Articles et références¶
Cette page rassemble des points de départ de grande qualité pour les lecteurs qui souhaitent aller au-delà des guides des artefacts. Les sections Plus de détails de chaque artefact contiennent les liens de bas niveau les plus ciblés.
Orientation DFIR pour débutants¶
- Poster SANS Windows Forensic Analysis — une carte visuelle des artefacts Windows courants et de leurs emplacements.
- Poster SANS Hunt Evil — pivots de chasse pratiques et aide-mémoire pour les investigations Windows.
- DFIR Artifact Museum — échantillons d'artefacts publics pour l'apprentissage et la validation des parseurs.
- Référence des artefacts Velociraptor — descriptions orientées collecte et implémentations VQL pour de nombreux artefacts Windows.
- Documentation de Plaso — concepts de chronologie et parseurs pour l'analyse croisée entre artefacts.
Artefacts du système de fichiers¶
- Microsoft : Master File Table
- Microsoft Open Specifications : NTFS
- Microsoft : Change Journals
- Microsoft : USN_RECORD_V2
- Microsoft : descripteurs de sécurité et SDDL
- Microsoft Open Specifications : MS-DTYP — descripteurs de sécurité, ACE et expressions conditionnelles.
- Documentation du format libfsntfs
- Parseur mft d'Omer Ben-Amram
- dfir_ntfs — parseur NTFS avec récupération (carving) des enregistrements INDX et de l'espace résiduel (slack) des index.
- INDXRipper — récupère les noms de fichiers dans l'espace résiduel de
$I30. - LogFileParser — recherche et analyse détaillées du journal des transactions NTFS.
- ntfs-linker — corrèle l'historique de
$LogFile, de$MFTet de l'USN.
Artefacts d'exécution et d'inventaire¶
- AmcacheParser d'Eric Zimmerman
- amcache-forensic de Security Ronin
- libscca de libyal — travaux sur le format et la bibliothèque Prefetch.
- PECmd d'Eric Zimmerman
- Mandiant : Leveraging the Application Compatibility Cache in Forensic Investigations
- AppCompatCacheParser d'Eric Zimmerman
Artefacts d'activité des utilisateurs¶
- Microsoft Open Specifications : Shell Link (MS-SHLLINK)
- Microsoft Open Specifications : Compound File Binary (MS-CFB)
- LECmd d'Eric Zimmerman
- JLECmd d'Eric Zimmerman
- LnkParse3
- SrumECmd d'Eric Zimmerman
- Microsoft : Extensible Storage Engine
Registre et persistance¶
- Microsoft : types de valeurs du Registre
- Spécification du format du Registre Windows de Maxim Suhanov
- yarp et libregf — références pour l'analyse de bas niveau et la récupération des ruches.
- Documentation de Registry Explorer / RECmd d'Eric Zimmerman
- Microsoft : arborescence du Registre des services
- Microsoft : schéma du Planificateur de tâches
- MITRE ATT&CK : Scheduled Task/Job
- Microsoft Open Specifications : SAM Remote Protocol
Defender et traitement des logiciels malveillants¶
- Microsoft : restaurer les fichiers mis en quarantaine dans Defender
- Plugin Defender de dissect.target
- defender-dump — une implémentation distincte de recherche et d'extraction.
- FIRST Malware Analysis Fundamentals — ressources sur le traitement et l'analyse.
Projets de parseurs de Juntei¶
- ys-amcache-parser
- ys-ntfs-parser (
$MFT,$I30, USN Journal,$LogFile,$Boot,$Secure:$SDS) - ys-prefetch-parser
- ys-srum-parser
- ys-lnk-parser
- ys-jump-lists-parser
- ys-shimcache-parser
- ys-defender-history-parser
- ys-registry-parser
Les documents externes évoluent
Vérifiez les affirmations au regard de la version de Windows concernée et de vos données collectées. Un article utile peut décrire une génération particulière du système d'exploitation, une version de parseur ou une expérience plutôt qu'une règle universelle.