас могут использовать для своего программного обеспечения для сбора журналов артефактов и событий. Используете ли вы такие вещи, как приложения nirsoft.ab или массовое извлечение, Kape или другое программное обеспечение? Просто интересно, что люди используют для сбора и анализа журналов и поиска бездействующих вредоносных программ.


Тогда еще один мой вопрос: что люди используют при реагировании на инциденты для той же самой вещи, когда они получают криминалистическое изображение, какие инструменты вы используете для анализа этого изображения?


Спасибо.

 

[c00nter]

For a forensic image I've seen FTK Imager and Autopsy, very complete ones. Autopsy is really nice to navigate the timeline too, there's timestamps for everything.

 

[BloodBear]

Thank you, I have used both of those and i like them as well.
have you done anything to collect artifacts / analyze traces of malware?

 

[c00nter]

other than finding IOC as IP address, MAC, and maybe the residual files or executables, I am afraid not