Déposez une collecte de triage. Lisez toute l'histoire.
Sootmark lance tous les parseurs d'artefacts sur votre collecte KAPE ou Velociraptor, fusionne les résultats en une seule super-timeline et fait ressortir des constats corroborés, chacun relié à ses octets bruts. Sur votre portable. Rien ne quitte votre machine.
Aucun upload · Fonctionne hors réseau · Pensé pour les consultants et cabinets IR
| Heure (UTC) | Artefact | Hôte | Événement |
|---|---|---|---|
| 03:11:58 | EVTX 4624 | WS-042 | Logon type 10 · svc_backup from 10.0.4.17 |
| 03:12:07 | Prefetch | WS-042 | RCLONE.EXE executed · run count 3 |
| 03:12:07 | AmCache | WS-042 | rclone.exe first seen · SHA1 4f2e…a91c |
| 03:12:09 | EVTX 4688 | WS-042 | rclone.exe copy \\FS01\finance remote: |
| 03:14:51 | EVTX 4624 | FS01 | Logon type 3 from WS-042 · svc_backup |
| 03:15:02 | USN | FS01 | 1,284 files renamed → *.locked |
ÉlevéOutil d'exfiltration exécuté
Prefetch, AmCache, Security 4688 et USN concordent : rclone.exe s'est exécuté sur WS-042 à 03:12, puis a accédé à FS01 via SMB.
Le problème
Les investigations sont multi-artefacts. Pas vos outils.
Un triage type, c'est jongler entre un collecteur, une douzaine de parseurs spécialisés, un visualiseur de CSV, un outil de chasse EVTX et un tableur pour les notes. Ou payer des milliers d'euros par poste pour une suite lourde.
- Des heures de traitement avant la première vraie réponse
- Des constats éparpillés entre CSV, captures d'écran et notes
- La corroboration entre artefacts faite à la main
- Les outils cloud exclus par les contrats clients
Fonctionnement
De la collecte au rapport en quatre étapes
- 01
Import
Déposez une collecte KAPE ou Velociraptor, une image disque ou des artefacts isolés. Le type est détecté par chemin et signature.
- 02
Analyse
Tous les parseurs tournent en parallèle, en local. Progression et erreurs par artefact, rien de caché.
- 03
Corrélation
Une super-timeline normalisée sur tous les hôtes. Les règles de chasse tournent automatiquement et recoupent les artefacts.
- 04
Rapport
Marquez les constats et exportez un rapport avec empreintes des preuves, versions des outils et liens vers les enregistrements bruts.
Fonctionnalités
Un seul atelier pour tout le triage
Tout arrive dans un seul historique de dossier, et chaque outil travaille dessus. Fini les exports CSV d'un outil à l'autre.
Super-timeline
Chaque événement de chaque artefact et de chaque hôte dans un tableau rapide et filtrable, avec histogramme.
Constats corroborés
Des règles inter-artefacts confirment exécutions, connexions et persistance quand plusieurs sources concordent.
Langage de requête
Interrogez tous les artefacts d'un coup avec une seule syntaxe : artifact:prefetch user:alice path:*\Temp\*
Inspecteur
Ouvrez n'importe quel enregistrement : octets bruts et champs décodés côte à côte. Réanalysez avec d'autres options.
Packs de chasse
Chasses EVTX et règles inter-artefacts lancées à l'import. Ajoutez vos listes d'IOC et vos règles.
Rapports reliés aux preuves
Chaque affirmation du rapport pointe vers son enregistrement brut, avec l'empreinte SHA-256 des preuves.
Confiance
Conçu pour des constats défendables
Un outil forensique ne vaut que ce que vous pouvez expliquer dans un rapport, à un client, un assureur ou un tribunal.
Local par conception
Aucun upload, aucune télémétrie par défaut. La version bureau fonctionne câble réseau débranché.
Explicable
Pas de score boîte noire. Chaque constat montre les règles et les enregistrements bruts qui le fondent.
Reproductible
Les rapports consignent versions des outils et parseurs, empreintes des entrées et paramètres : un pair obtient le même résultat.
Sans enfermement
Un format de dossier ouvert et documenté, plus des exports CSV, Timesketch et vers votre modèle de rapport.
Intégration
S'intègre à votre chaîne existante
Gardez votre collecteur et votre modèle de rapport. Sootmark remplace le traitement et la première analyse entre les deux.
Accepte
- KAPE (folder, zip, VHDX)
- Velociraptor
- E01 / raw images
- Loose artifacts
- EZ Tools CSV
Transmet à
- CSV
- Timesketch
- STIX / MISP
- DOCX / PDF report
- IRIS / TheHive
Tarifs
Des tarifs simples, sans appel commercial
Achetez par carte en plein incident. Abonnement mensuel pour les indépendants.
Gratuit
0 €
Parseurs d'artefact unique dans le navigateur.
- Un type d'artefact à la fois
- Dans votre navigateur, sans upload
- Idéal pour les vérifications rapides
Pro
99 €/mois
Pour l'analyste solo. Ou 990 €/an.
- Collectes et hôtes illimités
- Super-timeline et langage de requête
- Constats inter-artefacts et chasses
- Rapports avec empreintes des preuves
Équipe
1 490 €/poste/an
Pour les cabinets IR et MSSP.
- Tout le plan Pro
- Dossiers partagés
- Packs de chasse et modèles personnalisés
- Support prioritaire
Hors ligne
Sur devis
Licence perpétuelle pour laboratoires isolés.
- Clé de licence hors ligne signée
- Licence perpétuelle + maintenance
- Kit de validation pour votre labo
Tarifs prévus, affichés pour l'accès anticipé. Susceptibles d'évoluer avant le lancement. Licences gratuites prévues pour les étudiants, le monde académique et les forces de l'ordre.
FAQ
Les questions des analystes
Mes preuves quittent-elles ma machine ?
Non. L'analyse, la timeline et les chasses tournent en local, dans votre navigateur ou dans l'application de bureau. Aucun upload, aucune télémétrie par défaut.
Quels artefacts sont pris en charge ?
Le triage Windows d'abord : journaux d'événements, MFT, journal USN, Prefetch, AmCache, ShimCache, ruches de registre, LNK, Jump Lists, SRUM, corbeille, historique des navigateurs et plus, une vingtaine de types d'artefacts.
Quels formats de collecte puis-je charger ?
Les sorties KAPE (dossier, zip ou VHDX), les collectes hors ligne Velociraptor, les images disque E01 et brutes, et les fichiers d'artefacts isolés.
Est-ce que ça remplace AXIOM ou X-Ways ?
Pas dès le premier jour, et ce n'est pas nécessaire. Beaucoup d'analystes commencent par utiliser Sootmark pour un premier regard rapide ou comme second outil pour recouper les constats clés.
Quand pourrai-je l'utiliser ?
Sootmark est en début de développement. Rejoignez la liste d'attente pour obtenir un accès anticipé et contribuer à la première version.
Y a-t-il des remises pour les étudiants ou les forces de l'ordre ?
Oui. Des licences gratuites sont prévues pour les étudiants, le monde académique et les forces de l'ordre.
Arrêtez de recoudre vos outils entre eux.
Rejoignez la liste d'attente pour un accès anticipé. Nous ne vous écrirons qu'au sujet de Sootmark.
Rejoindre la liste d'attente