Отдел реагирования на угрозы для цифрового расследования**

Автономный агент DFIR построен на рабочей станции SANS SIFT. TRUDI проводит полное расследование инцидентов — сортировка дисков, криминалистика памяти, анализ артефактов Windows, обогащение МОК, охота на YARA — и производит структурированный отчет аналитика с полным аудитом, без подсказки для подтверждения на каждом этапе.

Отдельная модель руководит расследованием поэтапно, и состязательный рецензент оспаривает каждое заключение, прежде чем оно достигнет отчета. TRUDI сообщает только то, что осталось после обзора.

Построен для хакатона Find Evil! — SANS Institute / Devpost, апрель — июнь 2026 года.

Содержимое

Это чтение: Как это работает · Предпосылки · Настройка · Ключи API · Запуск локальной модели · Начало дела · Мониторинг в реальном времени (экспериментальный) · Что производится · Панель мониторинга · Документация · Пространства имен Инструментов · Правила YARA · Ограничения доказательств · Тестовый пакет · Планировка хранилища · Лицензия

Документация:

Док! Док! Что в ней есть [скрыто] [скрыто] [скрыто] [скрыто] | Try It Out | Шаг за шагом: просмотрите готовый пробег (без ключа) или проведите новое расследование сквозное |

TRUDI

Threat Response Unit for Digital Investigation

Autonomous DFIR agent built on the SANS SIFT Workstation. TRUDI runs a complete incident response investigation — disk triage, memory forensics, Windows artifact parsing, IOC enrichment, YARA hunting — and produces a structured analyst report with a full audit trail, without prompting for confirmation at each step.

A separate model directs the investigation phase-by-phase, and an adversarial reviewer challenges every conclusion before it reaches the report. TRUDI only reports what survives review.

Built for the Find Evil! hackathon — SANS Institute / Devpost, April–June 2026.

---

Contents

This README: How it works · Prerequisites · Setup · API keys · Running a local model · Starting a case · Live monitoring (experimental) · What gets produced · Trace dashboard · Documentation · Tool namespaces · YARA rules · Evidence constraints · Test suite · Repository layout · License

Documentation:

---

How it works

TRUDI is a three-model system — one analyst and two independently-configured reasoning models that direct and challenge it:

Claude (primary analyst) — orchestrates the investigation, selects tools, runs them via the TRUDI MCP server, interprets output, and writes the report.