DFIR Companion

증상 수집 및 가져오기

브라우저 확장을 통해 조사 중인 콘솔의 스크린샷을 캡처하고, Velociraptor, Splunk, EDR 등 다양한 소스에서 이벤트 로그를 가져올 수 있습니다. 가져온 증거는 자동으로 처리되어 타임라인에 추가되며, 해시 기반 중복 제거 기능을 통해 동일한 증거의 재수집을 방지합니다.

AI 기반 분석

두 단계의 AI 분석을 수행합니다: 먼저 저비용 모델로 스크린샷에서 텍스트를 추출하고,その後 고성능 모델로 타임라인 이벤트를 분석하여 발견 사항, IOC, MITRE ATT&CK 매핑 및 공격자 경로를 생성합니다. 사용자는 OpenAI, Ollama 등 원하는 AI 제공자를 선택할 수 있으며, 모든 분석은 로컬에서 이루어집니다.

보고서 및 내보내기

분석 결과는 마크다운, HTML, PDF, Word 문서, CSV 및 JSON 형식으로 내보낼 수 있습니다. 사용자는 대시보드에서 한 번의 클릭으로 보고서를 생성할 수 있으며, 생성된 보고서에는 분석 과정의 인용 및 증거가 포함됩니다.

다운로드 및 설치 방법

DFIR Companion은 Chocolatey 패키지 관리자를 통해 Windows에 설치할 수 있습니다. 관리자 권한으로 PowerShell 또는 명령 프롬프트를 열고 다음 명령을 실행합니다:

choco install dfir-companion

설치 후, 대시보드는 기본적으로 http://127.0.0.1:4773/dashboard에서 접근할 수 있습니다. 처음 실행 시 설정 마법사가 표시되어 AI 제공자 선택, 통합 설정 등을 구성할 수 있습니다.

기본 사용법

대시보드에 접속한 후, 오른쪽 상단의 “+ New case” 버튼을 클릭하여 새로운 조사를 시작할 수 있습니다. 케이스 이름을 입력하고, 필요에 따라 비밀번호 보호를 설정할 수 있습니다. 케이스가 생성되면, 브라우저 확장을 통해 조사 중인 화면을 캡처하거나, 드롭 폴더에 증거 파일을 놓아 가져올 수 있습니다.

가져온 증거는 자동으로 처리되어 타임라인에 추가되며, 대시보드에서 다양한 패널을 통해 타임라인, 발견 사항, IOC 그래프 등을 확인할 수 있습니다. 상단의 필터를 사용하여 시간 범위, 심각도, 소스 등으로 결과를 narrowing할 수 있습니다.

지원 환경·시스템 요구사항

DFIR Companion은 Windows 10 이상에서 실행되며, Node.js 및 npm이 필요하지 않은 포터블 Windows 실행 파일도 제공됩니다. 브라우저 확장은 Chrome 및 Edge 기반 브라우저에서 사용할 수 있으며, 로컬ホ스트(127.0.0.1)에서만 작동하도록 설계되었습니다.

최신 버전·업데이트

현재 버전은 0.36.0이며, 최신 업데이트 정보는 GitHub 저장소의リリース 노트에서 확인할 수 있습니다. 개발 활동은 활발히 이루어지고 있으며, 정기적으로 새로운 기능과 개선 사항이 추가됩니다.