Des collectes de triage à une chronologie de l'attaquant défendable.
Sootmark ingère les collectes KAPE et Velociraptor, les images disque et les exports EDR de tous les hôtes du dossier, construit une seule chronologie et aide votre équipe à en tirer des constats défendables. Chaque constat est à un clic de ses octets bruts. Tourne sur votre poste ou votre propre serveur. Rien ne quitte votre environnement.
Windows · macOS · Linux · Fonctionne hors réseau · Pensé pour les consultants IR
| Heure (UTC) | Artefact | Hôte | Événement |
|---|---|---|---|
| 03:11:58 | EVTX 4624 | WS-042 | Logon type 10 · svc_backup from 10.0.4.17 |
| 03:12:07 | Prefetch | WS-042 | RCLONE.EXE executed · run count 3 |
| 03:12:07 | AmCache | WS-042 | rclone.exe first seen · SHA1 4f2e…a91c |
| 03:12:09 | EVTX 4688 | WS-042 | rclone.exe copy \\FS01\finance remote: |
| 03:14:51 | EVTX 4624 | FS01 | Logon type 3 from WS-042 · svc_backup |
| 03:15:02 | USN | FS01 | 1,284 files renamed → *.locked |
ÉlevéExécution de rclone.exe indiquée
Indiquée par Prefetch (3 exécutions, dernière à 03:12:07) et Security 4688 (03:12:09). rclone.conf définit un distant de type mega.
Le problème
Un vrai dossier, c'est quarante hôtes, trois analystes et une échéance.
Aujourd'hui, cela veut dire un collecteur, une douzaine de parseurs spécialisés, un visualiseur de CSV, un outil de chasse EVTX, un tableur partagé pour la chronologie de l'attaquant et un fichier de notes que personne d'autre ne peut relire. Ou une suite lourde facturée au poste.
- Des heures de traitement avant la première vraie réponse
- Des constats éparpillés entre CSV, captures d'écran et notes
- La corroboration entre artefacts faite à la main
- La chronologie pour l'avocat refaite dans un tableur chaque soir
Fonctionnement
De la collecte au livrable
- 01
Pointez vers les preuves
Collectes KAPE ou Velociraptor, images E01 et VHDX, exports EDR et pare-feu, ou sorties des outils que vous utilisez déjà. Rien n'est copié. Tout est haché.
- 02
Laissez tourner la nuit
Chaque hôte est analysé en parallèle, sur une ou plusieurs machines. L'ingestion reprend après un plantage ou un redémarrage. Les alertes critiques apparaissent en quelques minutes.
- 03
Enquêtez en équipe
Une chronologie pour tous les hôtes. Pivotez, empilez, suivez les sessions de connexion, triez les alertes. Répartissez les hôtes et voyez ce que personne n'a encore regardé.
- 04
Livrez
Une chronologie de l'attaquant soignée, des tableaux insérés dans votre propre modèle Word, une note pour l'avocat, un export des preuves. Chaque ligne traçable jusqu'à sa source.
Fonctionnalités
Tout ce qui se passe entre la collecte et le rapport
Un seul atelier remplace l'assemblage de parseurs, visualiseurs CSV, outils de chasse et tableurs. Il s'insère entre le collecteur que vous utilisez déjà et le rapport que vous rédigez déjà.
Une chronologie, tous les hôtes
Chaque événement de chaque artefact et de chaque hôte dans une grille rapide : filtres, regroupements, colonnes épinglées, couleurs, histogramme de densité et contexte ±N autour de n'importe quelle ligne.
Sessions
Identifiants de connexion, sessions RDP et jetons cloud regroupés en sessions d'activité : vous suivez l'attaquant au lieu de lire des lignes.
Des alertes qu'on peut trier
Règles Sigma et chasses exécutées pendant l'ingestion. Chaque alerte montre pourquoi elle a matché. Traitez-les par lots et réglez le bruit par dossier ou par cabinet.
Constats positifs et négatifs
Constats ponctuels, intervalles d'activité et « aucune preuve de X dans les données disponibles », chacun avec ses preuves et sa couverture.
La chronologie de l'attaquant
Une liste soignée et versionnée de ce qui s'est passé, avec la formulation validée pour chaque ligne. Le livrable que l'avocat demande chaque soir.
IOC et balayages
Collectez les indicateurs au fil de l'eau et exportez des balayages pour Velociraptor, Defender, CrowdStrike ou YARA afin de vérifier le reste du parc.
Pensé pour les vrais dossiers
Quarante hôtes. Trois analystes. Des collectes qui arrivent encore.
La plupart des outils sont conçus autour d'une image sur un portable. Sootmark est conçu autour du dossier que vous recevez vraiment.
Plusieurs hôtes, plusieurs collectes
Collectes avant et après confinement, recollectes et exports EDR par hôte, avec des identités d'hôtes rapprochées entre noms, IP et identifiants de capteurs.
Ingestion autonome et reprenable
Mettez tout le dossier en file la nuit. Le travail continue après un plantage ou un redémarrage Windows Update, et aucun travail terminé n'est perdu.
Votre équipe, votre serveur
Faites tourner le moteur sur un poste, un serveur de labo ou dans le cloud du client. Les analystes se connectent depuis un navigateur ou l'application de bureau.
Montez en charge avec des machines libres
Ajoutez des workers pour analyser là où se trouvent les preuves. Seuls les résultats circulent. Les workers sont gratuits : vous payez par analyste, pas par CPU.
Confiance
Conçu pour des constats défendables
Un outil forensique ne vaut que ce que vous pouvez expliquer à un client, un assureur, un avocat ou un tribunal.
Local par conception
Aucun upload et aucune télémétrie. Fonctionne hors réseau. Tout futur service de consultation sera optionnel, par dossier, et journalisé.
Les octets bruts à côté de chaque interprétation
Chaque enregistrement montre son fichier source, son offset, son empreinte, ainsi que le parseur et la version qui l'ont lu.
L'outil décrit. Vous concluez.
L'outil dit « Prefetch montre 3 exécutions », jamais « exécution confirmée ». Les réserves propres à chaque artefact sont intégrées : ShimCache montre une présence, pas une exécution.
Rien n'est caché en silence
Chaque exclusion, règle mise en sourdine et dédoublonnage est nommé, compté, réversible et exportable en annexe.
Reproductible
Les dossiers consignent les versions du moteur, des parseurs, des règles et de la base de fuseaux horaires : un pair peut rejouer les mêmes preuves et obtenir le même résultat.
Parseurs open source
Les parseurs seront open source : lisez le code, vérifiez les tests, reproduisez n'importe quel enregistrement de façon indépendante. Aucune IA opaque ne décide de quoi que ce soit.
Intégration
S'intègre à votre chaîne existante
Gardez votre collecteur, votre EDR et votre modèle de rapport. Sootmark remplace le traitement et l'analyse entre les deux.
Accepte
- KAPE (folder, zip, VHDX)
- Velociraptor
- E01 / VHDX / raw
- Defender XDR
- Firewall & VPN logs
- Microsoft 365
- Google Workspace
- ESXi logs
- EZ Tools / Hayabusa / Plaso
Transmet à
- Your DOCX template
- XLSX / CSV
- Briefing slides
- Evidence package
- Timesketch
- Velociraptor / KQL / YARA sweeps
- STIX / MISP
Modèles de dossier
- Ransomware
- ESXi ransomware
- VPN / edge device
- BEC · Microsoft 365
- BEC · Google Workspace
- Web server
- Malware
Tarifs
Des tarifs simples, sans appel commercial
Achetez par carte en plein incident. Abonnement mensuel pour les indépendants.
Gratuit
0 €
Parseurs d'artefact unique dans le navigateur.
- Un type d'artefact à la fois
- Dans votre navigateur, sans upload
- Idéal pour les vérifications rapides
Pro
99 €/mois
Pour l'analyste solo. Ou 990 €/an.
- Hôtes et collectes illimités
- Chronologie, sessions, alertes et constats
- Chronologie de l'attaquant et tableaux de rapport
- Application de bureau Windows, macOS, Linux
Équipe
1 490 €/poste/an
Pour les cabinets IR et MSSP.
- Tout le plan Pro
- Serveur auto-hébergé pour toute l'équipe
- Workers de traitement illimités
- Mode relecture et packs de chasse partagés
Hors ligne
Sur devis
Pour les labos isolés et accrédités.
- Licence et mises à jour hors ligne signées
- Versions figées et packs de validation
- Licence perpétuelle + maintenance
Tarifs prévus, affichés pour l'accès anticipé. Susceptibles d'évoluer avant le lancement. Licences gratuites prévues pour les étudiants, le monde académique et les forces de l'ordre.
FAQ
Les questions des analystes
Mes preuves quittent-elles mon environnement ?
Non. L'analyse, la chronologie, les chasses et les rapports tournent sur vos propres machines : un poste, votre serveur de labo ou une VM dans le cloud du client. Aucun upload, aucune télémétrie.
Une équipe peut-elle travailler sur le même dossier ?
Oui. Faites tourner le serveur Sootmark sur un poste ou un serveur que vous contrôlez. Les analystes se connectent depuis un navigateur ou l'application de bureau, les hôtes sont répartis, et chacun voit la même chronologie, les mêmes constats et la même chronologie de l'attaquant.
Quelle taille de dossier peut-il gérer ?
Il est conçu pour des dossiers d'environ 40 hôtes et quelques centaines de millions d'événements sur un seul poste, avec une ingestion autonome la nuit qui reprend après un plantage. Ajoutez des machines libres comme workers pour aller plus vite.
Que puis-je charger ?
Les sorties KAPE (dossier, zip ou VHDX), les collectes hors ligne Velociraptor, les images E01 et brutes, les exports EDR, les journaux de pare-feu et de VPN, les journaux Microsoft 365 et Google Workspace, et les sorties d'EZ Tools, Hayabusa et Plaso.
Rédige-t-il le rapport à ma place ?
Non, volontairement. Il remplit votre propre modèle Word avec les tableaux qui prennent des heures à la main (chronologie de l'attaquant, IOC, hôtes, empreintes des preuves, exclusions) et exporte notes de synthèse et paquets de preuves. Le récit et les conclusions restent les vôtres.
Utilise-t-il l'IA ?
Pas pour conclure quoi que ce soit. Si nous ajoutons une assistance IA, elle tournera en local, sera clairement signalée, pointera vers les enregistrements sur lesquels elle s'appuie, et n'écrira jamais de constat ni de texte de rapport d'elle-même.
Est-ce que ça remplace AXIOM ou X-Ways ?
Pour les dossiers d'intrusion et de BEC, il vise à remplacer le traitement et l'analyse assemblés à partir d'outils gratuits. Pour les examens approfondis d'une image, beaucoup d'analystes garderont leur suite actuelle, et Sootmark sait exporter vers elle.
Quand pourrai-je l'utiliser ?
Sootmark est en développement actif. Rejoignez la liste d'attente pour obtenir un accès anticipé et contribuer à la première version.
Arrêtez de refaire la chronologie dans un tableur.
Rejoignez la liste d'attente pour un accès anticipé. Nous ne vous écrirons qu'au sujet de Sootmark.
Rejoindre la liste d'attente