Artikel und Referenzen

Diese Seite sammelt hochwertige Einstiegspunkte für Leserinnen und Leser, die über die Artefakt- leitfäden hinausgehen möchten. Die Abschnitte Weitere Informationen der einzelnen Artefakte enthalten die gezieltesten Low-Level-Links.

DFIR-Orientierung für Einsteiger

• SANS-Poster „Windows Forensic Analysis“ — eine visuelle Übersicht gängiger Windows-Artefakte und ihrer Speicherorte.
• SANS-Poster „Hunt Evil“ — praktische Ansatzpunkte für das Hunting und Gedächtnisstützen für Windows-Untersuchungen.
• DFIR Artifact Museum — öffentliche Artefaktbeispiele zum Lernen und zur Parservalidierung.
• Velociraptor-Artefaktreferenz — sammlungsorientierte Beschreibungen und VQL-Implementierungen für viele Windows-Artefakte.
• Plaso-Dokumentation — Zeitleistenkonzepte und Parser für artefaktübergreifende Analysen.

Dateisystemartefakte

• Microsoft: Master File Table
• Microsoft Open Specifications: NTFS
• Microsoft: Change Journals
• Microsoft: USN_RECORD_V2
• Microsoft: Sicherheitsbeschreibungen und SDDL
• Microsoft Open Specifications: MS-DTYP — Sicherheitsbeschreibungen, ACEs und bedingte Ausdrücke.
• Formatdokumentation von libfsntfs
• mft-Parser von Omer Ben-Amram
• dfir_ntfs — NTFS-Parser mit Carving von INDX-Datensätzen und Index-Slack.
• INDXRipper — extrahiert Dateinamen per Carving aus dem Slack von $I30.
• LogFileParser — detaillierte Forschung zum NTFS-Transaktionsprotokoll und dessen Parsing.
• ntfs-linker — korreliert $LogFile, $MFT und den USN-Verlauf.

Ausführungs- und Inventarartefakte

• AmcacheParser von Eric Zimmerman
• Security Ronin amcache-forensic
• libyal libscca — Arbeiten zu Prefetch-Format und -Bibliothek.
• PECmd von Eric Zimmerman
• Mandiant: Leveraging the Application Compatibility Cache in Forensic Investigations
• AppCompatCacheParser von Eric Zimmerman

Artefakte der Benutzeraktivität

• Microsoft Open Specifications: Shell Link (MS-SHLLINK)
• Microsoft Open Specifications: Compound File Binary (MS-CFB)
• LECmd von Eric Zimmerman
• JLECmd von Eric Zimmerman
• LnkParse3
• SrumECmd von Eric Zimmerman
• Microsoft: Extensible Storage Engine

Registry und Persistenz

• Microsoft: Registry-Werttypen
• Spezifikation des Windows-Registry-Formats von Maxim Suhanov
• yarp und libregf — Referenzen für Low-Level-Parsing und Wiederherstellung von Hives.
• Dokumentation zu Registry Explorer / RECmd von Eric Zimmerman
• Microsoft: Registry-Struktur der Dienste
• Microsoft: Schema der Aufgabenplanung
• MITRE ATT&CK: Scheduled Task/Job
• Microsoft Open Specifications: SAM Remote Protocol

Defender und Umgang mit Malware

• Microsoft: Wiederherstellen von Dateien aus der Quarantäne in Defender
• Defender-Plugin von dissect.target
• defender-dump — eine separate Forschungs-/Extraktionsimplementierung.
• FIRST Malware Analysis Fundamentals — Ressourcen zu Handhabung und Analyse.

Parser-Projekte von Juntei

• ys-amcache-parser
• ys-ntfs-parser ($MFT, $I30, USN-Journal, $LogFile, $Boot, $Secure:$SDS)
• ys-prefetch-parser
• ys-srum-parser
• ys-lnk-parser
• ys-jump-lists-parser
• ys-shimcache-parser
• ys-defender-history-parser
• ys-registry-parser

Externe Materialien ändern sich

Überprüfen Sie Aussagen anhand der betroffenen Windows-Version und Ihrer gesicherten Daten. Ein nützlicher Artikel kann eine bestimmte Betriebssystemgeneration, Parserversion oder ein Experiment beschreiben statt einer allgemeingültigen Regel.