Suelta una colección de triaje. Lee la historia completa.
Sootmark ejecuta todos los parsers de artefactos sobre tu colección de KAPE o Velociraptor, fusiona los resultados en una única súper línea de tiempo y destaca hallazgos corroborados, cada uno enlazado a sus bytes en bruto. En tu portátil. Nada sale de tu equipo.
Sin subidas · Funciona sin red · Pensado para consultores y firmas de IR
| Hora (UTC) | Artefacto | Equipo | Evento |
|---|---|---|---|
| 03:11:58 | EVTX 4624 | WS-042 | Logon type 10 · svc_backup from 10.0.4.17 |
| 03:12:07 | Prefetch | WS-042 | RCLONE.EXE executed · run count 3 |
| 03:12:07 | AmCache | WS-042 | rclone.exe first seen · SHA1 4f2e…a91c |
| 03:12:09 | EVTX 4688 | WS-042 | rclone.exe copy \\FS01\finance remote: |
| 03:14:51 | EVTX 4624 | FS01 | Logon type 3 from WS-042 · svc_backup |
| 03:15:02 | USN | FS01 | 1,284 files renamed → *.locked |
AltoHerramienta de exfiltración ejecutada
Prefetch, AmCache, Security 4688 y USN coinciden: rclone.exe se ejecutó en WS-042 a las 03:12 y luego accedió a FS01 por SMB.
El problema
Las investigaciones son multiartefacto. Tus herramientas no.
Un triaje típico implica hacer malabares con un colector, una docena de parsers específicos, un visor de CSV, un cazador de EVTX y una hoja de cálculo para las notas. O pagar miles por puesto por una suite pesada.
- Horas de procesamiento antes de la primera respuesta real
- Hallazgos repartidos entre CSV, capturas y notas
- Corroboración entre artefactos hecha a mano
- Herramientas en la nube descartadas por contrato
Cómo funciona
De la colección al informe en cuatro pasos
- 01
Ingesta
Suelta una colección de KAPE o Velociraptor, una imagen de disco o artefactos sueltos. El tipo se detecta por ruta y firma.
- 02
Análisis
Todos los parsers se ejecutan en paralelo, en local. Progreso y errores por artefacto, sin nada oculto.
- 03
Correlación
Una súper línea de tiempo normalizada para todos los equipos. Las reglas de caza se ejecutan solas y cruzan artefactos.
- 04
Informe
Marca hallazgos y exporta un informe con hashes de las evidencias, versiones de las herramientas y enlaces a los registros en bruto.
Funciones
Un solo banco de trabajo para todo el triaje
Todo entra en un único historial del caso y cada herramienta trabaja sobre él. Se acabó exportar CSV de una herramienta a otra.
Súper línea de tiempo
Cada evento de cada artefacto y cada equipo en una tabla rápida y filtrable, con histograma.
Hallazgos corroborados
Reglas entre artefactos confirman ejecuciones, inicios de sesión y persistencia cuando varias fuentes coinciden.
Lenguaje de consulta
Busca en todos los artefactos a la vez con una sola sintaxis: artifact:prefetch user:alice path:*\Temp\*
Inspector
Abre cualquier registro y ve los bytes en bruto junto a los campos decodificados. Vuelve a analizar con otras opciones.
Paquetes de caza
Cazas EVTX y reglas entre artefactos al importar. Añade tus propias listas de IOC y reglas.
Informes enlazados a evidencias
Cada afirmación del informe apunta a su registro en bruto, con hashes SHA-256 de las evidencias.
Confianza
Hecho para hallazgos que puedas defender
Una herramienta forense solo vale lo que puedas explicar en un informe, a un cliente, una aseguradora o un tribunal.
Local por diseño
Sin subidas ni telemetría por defecto. La versión de escritorio funciona con el cable de red desconectado.
Explicable
Sin puntuaciones de caja negra. Cada hallazgo muestra las reglas y los registros en bruto que lo sustentan.
Reproducible
Los informes registran versiones de herramientas y parsers, hashes de entrada y ajustes, para que un colega obtenga el mismo resultado.
Sin dependencia
Un formato de caso abierto y documentado, además de exportación a CSV, Timesketch y tu plantilla de informe.
Flujo de trabajo
Encaja en tu cadena actual
Mantén tu colector y tu plantilla de informe. Sootmark sustituye el procesamiento y el primer análisis entre ambos.
Recibe
- KAPE (folder, zip, VHDX)
- Velociraptor
- E01 / raw images
- Loose artifacts
- EZ Tools CSV
Entrega a
- CSV
- Timesketch
- STIX / MISP
- DOCX / PDF report
- IRIS / TheHive
Precios
Precios simples, sin llamada comercial
Compra con tarjeta en mitad de un incidente. Planes mensuales para autónomos.
Gratis
0 €
Parsers de un solo artefacto en el navegador.
- Un tipo de artefacto a la vez
- En tu navegador, sin subidas
- Ideal para comprobaciones rápidas
Pro
99 €/mes
Para el analista individual. O 990 €/año.
- Colecciones y equipos ilimitados
- Súper línea de tiempo y lenguaje de consulta
- Hallazgos entre artefactos y cazas
- Informes con hashes de las evidencias
Equipo
1.490 €/puesto/año
Para firmas de IR y MSSP.
- Todo lo de Pro
- Casos compartidos
- Paquetes de caza y plantillas propias
- Soporte prioritario
Sin conexión
A medida
Licencia perpetua para laboratorios aislados.
- Clave de licencia sin conexión firmada
- Licencia perpetua + mantenimiento
- Kit de validación para tu laboratorio
Precios previstos, mostrados para el acceso anticipado. Pueden cambiar antes del lanzamiento. Licencias gratuitas previstas para estudiantes, universidades y fuerzas del orden.
FAQ
Preguntas de los analistas
¿Mis evidencias salen de mi equipo?
No. El análisis, la línea de tiempo y las cazas se ejecutan en local, en tu navegador o en la aplicación de escritorio. No hay subidas ni telemetría por defecto.
¿Qué artefactos se admiten?
Primero el triaje de Windows: registros de eventos, MFT, diario USN, Prefetch, AmCache, ShimCache, colmenas del registro, LNK, Jump Lists, SRUM, papelera, historial de navegadores y más, unos veinte tipos de artefactos.
¿Qué formatos de colección puedo cargar?
Salidas de KAPE (carpeta, zip o VHDX), colecciones sin conexión de Velociraptor, imágenes de disco E01 y en bruto, y archivos de artefactos sueltos.
¿Sustituye a AXIOM o X-Ways?
No desde el primer día, y no hace falta. Muchos analistas empiezan usando Sootmark para un primer vistazo rápido o como segunda herramienta para verificar los hallazgos clave.
¿Cuándo podré usarlo?
Sootmark está en una fase temprana de desarrollo. Únete a la lista de espera para obtener acceso anticipado y ayudar a dar forma a la primera versión.
¿Hay descuentos para estudiantes o fuerzas del orden?
Sí. Hay licencias gratuitas previstas para estudiantes, universidades y fuerzas del orden.
Deja de coser herramientas entre sí.
Únete a la lista de espera para obtener acceso anticipado. Solo te escribiremos sobre Sootmark.
Unirse a la lista de espera