Von Triage-Sammlungen zu einer belastbaren Angreifer-Timeline.
Sootmark liest KAPE- und Velociraptor-Sammlungen, Disk-Images und EDR-Exporte aller Hosts eines Falls ein, baut eine einzige Timeline und hilft Ihrem Team, daraus belastbare Befunde zu machen. Jeder Befund ist einen Klick von seinen Rohbytes entfernt. Läuft auf Ihrer Workstation oder Ihrem eigenen Server. Nichts verlässt Ihre Umgebung.
Windows · macOS · Linux · Funktioniert ohne Netzwerk · Für IR-Berater gebaut
| Zeit (UTC) | Artefakt | Host | Ereignis |
|---|---|---|---|
| 03:11:58 | EVTX 4624 | WS-042 | Logon type 10 · svc_backup from 10.0.4.17 |
| 03:12:07 | Prefetch | WS-042 | RCLONE.EXE executed · run count 3 |
| 03:12:07 | AmCache | WS-042 | rclone.exe first seen · SHA1 4f2e…a91c |
| 03:12:09 | EVTX 4688 | WS-042 | rclone.exe copy \\FS01\finance remote: |
| 03:14:51 | EVTX 4624 | FS01 | Logon type 3 from WS-042 · svc_backup |
| 03:15:02 | USN | FS01 | 1,284 files renamed → *.locked |
HochAusführung von rclone.exe angezeigt
Angezeigt durch Prefetch (3 Ausführungen, zuletzt 03:12:07) und Security 4688 (03:12:09). rclone.conf definiert ein Remote vom Typ mega.
Das Problem
Ein echter Fall: vierzig Hosts, drei Analysten, eine Frist.
Heute heißt das: ein Collector, ein Dutzend Spezial-Parser, ein CSV-Viewer, ein EVTX-Hunter, eine geteilte Tabelle für die Angreifer-Timeline und eine Notizdatei, die sonst niemand lesen kann. Oder eine schwergewichtige Suite mit Preisen pro Arbeitsplatz.
- Stunden an Verarbeitung vor der ersten echten Antwort
- Befunde verstreut über CSVs, Screenshots und Notizen
- Abgleich zwischen Artefakten von Hand
- Die Timeline für den Anwalt jeden Abend neu in einer Tabelle
So funktioniert's
Von der Sammlung zum Ergebnis
- 01
Auf die Beweismittel zeigen
KAPE- oder Velociraptor-Sammlungen, E01- und VHDX-Images, EDR- und Firewall-Exporte oder Ausgaben Ihrer bisherigen Tools. Nichts wird kopiert. Alles wird gehasht.
- 02
Über Nacht laufen lassen
Jeder Host wird parallel verarbeitet, auf einer oder mehreren Maschinen. Der Import setzt nach Absturz oder Neustart fort. Kritische Treffer erscheinen nach Minuten.
- 03
Im Team ermitteln
Eine Timeline über alle Hosts. Pivotieren, stapeln, Anmeldesitzungen folgen, Treffer sichten. Hosts Analysten zuweisen und sehen, was noch niemand angeschaut hat.
- 04
Liefern
Eine kuratierte Angreifer-Timeline, Tabellen in Ihrer eigenen Word-Vorlage, ein Briefing für den Anwalt, ein Beweismittel-Export. Jede Zeile bis zur Quelle nachvollziehbar.
Funktionen
Alles zwischen Sammlung und Bericht
Eine Werkbank ersetzt das Zusammenflicken von Parsern, CSV-Viewern, Huntern und Tabellen. Sie passt zwischen den Collector, den Sie schon nutzen, und den Bericht, den Sie schon schreiben.
Eine Timeline, alle Hosts
Jedes Ereignis aus jedem Artefakt und Host in einem schnellen Grid: Filter, Gruppierung, fixierte Spalten, Farbregeln, Dichte-Histogramm und Kontext ±N um jede Zeile.
Sitzungen
Logon-IDs, RDP-Sitzungen und Cloud-Tokens zu Aktivitätssitzungen verknüpft, damit Sie dem Angreifer folgen statt Zeilen zu lesen.
Treffer, die sich sichten lassen
Sigma-Regeln und Hunts laufen beim Import. Jeder Treffer zeigt, warum er ausgelöst hat. Treffer gesammelt bewerten und Rauschen pro Fall oder Firma abstimmen.
Positive und negative Befunde
Punktbefunde, Aktivitätsintervalle und „kein Hinweis auf X in den verfügbaren Daten“, jeweils mit Belegen und Abdeckung.
Die Angreifer-Timeline
Eine kuratierte, versionierte Liste des Geschehens mit freigegebener Formulierung pro Zeile. Das Ergebnis, das der Anwalt jeden Abend verlangt.
IOCs und Sweeps
Indikatoren nebenbei sammeln und Sweeps für Velociraptor, Defender, CrowdStrike oder YARA exportieren, um den Rest der Umgebung zu prüfen.
Für echte Fälle gebaut
Vierzig Hosts. Drei Analysten. Sammlungen kommen noch.
Die meisten Tools sind um ein Image auf einem Laptop herum gebaut. Sootmark ist um den Fall herum gebaut, den Sie tatsächlich bekommen.
Viele Hosts, viele Sammlungen
Sammlungen vor und nach der Eindämmung, Nachsammlungen und EDR-Exporte pro Host, mit Host-Identitäten über Namen, IPs und Sensor-IDs hinweg zusammengeführt.
Unbeaufsichtigter, fortsetzbarer Import
Den ganzen Fall nachts einreihen. Die Arbeit geht nach Absturz oder Windows-Update-Neustart weiter, abgeschlossene Arbeit geht nie verloren.
Ihr Team, Ihr Server
Die Engine auf einer Workstation, einem Laborserver oder in der Cloud des Kunden betreiben. Analysten verbinden sich per Browser oder Desktop-App.
Mit freien Rechnern skalieren
Worker hinzufügen, die dort parsen, wo die Beweismittel liegen. Nur Ergebnisse wandern. Worker sind kostenlos: Sie zahlen pro Analyst, nicht pro CPU.
Vertrauen
Gebaut für Befunde, die Sie vertreten können
Ein Forensik-Tool ist nur so viel wert, wie Sie einem Kunden, einer Versicherung, einem Anwalt oder einem Gericht erklären können.
Lokal by Design
Kein Upload und keine Telemetrie. Läuft ohne Netzwerk. Künftige Abfragedienste werden optional sein, pro Fall, und protokolliert.
Rohbytes neben jeder Interpretation
Jeder Datensatz zeigt Quelldatei, Offset, Hash sowie Parser und Version, die ihn gelesen haben.
Das Tool beschreibt. Sie schließen.
Das Tool sagt „Prefetch zeigt 3 Ausführungen“, nie „Ausführung bestätigt“. Artefakt-Vorbehalte sind eingebaut: ShimCache zeigt Vorhandensein, keine Ausführung.
Nichts wird stillschweigend versteckt
Jeder Ausschluss, jede stummgeschaltete Regel und jede Deduplizierung ist benannt, gezählt, umkehrbar und als Anhang exportierbar.
Reproduzierbar
Fälle halten die Versionen von Engine, Parsern, Regeln und Zeitzonendatenbank fest, damit Kollegen dieselben Beweismittel erneut verarbeiten und dasselbe Ergebnis erhalten.
Open-Source-Parser
Die Parser werden Open Source: Code lesen, Tests prüfen, jeden Datensatz unabhängig reproduzieren. Keine undurchsichtige KI entscheidet irgendetwas.
Workflow
Passt in Ihre bestehende Pipeline
Behalten Sie Collector, EDR und Berichtsvorlage. Sootmark ersetzt die Verarbeitung und Analyse dazwischen.
Nimmt an
- KAPE (folder, zip, VHDX)
- Velociraptor
- E01 / VHDX / raw
- Defender XDR
- Firewall & VPN logs
- Microsoft 365
- Google Workspace
- ESXi logs
- EZ Tools / Hayabusa / Plaso
Übergibt an
- Your DOCX template
- XLSX / CSV
- Briefing slides
- Evidence package
- Timesketch
- Velociraptor / KQL / YARA sweeps
- STIX / MISP
Fallvorlagen
- Ransomware
- ESXi ransomware
- VPN / edge device
- BEC · Microsoft 365
- BEC · Google Workspace
- Web server
- Malware
Preise
Einfache Preise, kein Vertriebsgespräch
Mitten im Vorfall per Karte kaufen. Monatliche Pläne für Freelancer.
Free
0 €
Einzelartefakt-Parser im Browser.
- Ein Artefakttyp zur Zeit
- Im Browser, ohne Upload
- Ideal für schnelle Prüfungen
Pro
99 €/Monat
Für Einzelanalysten. Oder 990 €/Jahr.
- Unbegrenzte Hosts und Sammlungen
- Timeline, Sitzungen, Treffer und Befunde
- Angreifer-Timeline und Berichtstabellen
- Desktop-App für Windows, macOS, Linux
Team
1.490 €/Platz/Jahr
Für IR-Firmen und MSSPs.
- Alles aus Pro
- Selbst gehosteter Server für das ganze Team
- Unbegrenzte Verarbeitungs-Worker
- Review-Modus und geteilte Hunt-Pakete
Offline
Auf Anfrage
Für isolierte und akkreditierte Labore.
- Signierte Offline-Lizenz und Updates
- Versions-Pinning und Validierungspakete
- Dauerlizenz + Wartung
Geplante Preise, angezeigt für den frühen Zugang. Änderungen vor dem Start vorbehalten. Kostenlose Lizenzen für Studierende, Hochschulen und Strafverfolgung geplant.
FAQ
Fragen von Analysten
Verlassen meine Beweismittel meine Umgebung?
Nein. Parsing, Timeline, Hunts und Berichte laufen auf Ihren eigenen Rechnern: einer Workstation, Ihrem Laborserver oder einer VM in der Cloud des Kunden. Kein Upload, keine Telemetrie.
Kann ein Team am selben Fall arbeiten?
Ja. Betreiben Sie den Sootmark-Server auf einer Workstation oder einem Server unter Ihrer Kontrolle. Analysten verbinden sich per Browser oder Desktop-App, Hosts werden zugewiesen, und alle sehen dieselbe Timeline, dieselben Befunde und dieselbe Angreifer-Timeline.
Wie groß darf ein Fall sein?
Sootmark ist für Fälle mit rund 40 Hosts und einigen hundert Millionen Ereignissen auf einer einzelnen Workstation ausgelegt, mit unbeaufsichtigtem nächtlichem Import, der nach einem Absturz fortsetzt. Freie Rechner als Worker machen es schneller.
Was kann ich laden?
KAPE-Ausgaben (Ordner, ZIP oder VHDX), Velociraptor-Offline-Sammlungen, E01- und Raw-Images, EDR-Exporte, Firewall- und VPN-Logs, Microsoft-365- und Google-Workspace-Logs sowie Ausgaben von EZ Tools, Hayabusa und Plaso.
Schreibt es den Bericht für mich?
Nein, mit Absicht. Es füllt Ihre eigene Word-Vorlage mit den Tabellen, die von Hand Stunden dauern (Angreifer-Timeline, IOCs, Hosts, Beweismittel-Hashes, Ausschlüsse) und exportiert Briefings und Beweispakete. Erzählung und Schlussfolgerungen bleiben Ihre.
Nutzt es KI?
Nicht, um irgendetwas zu schließen. Falls wir KI-Unterstützung hinzufügen, läuft sie lokal, ist klar gekennzeichnet, verweist auf die zugrunde liegenden Datensätze und schreibt nie selbstständig Befunde oder Berichtstext.
Ersetzt es AXIOM oder X-Ways?
Bei Intrusions- und BEC-Fällen soll es die aus kostenlosen Tools zusammengesetzte Verarbeitung und Analyse ersetzen. Für tiefe Einzel-Image-Untersuchungen behalten viele Analysten ihre bisherige Suite, und Sootmark exportiert dorthin.
Wann kann ich es nutzen?
Sootmark ist in aktiver Entwicklung. Tragen Sie sich in die Warteliste ein, um frühen Zugang zu erhalten und die erste Version mitzugestalten.
Schluss damit, die Timeline in einer Tabelle nachzubauen.
Tragen Sie sich für frühen Zugang in die Warteliste ein. Wir schreiben Ihnen nur zu Sootmark.
Auf die Warteliste