ShashankD210/DFIR

# DFIR Toolkit - 安装指南 适用于 Linux 环境的数字取证与事件响应工具包。 ## 要求 - Python 3.8+ - Root 权限（用于分类、捕获和 rootkit 模块） ## 快速安装 ``` # 设置为可执行 (已完成) chmod +x dfir_toolkit.py # 检查可用工具 ./dfir_toolkit.py check-tools # 安装所有推荐的 DFIR 工具 (需要 sudo) sudo ./dfir_toolkit.py install-all ``` ## 手动安装工具 ### APT 软件包 (Ubuntu/Debian) ``` sudo apt update sudo apt install -y \ autopsy sleuthkit \ tshark tcpdump \ yara clamav \ binutils strace lsof net-tools iproute2 \ chkrootkit rkhunter lynis \ foremost bulk-extractor \ libimage-exiftool-perl \ dc3dd dcfldd \ hashdeep ssdeep \ john \ plaso auditd \ radare2 osquery \ libhivex-bin ``` ### pip 软件包 ``` pip3 install volatility3 binwalk rekall peframe regipy oledump pdf-parser capa lief unicorn ``` ## 预构建发行版 部分工具需要手动下载： - **Ghidra**：从 NSA [GitHub](https://github.com/NationalSecurityAgency/ghidra) 下载 - **Velociraptor**：从 [GitHub](https://github.com/Velocidex/velociraptor) 下载 ## 用法 ``` # 系统分诊 sudo ./dfir_toolkit.py triage --output /tmp/dfir # 文件哈希 ./dfir_toolkit.py hash /path/to/files --algo sha256 --output hashes.json # 内存分析 ./dfir_toolkit.py memory memory.dump --output /tmp/memory_analysis # YARA 扫描 ./dfir_toolkit.py yara rules.yar /target/path --output yara_results.txt # 网络捕获 sudo ./dfir_toolkit.py capture --iface eth0 --duration 120 --output capture.pcap # 日志收集 ./dfir_toolkit.py logs --output /tmp/logs # Rootkit 检查 sudo ./dfir_toolkit.py rootkit --output /tmp/rootkit.txt # 生成报告 ./dfir_toolkit.py report /tmp/dfir/triage_* --output report.txt ``` ## 工具分类 | 类别 | 工具 | |----------|-------| | 内存取证 | volatility3, rekall, volatility2 | | 磁盘取证 | autopsy, sleuthkit, foremost, bulk-extractor, dc3dd, dcfldd | | 网络分析 | wireshark/tshark, tcpdump | | 恶意软件分析 | yara, clamav, peframe, oledump, pdfid, capa, radare2, lief, binwalk | | Rootkit 检测 | chkrootkit, rkhunter | | 安全审计 | lynis, auditd, osquery | | 文件恢复 | hashdeep, ssdeep | | 注册表分析 | hivex, regipy | | 元数据提取 | exiftool | ## 许可证 开源 - 请负责任地使用，并遵守适用的法律法规。

标签：AlienVault OTX, Cutter, DAST, PB级数据处理, 安全运维, 库, 应急响应, 恶意软件分析, 数字取证, 自动化脚本, 逆向工具