应急涉及软件
应急首先要保证客户的资产安全,所以可以先对受害机器做镜像,后面再进行研究。
1. 磁盘镜像
(1)GetData Forensic Imager:基于windows程序的磁盘镜像备份工具,用于对常见的文件格式进行转换取证获取等操作
(2)Guymager:是用于linux的媒体采集的免费镜像取证器。
(3)DataNumen Disk Image:一款免费管理硬盘驱动器镜像的创建和创作恢复软件。
(4)Clonezilla:一个用于Linux、Free-Net-OpenBSD、mac、windows、Minix的分区和磁盘克隆程序。支持的文件有EXT、NTFS、FAT、XFS、JFS、Btrfs、LVM2和VM的VMFS。
2. 内存数据收集
(1)Belkasoft Live RAM Capturer:轻量级取证工具,方便提取出内存易失性内存的内容。
(2)Linux Memory Grabber:用于转存Linux内存,并创建Volatility配置文件脚本。
(3)Magnet RAM Capture:一个免费的镜像工具,可以获取计算机中的物理内存
(4)linux命令dd:dd if=/dev/fmem of=sun.txt bs=1M count=1
3. 进程收集
(1)Microsoft User Mode Process Dumper:用户模式下的进程转储工具。
(2)ProcDump:轻量级抓取进程工具
(3)GBD:开源调试工具,可以抓取进程。