Malcolm, powerful network traffic analysis tool suite

DFIR (Digital Forensics and Incident Response )

笔记

最早是在 Hackerone 的 Zerodaily (2019-06-12) 看到这个工具。

Idaholab open-sourced Malcolm yesterday: easily deployable network traffic analysis tool suite for full packet capture artifacts (PCAP files) and Zeek logs.

将该工具与现有的一些 威胁情报 API 集成 二开，可以便于在 应急响应 中快速定位恶意软件。

Malcolm

Idaholab 的 Malcolm
（大概搜了一下 Idaho National Laboratory 似乎是个搞核物理的实验室，也有以”保护关键基础设施/ CRITICALINFRASTRUCTURE PROTECTION
“为目的而设置了一些网络安全的#研究方向#）
该实验室似乎和 DHS 与 能源部(Department of Energy) 都有一定关联。
https://github.com/idaholab/Malcolm#InstallationExample

开发者推
https://twitter.com/sethdgrover

推关键字
Malcolm network traffic

另外似乎 ntop-ng 和 Malcolm 会有一些功能重叠，不过 ntop-ng 更倾向于作为一个网工/运维监控层面的工具。

Malcom

因为这两个工具的名字和功能都比较类似，一开始搜错了；顺带记录一下。

malcom
https://github.com/tomchop/malcom

一份介绍的 PPT, 来自 #Botconf 2013
https://www.botconf.eu/wp-content/uploads/2013/10/25-ThomasChopiteaMalcon.pdf

Freebuf 的报道
Malcom：一款功能强大的图形化恶意软件通信分析工具
https://www.freebuf.com/sectool/195704.html

• #DFIR
• #Incident Response
• #Traffic Analysis