लेख और संदर्भ

यह पृष्ठ उन पाठकों के लिए उच्च-गुणवत्ता वाले शुरुआती स्रोत एकत्र करता है जो आर्टिफ़ैक्ट मार्गदर्शिकाओं से आगे जाना चाहते हैं। हर आर्टिफ़ैक्ट के अधिक विवरण अनुभागों में सबसे लक्षित low-level links हैं।

शुरुआती लोगों के लिए DFIR परिचय

• SANS Windows Forensic Analysis poster — सामान्य Windows आर्टिफ़ैक्ट और उनके स्थानों का एक दृश्य मानचित्र।
• SANS Hunt Evil poster — व्यावहारिक hunting pivots और Windows जाँच के लिए स्मरण-बिंदु।
• DFIR Artifact Museum — सीखने और parser सत्यापन के लिए सार्वजनिक आर्टिफ़ैक्ट नमूने।
• Velociraptor artifact reference — कई Windows आर्टिफ़ैक्ट के लिए संग्रह-केंद्रित विवरण और VQL implementations।
• Plaso दस्तावेज़ीकरण — कई आर्टिफ़ैक्ट पर आधारित विश्लेषण के लिए timeline अवधारणाएँ और parsers।

File-system आर्टिफ़ैक्ट

• Microsoft: Master File Table
• Microsoft Open Specifications: NTFS
• Microsoft: Change Journals
• Microsoft: USN_RECORD_V2
• Microsoft: Security descriptors और SDDL
• Microsoft Open Specifications: MS-DTYP — security descriptors, ACEs और conditional expressions।
• libfsntfs format दस्तावेज़ीकरण
• Omer Ben-Amram का mft parser
• dfir_ntfs — INDX record और index-slack carving के साथ NTFS parser।
• INDXRipper — फ़ाइल नामों के लिए $I30 slack को carve करता है।
• LogFileParser — विस्तृत NTFS transaction-log शोध और parsing।
• ntfs-linker — $LogFile, $MFT और USN इतिहास को correlate करता है।

निष्पादन और inventory आर्टिफ़ैक्ट

• Eric Zimmerman का AmcacheParser
• Security Ronin amcache-forensic
• libyal libscca — Prefetch format/library पर कार्य।
• Eric Zimmerman का PECmd
• Mandiant: Leveraging the Application Compatibility Cache in Forensic Investigations
• Eric Zimmerman का AppCompatCacheParser

उपयोगकर्ता-गतिविधि आर्टिफ़ैक्ट

• Microsoft Open Specifications: Shell Link (MS-SHLLINK)
• Microsoft Open Specifications: Compound File Binary (MS-CFB)
• Eric Zimmerman का LECmd
• Eric Zimmerman का JLECmd
• LnkParse3
• Eric Zimmerman का SrumECmd
• Microsoft: Extensible Storage Engine

रेजिस्ट्री और पर्सिस्टेंस

• Microsoft: Registry value types
• Maxim Suhanov का Windows registry format specification
• yarp और libregf — low-level hive parsing और recovery के संदर्भ।
• Eric Zimmerman का Registry Explorer / RECmd दस्तावेज़ीकरण
• Microsoft: Services registry tree
• Microsoft: Task Scheduler schema
• MITRE ATT&CK: Scheduled Task/Job
• Microsoft Open Specifications: SAM Remote Protocol

Defender और malware का प्रबंधन

• Microsoft: Restore quarantined files in Defender
• dissect.target Defender plugin
• defender-dump — एक अलग शोध/extraction implementation।
• FIRST Malware Analysis Fundamentals — प्रबंधन और विश्लेषण संसाधन।

Juntei parser projects

• ys-amcache-parser
• ys-ntfs-parser ($MFT, $I30, USN Journal, $LogFile, $Boot, $Secure:$SDS)
• ys-prefetch-parser
• ys-srum-parser
• ys-lnk-parser
• ys-jump-lists-parser
• ys-shimcache-parser
• ys-defender-history-parser
• ys-registry-parser

बाहरी सामग्री बदलती रहती है

दावों को प्रभावित Windows version और अपने एकत्र किए गए data के विरुद्ध सत्यापित करें। कोई उपयोगी लेख किसी सार्वभौमिक नियम के बजाय किसी विशिष्ट operating-system पीढ़ी, parser version या प्रयोग का वर्णन कर सकता है।