Investigation & Forensic TOOLS

Fieldwatch 📚 Раздел: #SIGINT 📄 Описание. Это пассивный сканер Wi-Fi и Bluetooth LE для Android. Он помогает обнаруживать и идентифицировать устройства вокруг вас: трекеры (AirTag, Tile), дроны с Remote ID, нательные камеры, Wi-Fi-точки доступа и многое другое. Ключевые возможности: • Live-дисплей — визуализация радиоисточников в реальном времени с кольцевой диаграммой «ближе/дальше»; • Расширяемая библиотека сигнатур — встроенный каталог (88 сигнатур) и возможность создавать свои; • Оповещения — уведомления при появлении конкретного типа устройства или MAC-адреса; • Запись сессий — сохранение наблюдений в одной точке или вдоль маршрута с последующим сравнением; • Обнаружение слежки — выявление устройств, которые перемещаются вместе с вами («possible tail»); • Отчёты — генерация PDF-документов и экспорт логов в CSV/JSON; • Интеграция с TAK/ATAK — отправка меток на сервер тактической обстановки (опционально); • Приватность — всё хранится локально на телефоне: нет облака, аккаунта и телеметрии. 💻 Платформа: Android 💳 Стоимость: Бесплатно 💬 Комментарий: Очень интересные проект. Встроенная база сигнатур небольшая, но тем не менее программа позволяет создавать собственную. Визуальный поиск достаточно хорош и информативен и позволяет использовать этот инструмент для поиска тех же AirTag маячков. В общем и целом достойный полевой инструмент для поиска и анализа.

РАСШИРЕНИЯ OBSIDIAN ДЛЯ РАССЛЕДОВАНИЙ. Часть 3 из 3 Анализируем связи: Obsidian SNA ❓Для чего это нужно: Этот плагин применяет методы теории графов и социального сетевого анализа (SNA) к вашему хранилищу. Он рассчитывает классические метрики центральности для каждого узла (заметки) в вашем графе. Это позволяет выявить неочевидные вещи: кто является «хабом» (самым связанным элементом) в вашей сети, кто служит «мостом» между разными изолированными группами, а кто — «периферией». Это ключевой метод для выявления лидеров, посредников и скрытых связей в сетях социального взаимодействия. ⚙️Как это работает: Вы связываете заметки, представляющие людей, организации или события, ссылками друг на друга. Плагин анализирует эту структуру и выдает список узлов, отсортированный по их «важности» с точки зрения сетевой теории. Вы можете сразу увидеть, кто в вашей сети является ключевой фигурой. ❗️Почему это важно:  Интуиция может обмануть. Формальный математический анализ графа связей выявляет скрытые структуры и роли, которые не видны при простом просмотре заметок. Извлекаем метаданные из изображений: Image Metadata Viewer ❓Для чего это нужно: Этот плагин позволяет просматривать метаданные изображений (EXIF, XMP, IPTC) прямо в Obsidian. Для наших задач это означает возможность извлекать GPS-координаты, дату и время съемки, модель камеры, серийный номер устройства и даже параметры AI-генерации (Stable Diffusion, ComfyUI) из любых фотографий, добавленных в ваше хранилище. Плагин не требует подключения к интернету и работает только с локальными файлами. ⚙️Как это работает: Вы открываете изображение в Obsidian и в боковой панели видите все технические данные, которые в него зашиты. Если фотография была сделана на смартфон, вы, с высокой вероятностью, увидите точные координаты и время. Если изображение сгенерировано нейросетью, вы увидите промпт, который использовался для его создания. ❗️Почему это важно:  Метаданные часто содержат информацию, которую автор не собирался раскрывать. Умение их читать — базовый навык любого верификатора и криминалиста. Анализируем связи при помощи ИИ: Knowledge Graph Analysis ❓Для чего это нужно: Этот плагин идет дальше простого анализа центральности (как Obsidian SNA). Он вычисляет графовые метрики локально, а затем передает эти метрики AI (Google Gemini) для семантического анализа структуры хранилища Плагин показывает не только кто является хабом, но и почему — на основе содержания заметок и их связей. ⚙️Как это работает: Вы связываете заметки между собой. Плагин строит граф, вычисляет математические показатели и отправляет их вместе с текстом заметок в Gemini. AI анализирует структуру и предлагает: «Вот заметки, которые связывают разные кластеры вашего расследования, но пока не имеют прямой ссылки друг на друга — возможно, стоит их соединить». ❗️Почему это важно:  Интуиция и визуальный осмотр графа не всегда выявляют структурные разрывы. Комбинация математики и AI позволяет найти неочевидные паттерны и слабые места в вашей информационной сети. Выстраиваем хронологию событий: Chronos Timeline ❓Для чего это нужно: Chronos Timeline рендерит интерактивные временные шкалы прямо в заметках из простого Markdown-синтаксиса. Вы можете создавать отдельные события, периоды и точки во времени, группировать их по цветам и категориям, а также генерировать комбинированную хронологию из всех заметок в папке одной командой. Есть и AI-функция: выделите текст с датами — и плагин построит по нему таймлайн. ⚙️Как это работает: Вы пишете в заметке блок chronos и перечисляете события. Плагин превращает это в визуальную шкалу, где события можно перетаскивать, а периоды отображаются как полосы. Команда «Сгенерировать таймлайн из папки» соберет все события из всех заметок в одну общую картину. ❗️Почему это важно:  Восстановление хронологии событий — основа любого расследования. Chronos Timeline позволяет не просто записать даты, а увидеть их взаимосвязь и временные промежутки.

РАСШИРЕНИЯ OBSIDIAN ДЛЯ РАССЛЕДОВАНИЙ. Часть 2 из 3 Сохраняем веб страницы: Obsidian Web Clipper ❓Для чего это нужно: Это официальное расширение для браузера, которое позволяет в один клик сохранять веб-страницы, статьи, посты в социальных сетях и видео (с транскриптами) в ваше хранилище Obsidian. Вместо того чтобы держать десятки открытых вкладок, вы сохраняете источник целиком, с сохранением форматирования, ссылок и метаданных, и сразу же начинаете его анализировать в своей среде. ⚙️Как это работает: Вы нажимаете кнопку «Сохранить в Obsidian» на интересующей странице в браузере. Расширение использует шаблоны, которые вы можете настроить под себя (например, для статей, твитов, видео YouTube), и создает новую заметку в нужной папке. Вы можете сразу добавить теги, источники и другие поля. ❗️Почему это важно:  Web Clipper позволяет не отвлекаться на копирование текста вручную и гарантирует, что ни один ценный источник не будет потерян. Распознаем текст внутри изображений: Power Extract ❓Для чего это нужно: Этот плагин распознает текст на изображениях (скриншотах, фотографиях документов, чеках) с помощью встроенного в Windows OCR-движка. Вся обработка происходит локально, без отправки данных в интернет. Это означает, что вы можете извлекать текст из скриншотов переписок, фотографий удостоверений или уличных вывесок и делать его доступным для поиска. Плагин бесшумно работает в фоне: вы просто щелкаете правой кнопкой мыши по изображению и выбираете «Copy text from image». ⚙️Как это работает: Вы добавляете скриншот в заметку. Плагин через PowerShell использует системный распознаватель Windows (тот же, что и в «Ножницах»), чтобы прочитать текст с картинки. Распознанный текст передается другим плагинам (например, для индексации в поиске) или копируется в буфер обмена. ❗️Почему это важно:  Огромная часть доказательной базы в нашем мире — это изображения. И их может быть огромное количество. Power Extract делает работу с ними полноценным и доступным способом поиска данных в картинках и документах. Интегрируемся с OSINT инструментами: Sherlockeye OSINT ❓Для чего это нужно: Этот плагин интегрирует API сервиса Sherlockeye OSINT непосредственно в вашу среду заметок. С его помощью вы можете искать информацию по email-адресам, номерам телефонов, доменам и именам пользователей, не покидая Obsidian. Результаты поиска автоматически превращаются в структурированные заметки. Это позволяет встроить процесс сбора разведданных прямо в ваш рабочий процесс, избегая переключения между десятками вкладок и приложений. ⚙️Как это работает: Вы выделяете текст в заметке (например, адрес электронной почты) и через контекстное меню запускаете поиск по нему. Плагин отправляет запрос в Sherlockeye и создает новую заметку с результатами: найденные аккаунты, утечки, связанные домены и т.д. Для работы требуется API-ключ Sherlockeye. ❗️Почему это важно:  Автоматизация рутинных поисковых задач экономит время и снижает риск ошибки. Вы получаете структурированные разведданные сразу в том виде, в котором они нужны для дальнейшего анализа

РАСШИРЕНИЯ OBSIDIAN ДЛЯ РАССЛЕДОВАНИЙ. Часть 1 из 3 Для специалистов занимающихся анализом информации, Obsidian уже давно вырос из рамок "программы для заметок" в полноценный "второй мозг" которой при определенной доработке превращается в мощный инструмент для сбора. анализа и визуализации данных. Я подготовил для вас подборку из 10 расширений, каждое из которых закрывает одну из важных задач - от сбора данных до защищенного хранения и экспорта. Для создание баз данных: Dataview. ❓Для чего это нужно в работе: Dataview позволяет воспринимать всё ваше хранилище не как набор папок с файлами, а как единую базу данных. Вы можете создавать в заметках структурированные поля (например, target_name, ip_address, date_of_incident, source_url), а затем выполнять по ним сложные запросы, как в SQL. Это незаменимо, когда нужно быстро найти все упоминания конкретного человека, отфильтровать события по временному промежутку или построить сводную таблицу по всем инцидентам с определенным типом. ⚙️ Как это работает: Вы добавляете в начало каждой заметки блок с данными (frontmatter) — это как карточка с полями в картотеке. Dataview читает эти поля и позволяет составлять из них динамические списки и таблицы. Например, один запрос может показать всех «акторов», связанных с конкретным «инцидентом», и отсортировать их по дате первого упоминания. ❗️Почему это важно:  Без Dataview ваши заметки остаются просто текстом. С ним — это живая, запрашиваемая база знаний, где каждое действие можно задокументировать и мгновенно извлечь нужный срез информации Для визуализации гео-данных: Map View ❓Для чего это нужно: Этот плагин ищет в ваших заметках координаты, адреса и пути (в форматах GeoJSON, GPX, KML) и наносит их на интерактивную карту. Он превращает ваше хранилище в персональную географическую информационную систему (ГИС). Это бесценный инструмент для геолокации в OSINT-расследованиях: вы можете визуализировать маршруты передвижения объекта, отмечать места событий и мгновенно рассчитывать расстояния между точками. Карту можно встраивать прямо в заметки, создавать слои и сохранять для офлайн-использования. ⚙️ Как это работает: Вы добавляете в заметку координаты (например, geo: 55.7558, 37.6173) или загружаете файл трека. Плагин ставит на карте метку. Вы можете рисовать на карте, измерять расстояния и группировать метки по цветам и иконкам, создавая наглядную оперативную обстановку. ❗️Почему это важно:  Любая разведка и криминалистика привязаны к месту. Map View позволяет увидеть географическую картину вашего расследования целиком, выявляя паттерны, которые не видны в текстовых заметках. Cloud KMS Encryption ❓Для чего это нужно: Этот плагин обеспечивает прозрачное шифрование отдельных блоков текста и целых бинарных файлов (PDF, изображений) с использованием облачного сервиса управления ключами AWS KMS. Он реализует модель «Zero Trust Storage»: на диске и в облачном хранилище (например, если вы синхронизируете хранилище через Git или S3) лежат только зашифрованные данные. Расшифровка происходит локально, в памяти, и только при наличии доступа к KMS. ⚙️ Как это работает: Вы выделяете секретный текст и оборачиваете его в специальные маркеры. При сохранении заметки плагин автоматически шифрует этот блок. На диске он выглядит как нечитаемый набор символов. Когда вы открываете заметку, плагин «на лету» расшифровывает его для вас. Ключом шифрования управляет облачный сервис AWS, а не сам пароль, что соответствует лучшим практикам безопасности. ❗️Почему это важно:  В разведке и криминалистике компрометация данных может стоить жизни или сорвать всю операцию. Этот плагин гарантирует, что даже при утечке вашего хранилища злоумышленник не получит доступ к самым важным секретам

OpenNVR 📚 Раздел: #CCTV 📄 Описание: OpenNVR — это открытая, безопасная и автономная платформа для сетевых видеорегистраторов (NVR) с поддержкой AI. Ключевые возможности: • Запись и воспроизведение — поддержка камер ONVIF/RTSP, запись 24/7 или по детекции движения, гибкие фильтры и экспорт видеофрагментов без перекодирования. • AI-аналитика — детекция объектов (YOLOv8), распознавание лиц, номеров, сцены, поиск по видеозаписям на естественном языке («найди красный грузовик»). • Голосовой/текстовый агент — возможность задавать вопросы камерам и получать ответы в реальном времени с помощью локальной LLM. • Безопасность — изоляция сети камер, аналитики и шлюза, шифрование учётных данных, аудит действий, режим air-gapped (полная изоляция от интернета). • Масштабируемость — развёртывание на ноутбуке, Raspberry Pi или сервере через Docker, поддержка плагинов (любые AI-модели через открытый контракт). 💻 Платформа: Docker 💳 Стоимость: Бесплатно

SHOK 📚 Раздел: #ОперативныйМониторинг 📄 Описание: Это приложение для Windows, превращающее вашу SSH-связку в полноценную SOC & GRC-станцию для мониторинга инфраструктуры, баз данных и безопасности — без установки агентов на удалённые машины. Ключевые возможности: • Мониторинг хостов — CPU, RAM, диск, нагрузка, uptime, Docker-контейнеры, сети и тома; • 39 СУБД — PostgreSQL, MySQL, Redis, MongoDB, SQLite и REST-консоль для Elasticsearch, ClickHouse, Prometheus и др.; • Анализ уязвимостей — сканирование конфигурации SSH, фаервола, патчей, прав доступа и аккаунтов с рекомендациями по устранению; • Мониторинг трафика — rx/tx, активные соединения, топ удалённых пиров с geo-IP • Threat Intelligence — анализ auth.log/journald, топ атакующих IP с geo-IP, авто-инциденты при брутфорсе; • GRC и комплаенс — 15 автоматических проверок CIS/NIST, отчёты по CIS/NIST/ISO/GDPR с HTML-экспортом; • Аудит — неизменяемый лог действий с CSV-экспортом. 💻 Платформа: Win 💳 Стоимость: Бесплатно

DracoLure 📚 Раздел: #ОперативныйМониторинг 📄 Описание: Активный honeypot для выявления и анализа атакующих. Вместо пассивного сбора логов он обрабатывает каждый запрос в реальном времени: - подсовывает реалистичные фейки (корпоративный портал, .env, wp-login, phpMyAdmin, /.git/config) - распознаёт SQLi, XSS, RCE, Log4Shell, обход путей, webshell-ы и сканеры, нормализуя URL-кодирование (включая двойное); - Присваивает каждой атаке вес от 0 до 100 с градацией серьёзности; - При превышении порога автоматически блокирует источник и "замедляет" его ответами 403; - Все события стекаются в Postgres, Prometheus и готовую Grafana-панель. 💻 Платформа: Docker 💳 Стоимость: Бесплатно

DJI Drone Metadata Embedder  📚 Раздел: #МобильнаяКриминалистика 📄 Описание: Утилита читает телеметрию (GPS, высота, настройки камеры), которую дрон записывает в каждом полёте. На основе этих данных она создаёт интерактивные карты полётов и фотографий, экспортирует треки в стандартные форматы и встраивает координаты в видеофайлы без перекодирования. Основной функционал: - Карты полётов: построение треков на 2D/3D-картах с отображением высоты, ориентации камеры и воздушных зон. - Карты фото: привязка геотегированных снимков (включая 360° панорамы) к карте с превью. -Встраивание телеметрии: запись GPS-данных в MP4-файлы для поиска видео по местоположению. - Экспорт треков: GPX (Google Earth), CSV, GeoJSON, KML, CoT (для ATAK). - Верификация: проверка метаданных и перекрёстная проверка теней по положению солнца. - Пакетная обработка: обработка целых папок с прогресс-баром. 💻 Платформа: Windows / macOS / Linux 💳 Стоимость: Бесплатно

LinkChart  📚 Раздел: #АнализДанных 📄 Описание: Инструмент для построения link-диаграмм (карт связей) в расследованиях. Позволяет создать единое полотно, где люди, транспорт, адреса, телефоны, компании и события представлены в виде структурированных карточек, а связи между ними — в виде подписанных линий (например, «владеет», «был замечен», «использует» и т.п.). Основной функционал: - Интерактивный холст: перетаскивание, масштабирование, подсветка связей при наведении. - Типизированные сущности: персоны, ТС, адреса, телефоны, события, компании, соцсети. -  Осмысленные связи: каждая линия содержит метку (например, «работает на», «общался с»). -  Совместная работа: приглашение редакторов и наблюдателей с разными правами доступа. -  Встроенные OSINT-инструменты: проверка email, username, телефонных номеров. - Экспорт: печать готовых карт для брифингов и передач дела. 💻 Платформа: Web 💳 Стоимость: Бесплатно

ДАЙДЖЕСТ - ПОДБОРКА СПЕЦИАЛИЗИРОВАННЫХ LLM ДЛЯ РАССЛЕДОВАНИЙ И РАЗВЕДКИ. CyberPal 2.0-20B 🎯 Для чего подходит лучше всего: Анализ киберугроз, работа SOC/IR, обработка CTI-отчётов, сопоставление CVE и CWE, определение MITRE ATT&CK TTP, подготовка рекомендаций по обнаружению и нейтрализации угроз. ⚙️ Особенности и ограничения: Модель на 20–21 млрд параметров, основанная на gpt-oss-20b. Контекст — 8 192 токена. Формат весов — Safetensors/BF16, полный размер около 42 ГБ. Английский язык. Лицензия Apache 2.0. Работа в качестве автономного агента и использование внешних инструментов разработчиками пока не проверены. Требуется человеческая верификация выводов. 📊 Проверенные результаты: В техническом отчёте модель получила средний результат 80,33% на девяти кибербенчмарках: CTIBench MCQ — 75,71%; CTIBench RCM — 87,40%; CyberMetric — 89,05%; CISSP — 86,87%; Advanced CTI — 84,93%; определение связей между CTI-сущностями — 87,66%; извлечение TTP из реальных отчётов — 79,5%; переоценка CVE — нормализованный результат 0,83. 💬 Это наиболее сильная доступная модель рейтинга для широкого локального CTI/SOC-контура. Foundation-Sec-8B-Reasoning 🎯 Для чего подходит лучше всего: Локальный аналитический помощник для SOC, триаж инцидентов, построение заметок по расследованию, сопоставление TTP, классификация уязвимостей, анализ конфигураций и логическое рассуждение по данным безопасности. ⚙️ Особенности и ограничения: Модель на 8 млрд параметров на базе Llama 3.1. Поддерживает явные цепочки рассуждения. Полные BF16-веса занимают около 16 ГБ; доступны сторонние квантованные версии. Работает на английском языке. Может разворачиваться локально через Transformers, vLLM или SGLang. Лицензионные условия определены отдельным файлом NOTICE и требуют проверки перед коммерческим применением. Данные обучения ограничены апрелем 2025 года. 📊 Проверенные результаты: В техническом отчёте приведены средние результаты пяти прогонов: CTIBench MCQA — 69,1%; CTIBench RCM — 75,3%; Vulnerability Severity Prediction — 85,6%; CTI-Reasoning — 41,1%; Automated Threat Extraction — 49,1% micro-F1; прогнозирование CWE на новых данных — 70,4%; MMLU-Security — 78,2%; CyberMetric — 84,3%; SecEval — 84,8%. 💬 Модель превзошла Foundation-Sec-8B-Instruct в восьми из десяти профильных испытаний. Лучший вариант рейтинга при ограниченных вычислительных ресурсах. Foundation-Sec-8B-Instruct 🎯 Для чего подходит лучше всего: Диалоговый SOC/CTI-ассистент, суммаризация отчётов, извлечение индикаторов и сущностей, подготовка карточек инцидентов, объяснение терминов и формирование черновиков аналитических документов. ⚙️ Особенности и ограничения: Модель на 8 млрд параметров на базе Llama 3.1. Контекст обучения — 4 096 токенов. Английский язык. Поддерживает локальное развёртывание через Transformers и vLLM. Проще и предсказуемее Reasoning-версии, но слабее в многошаговом анализе. Лицензия обозначена как other и регулируется файлом NOTICE. 📊 Проверенные результаты CTIBench MCQA — 65,0%; CTIBench RCM — 70,4%; Vulnerability Severity Prediction — 84,0%; CTI-Reasoning — 36,4%; Automated Threat Extraction — 35,8% micro-F1; прогнозирование CWE на новых данных — 61,6%; SecEval — 82,9%. 💬 В опубликованной разработчиками safety-оценке модель прошла 91,98% проверок, а вместе с внешним LlamaGuard — 99,25%. Подходит для задач, где важнее контролируемый диалог и извлечение информации, чем сложное рассуждение. Llama-Primus-Merged 8B 🎯 Для чего подходит лучше всего: Экономичный локальный помощник для анализа CTI, ответов на вопросы по кибербезопасности, суммаризации, классификации угроз и дальнейшего дообучения под собственные данные. ⚙️ Особенности и ограничения: Модель на 8 млрд параметров на базе Llama 3.1-8B-Instruct. Обучалась на специализированном корпусе объёмом 2,77 млрд токенов и примерно тысяче отобранных CTI-инструкций. Полные веса занимают около 16 ГБ. Заявлены английский и японский языки. Лицензия репозитория — MIT, но необходимо учитывать условия базовой Llama 3.1. Качество существенно зависит от типа задачи. 📊 Проверенные результаты: По независимому AthenaBench: совокупный результат — 43,7; базовая Llama 3.1-8B — 38,8; Llama 3.3-70B — 46,5; GPT-5 — 66,1; Threat Actor Attribution — 17%; Automated Threat Extraction — 33,8%; CTIBench RCM — 56,6%; Vulnerability Severity Prediction — 71,9%; Risk Mitigation — 6,6 F1. 💬 Primus заметно улучшает базовую Llama 3.1-8B, но не заменяет крупную универсальную модель в сложной атрибуции и выработке мер противодействия. Версию Primus-Reasoning нежелательно оценивать по CTIBench из-за пересечения части обучающих и тестовых данных. SEVENLLM-Qwen1.5-7B 🎯 Для чего подходит лучше всего: Обработка англо- и китайскоязычных CTI-материалов: извлечение IoC, вредоносного ПО, инструментов атаки, уязвимостей, временных маркеров, участников, событий и отношений между сущностями. ⚙️ Особенности и ограничения: Доступная версия содержит около 7,72 млрд параметров и основана на Qwen1.5. Веса опубликованы в Safetensors, лицензия репозитория — MIT. Модель обучалась на 28 задачах: 13 задачах понимания и 15 задачах генерации. Русский язык не оценивался. Карточка опубликованной модели практически не документирована, а независимых современных испытаний немного. 📊 Проверенные результаты: Согласно публикации SEvenLLM: обучающий набор содержит около 90 тысяч примеров; тестовый набор — 1 300 примеров; исходный корпус включает 6 706 англоязычных и 1 779 китайскоязычных CTI-отчётов; модели SEvenLLM превзошли соответствующие базовые Llama 2 и Qwen 1.5 в авторских тестах Rouge-L, semantic similarity, MCQ и оценке ответов с помощью GPT-4; увеличение обучающего корпуса примерно до 70 тысяч примеров продолжало улучшать качество; экспертная проверка обнаружила ошибки в 17% первоначально сгенерированного тестового материала, после чего набор был вручную исправлен. 💬 Модель подходит прежде всего для исследовательского применения и структурирования двуязычной CTI, но не имеет достаточной доказательной базы для автономного расследования. 🔻ВАЖНО ПОМНИТЬ! Ни одна из моделей не должна самостоятельно формировать доказательственные выводы. Результаты необходимо подтверждать журналами, оригинальными артефактами, детерминированными инструментами и независимой экспертной проверкой.