Artikel dan referensi

Halaman ini mengumpulkan titik awal berkualitas tinggi bagi pembaca yang ingin melangkah lebih jauh dari panduan artefak. Bagian Detail lebih lanjut pada setiap artefak berisi tautan tingkat rendah yang paling spesifik.

Orientasi DFIR untuk pemula

• Poster SANS Windows Forensic Analysis — peta visual artefak Windows yang umum beserta lokasinya.
• Poster SANS Hunt Evil — pivot perburuan praktis dan pengingat untuk investigasi Windows.
• DFIR Artifact Museum — sampel artefak publik untuk pembelajaran dan validasi parser.
• Referensi artefak Velociraptor — deskripsi berorientasi pengumpulan dan implementasi VQL untuk banyak artefak Windows.
• Dokumentasi Plaso — konsep timeline dan parser untuk analisis lintas artefak.

Artefak sistem berkas

• Microsoft: Master File Table
• Microsoft Open Specifications: NTFS
• Microsoft: Change Journals
• Microsoft: USN_RECORD_V2
• Microsoft: Security descriptors dan SDDL
• Microsoft Open Specifications: MS-DTYP — deskriptor keamanan, ACE, dan ekspresi kondisional.
• Dokumentasi format libfsntfs
• Parser mft oleh Omer Ben-Amram
• dfir_ntfs — parser NTFS dengan carving catatan INDX dan index slack.
• INDXRipper — melakukan carving slack $I30 untuk mendapatkan nama berkas.
• LogFileParser — riset dan penguraian log transaksi NTFS secara mendetail.
• ntfs-linker — mengorelasikan riwayat $LogFile, $MFT, dan USN.

Artefak eksekusi dan inventaris

• AmcacheParser oleh Eric Zimmerman
• Security Ronin amcache-forensic
• libyal libscca — kajian format/pustaka Prefetch.
• PECmd oleh Eric Zimmerman
• Mandiant: Leveraging the Application Compatibility Cache in Forensic Investigations
• AppCompatCacheParser oleh Eric Zimmerman

Artefak aktivitas pengguna

• Microsoft Open Specifications: Shell Link (MS-SHLLINK)
• Microsoft Open Specifications: Compound File Binary (MS-CFB)
• LECmd oleh Eric Zimmerman
• JLECmd oleh Eric Zimmerman
• LnkParse3
• SrumECmd oleh Eric Zimmerman
• Microsoft: Extensible Storage Engine

Registry dan persistensi

• Microsoft: Tipe nilai registry
• Spesifikasi format registry Windows oleh Maxim Suhanov
• yarp dan libregf — referensi penguraian dan pemulihan hive tingkat rendah.
• Dokumentasi Registry Explorer / RECmd oleh Eric Zimmerman
• Microsoft: Pohon registry Services
• Microsoft: Skema Task Scheduler
• MITRE ATT&CK: Scheduled Task/Job
• Microsoft Open Specifications: SAM Remote Protocol

Defender dan penanganan malware

• Microsoft: Memulihkan berkas yang dikarantina di Defender
• Plugin Defender dissect.target
• defender-dump — implementasi riset/ekstraksi tersendiri.
• FIRST Malware Analysis Fundamentals — sumber daya penanganan dan analisis.

Proyek parser Juntei

• ys-amcache-parser
• ys-ntfs-parser ($MFT, $I30, USN Journal, $LogFile, $Boot, $Secure:$SDS)
• ys-prefetch-parser
• ys-srum-parser
• ys-lnk-parser
• ys-jump-lists-parser
• ys-shimcache-parser
• ys-defender-history-parser
• ys-registry-parser

Materi eksternal dapat berubah

Verifikasi klaim terhadap versi Windows yang terdampak dan data yang Anda kumpulkan. Artikel yang berguna dapat mendeskripsikan generasi sistem operasi, versi parser, atau eksperimen tertentu, bukan aturan yang berlaku universal.