Artículos y referencias¶
Esta página reúne puntos de partida de alta calidad para los lectores que deseen ir más allá de las guías de artefactos. Las secciones Más detalles de cada artefacto contienen los enlaces de bajo nivel más específicos.
Orientación DFIR para principiantes¶
- Póster SANS Windows Forensic Analysis: un mapa visual de los artefactos de Windows más comunes y sus ubicaciones.
- Póster SANS Hunt Evil: pivotes prácticos de búsqueda de amenazas y recordatorios para investigaciones en Windows.
- DFIR Artifact Museum: muestras públicas de artefactos para el aprendizaje y la validación de analizadores.
- Referencia de artefactos de Velociraptor: descripciones orientadas a la recopilación e implementaciones en VQL para muchos artefactos de Windows.
- Documentación de Plaso: conceptos de líneas de tiempo y analizadores para el análisis entre artefactos.
Artefactos del sistema de archivos¶
- Microsoft: Master File Table
- Microsoft Open Specifications: NTFS
- Microsoft: Change Journals
- Microsoft: USN_RECORD_V2
- Microsoft: Security descriptors y SDDL
- Microsoft Open Specifications: MS-DTYP: descriptores de seguridad, ACE y expresiones condicionales.
- Documentación del formato de libfsntfs
- Analizador mft de Omer Ben-Amram
- dfir_ntfs: analizador de NTFS con recuperación (carving) de registros INDX y del espacio residual de los índices.
- INDXRipper: recupera nombres de archivo del espacio residual de
$I30. - LogFileParser: investigación detallada y análisis del registro de transacciones de NTFS.
- ntfs-linker: correlaciona el historial de
$LogFile,$MFTy USN.
Artefactos de ejecución e inventario¶
- AmcacheParser de Eric Zimmerman
- amcache-forensic de Security Ronin
- libscca de libyal: trabajo sobre el formato y la biblioteca de Prefetch.
- PECmd de Eric Zimmerman
- Mandiant: Leveraging the Application Compatibility Cache in Forensic Investigations
- AppCompatCacheParser de Eric Zimmerman
Artefactos de actividad del usuario¶
- Microsoft Open Specifications: Shell Link (MS-SHLLINK)
- Microsoft Open Specifications: Compound File Binary (MS-CFB)
- LECmd de Eric Zimmerman
- JLECmd de Eric Zimmerman
- LnkParse3
- SrumECmd de Eric Zimmerman
- Microsoft: Extensible Storage Engine
Registro y persistencia¶
- Microsoft: Registry value types
- Especificación del formato del Registro de Windows de Maxim Suhanov
- yarp y libregf: referencias de bajo nivel para el análisis y la recuperación de hives.
- Documentación de Registry Explorer / RECmd de Eric Zimmerman
- Microsoft: Services registry tree
- Microsoft: Task Scheduler schema
- MITRE ATT&CK: Scheduled Task/Job
- Microsoft Open Specifications: SAM Remote Protocol
Defender y tratamiento de malware¶
- Microsoft: Restore quarantined files in Defender
- Plugin de Defender de dissect.target
- defender-dump: una implementación independiente de investigación y extracción.
- FIRST Malware Analysis Fundamentals: recursos de tratamiento y análisis.
Proyectos de analizadores de Juntei¶
- ys-amcache-parser
- ys-ntfs-parser (
$MFT,$I30, USN Journal,$LogFile,$Boot,$Secure:$SDS) - ys-prefetch-parser
- ys-srum-parser
- ys-lnk-parser
- ys-jump-lists-parser
- ys-shimcache-parser
- ys-defender-history-parser
- ys-registry-parser
El material externo cambia
Verifique las afirmaciones con la versión de Windows afectada y con los datos recopilados. Un artículo útil puede describir una generación concreta del sistema operativo, una versión del analizador o un experimento, y no una regla universal.