SIFT Workstation

Définition

SIFT Workstation (SANS Investigative Forensic Toolkit) est une distribution Linux préconfigurée, maintenue par le SANS Institute, spécifiquement conçue pour l'analyse forensique numérique et la réponse aux incidents, disponible gratuitement sous forme de machine virtuelle ou de script d'installation applicable sur une distribution Ubuntu existante. Elle regroupe et configure automatiquement plusieurs dizaines d'outils open source de référence, évitant à l'analyste l'installation manuelle fastidieuse et la résolution de dépendances conflictuelles entre outils : The Sleuth Kit pour l'analyse des systèmes de fichiers et la récupération de données supprimées, Volatility et son successeur Rekall pour l'analyse forensique de la mémoire vive et l'extraction de processus, connexions réseau et artefacts de malware en mémoire, Plaso (log2timeline) pour la génération automatisée de timelines forensiques consolidées à partir de multiples sources d'événements hétérogènes d'un système compromis. SIFT intègre également des scripts d'automatisation développés par la communauté SANS pour accélérer les tâches répétitives d'une investigation, montage d'images disque, extraction d'artefacts Windows courants, conversion de formats. Utilisée comme support pédagogique de référence dans les formations SANS FOR508 dédiées à la réponse à incident et à la forensique avancée, SIFT constitue, avec FlareVM pour l'analyse de malware, l'une des distributions gratuites les plus largement adoptées par les praticiens DFIR à travers le monde.