المقالات والمراجع¶
تجمع هذه الصفحة نقاط انطلاق عالية الجودة للقراء الذين يرغبون في التعمق أكثر مما تقدمه أدلة الآثار الرقمية. وتحتوي أقسام مزيد من التفاصيل في صفحة كل أثر رقمي على الروابط منخفضة المستوى الأكثر تحديدًا.
مدخل إلى DFIR للمبتدئين¶
- ملصق SANS Windows Forensic Analysis — خريطة مرئية للآثار الرقمية الشائعة في Windows ومواقعها.
- ملصق SANS Hunt Evil — نقاط محورية عملية للبحث عن التهديدات وتذكيرات خاصة بالتحقيق في Windows.
- DFIR Artifact Museum — عينات آثار رقمية عامة للتعلم والتحقق من المحللات.
- مرجع الآثار الرقمية في Velociraptor — أوصاف موجهة نحو الجمع وتطبيقات VQL للعديد من آثار Windows الرقمية.
- وثائق Plaso — مفاهيم الجداول الزمنية والمحللات للتحليل عبر عدة آثار رقمية.
آثار نظام الملفات الرقمية¶
- Microsoft: جدول الملفات الرئيسي (Master File Table)
- المواصفات المفتوحة من Microsoft: NTFS
- Microsoft: دفاتر يومية التغيير (Change Journals)
- Microsoft: USN_RECORD_V2
- Microsoft: واصفات الأمان وSDDL
- المواصفات المفتوحة من Microsoft: MS-DTYP — واصفات الأمان وإدخالات ACE والتعبيرات الشرطية.
- وثائق تنسيق libfsntfs
- محلل mft من Omer Ben-Amram
- dfir_ntfs — محلل NTFS يدعم استخلاص (carving) سجلات INDX والمساحة الفائضة (slack) في الفهارس.
- INDXRipper — يستخلص أسماء الملفات من المساحة الفائضة في
$I30. - LogFileParser — بحث مفصل في سجل معاملات NTFS وتحليله.
- ntfs-linker — يربط بين
$LogFileو$MFTوسجل USN.
آثار التنفيذ والجرد الرقمية¶
- أداة AmcacheParser من Eric Zimmerman
- Security Ronin amcache-forensic
- libyal libscca — أعمال على تنسيق Prefetch ومكتبته.
- أداة PECmd من Eric Zimmerman
- Mandiant: الاستفادة من ذاكرة التخزين المؤقت لتوافق التطبيقات في التحقيقات الجنائية
- أداة AppCompatCacheParser من Eric Zimmerman
آثار نشاط المستخدم الرقمية¶
- المواصفات المفتوحة من Microsoft: Shell Link (MS-SHLLINK)
- المواصفات المفتوحة من Microsoft: Compound File Binary (MS-CFB)
- أداة LECmd من Eric Zimmerman
- أداة JLECmd من Eric Zimmerman
- LnkParse3
- أداة SrumECmd من Eric Zimmerman
- Microsoft: Extensible Storage Engine
سجل Windows والاستمرارية¶
- Microsoft: أنواع قيم سجل Windows
- مواصفة تنسيق سجل Windows من Maxim Suhanov
- yarp وlibregf — مراجع منخفضة المستوى لتحليل الخلايا واستردادها.
- وثائق Registry Explorer / RECmd من Eric Zimmerman
- Microsoft: شجرة الخدمات في سجل Windows
- Microsoft: مخطط Task Scheduler
- MITRE ATT&CK: Scheduled Task/Job
- المواصفات المفتوحة من Microsoft: SAM Remote Protocol
Defender والتعامل مع البرامج الضارة¶
- Microsoft: استعادة الملفات المحجورة في Defender
- المكوّن الإضافي Defender في dissect.target
- defender-dump — تطبيق بحثي/استخراجي منفصل.
- FIRST Malware Analysis Fundamentals — موارد للتعامل مع البرامج الضارة وتحليلها.
مشاريع محللات Juntei¶
- ys-amcache-parser
- ys-ntfs-parser (
$MFT،$I30، USN Journal،$LogFile،$Boot،$Secure:$SDS) - ys-prefetch-parser
- ys-srum-parser
- ys-lnk-parser
- ys-jump-lists-parser
- ys-shimcache-parser
- ys-defender-history-parser
- ys-registry-parser
المواد الخارجية تتغير
تحقق من صحة الادعاءات مقارنةً بإصدار Windows المعني والبيانات التي جمعتها. فقد تصف مقالة مفيدة جيلًا معينًا من نظام التشغيل، أو إصدارًا معينًا من المحلل، أو تجربة بعينها، بدلًا من قاعدة عامة.