証拠と解釈¶

デジタルフォレンジックは単にフィールドを読み取るだけではありません。それは、フィールドがどのような観察をサポートしているか、そのサポートがどれほど強いか、そして同じ観察を無害に生み出すことができるものを決定することです。

4 つの有用な証拠カテゴリー¶

カテゴリ	意味	例
存在感	パスまたはファイルが Windows に認識されました	Amcache ファイルレコード、ShimCache エントリ、`$MFT` レコード
実行	Windows はプログラムの起動または実行状態を記録しました	Prefetch 実行時間。 ShimCache実行フラグをサポート
ユーザーインタラクション	ユーザーまたはアプリケーションがアイテムを参照した/開いた	RecentDocs、ジャンプリスト、最近使ったフォルダー LNK
システムアクティビティ	Windows はリソースの使用または構成を記録しました	SRUM カウンタ、サービス構成、TaskCache アクション

アーティファクトは複数のカテゴリをサポートできますが、自動的に昇格することはありません。たとえば、疑わしいパスを持つ Amcache エントリは、presence をサポートします。 Prefetch ランタイムが一致すると、より強力な execution 証拠が追加されます。 USN 作成レコードと $MFT パスによりファイルがディスク上に配置され、Defender 隔離によりファイルが消えた理由が説明されます。

タイムスタンプはステートメントであり、普遍的な真実ではありません¶

各タイムスタンプの原因を尋ねます。

$STANDARD_INFORMATION および $FILE_NAME 時間は NTFS メタデータを表しており、異なる可能性があります。
Prefetch ランタイムは記録された起動を記述しますが、最近のランタイムのみが残ります。
ShimCache 時間は通常、実行時間ではなく、キャッシュされたファイルの最終変更時間です。
レジストリキーの最終書き込み時刻は、個々の値ではなくキー全体に適用されます。
RecentDocs は、キーの時間を最新のアイテムに与えます。古いアイテムには注文がありますが、通常はオープン時間がありません。
SRUM タイムスタンプは、多くの場合、正確なネットワーク動作ではなく、集約間隔を識別します。

分析中に UTC を使用し、使用可能な場合は元の値を保持し、変換を文書化します。

肯定的証拠と否定的証拠¶

よく理解された記録の存在は、強力な肯定的な証拠となり得ます。アーティファクトがロールオーバーし、キャッシュに上限があり、収集が不完全である可能性があり、設定が異なり、クリーンアップツールが存在するため、通常、不在は弱いです。「起こらなかった」ではなく「収集された遺物では観察されなかった」と言いましょう。

確認用はしご¶

ソースファイルとコレクションパスを検証します。
パーサーが関連する損傷や適用されていないトランザクションログを報告していないことを確認します。
アーティファクトページに従ってフィールドを解釈します。
同じアクションをサポートする独立したアーティファクトを見つけます。
利用可能な場合は、イベントログ、ネットワークテレメトリ、メモリ、またはファイルの内容を確認します。
正確な Juntei バージョン、コマンド、フィルター、ソースハッシュを記録します。

証拠の強さに従って結論を書く

好む "Prefetch 記録 tool.exe で走っています 10:02:11Z」を「攻撃者は正確にマルウェアを実行しました」 10:02:11Z」 2 番目のステートメントは、アイデンティティと意図を追加します。 Prefetch だけでは確立できません。