記事と参考文献

このページには、アーティファクト ガイドのさらに先を進みたい読者のための、質の高い出発点が集められています。アーティファクトごとの 「詳細」 セクションには、最もターゲットを絞った低レベルのリンクが含まれています。

初心者向け DFIR オリエンテーション

• SANS Windows フォレンジック分析ポスター — 一般的な Windows アーティファクトと場所のビジュアル マップ。
• SANS Hunt Evil ポスター — 実用的な狩猟の要点と Windows の調査リマインダー。
• DFIR アーティファクト ミュージアム — 学習およびパーサー検証用の公開アーティファクト サンプル。
• Velociraptor アーティファクト リファレンス — 多くの Windows アーティファクトのコレクション指向の説明と VQL 実装。
• Plaso ドキュメント — クロスアーティファクト分析のためのタイムラインの概念とパーサー。

ファイルシステムのアーティファクト

• Microsoft: マスター ファイル テーブル
• Microsoft オープン仕様: NTFS
• Microsoft: 変更仕訳帳
• Microsoft: USN_RECORD_V2
• Microsoft: セキュリティ記述子およびSDDL
• Microsoft 公開仕様: MS-DTYP — セキュリティ記述子、ACE、および条件式。
• libfsntfs 形式のドキュメント
• Omer Ben-Amram の mft パーサー
• dfir_ntfs — INDX レコードとインデックス スラック カービングを備えた NTFS パーサー。
• INDXRipper — ファイル名に $I30 のスラックを刻みます。
• LogFileParser — 詳細な NTFS トランザクション ログの調査と解析。
• ntfs-linker — $LogFile、$MFT、および USN の履歴を関連付けます。

実行およびインベントリのアーティファクト

• エリック・ジマーマンの AmcacheParser
• Security Ronin amcache-forensic
• libyal libscca — Prefetch フォーマット/ライブラリ作品。
• エリック・ジマーマンの PECmd
• Mandiant: フォレンジック調査におけるアプリケーション互換性キャッシュの活用
• エリック・ジマーマンの AppCompatCacheParser

ユーザーアクティビティのアーティファクト

• Microsoft オープン仕様: シェルリンク (MS-SHLLINK)
• Microsoft オープン仕様: 複合ファイル バイナリ (MS-CFB)
• エリック・ジマーマンのLECmd
• エリック・ジマーマンの JLECmd
• LnkParse3
• エリック・ジマーマンのスラムECmd
• Microsoft: 拡張ストレージ エンジン

レジストリと永続性

• Microsoft: レジストリ値のタイプ
• Maxim Suhanov の Windows レジストリ形式仕様
• yarp および libregf — 低レベルのハイブ解析およびリカバリ参照。
• Eric Zimmerman のレジストリ エクスプローラー / RECmd ドキュメント
• Microsoft: サービス レジストリ ツリー
• Microsoft: タスク スケジューラ スキーマ
• MITRE ATT&CK: スケジュールされたタスク/ジョブ
• Microsoft オープン仕様: SAM リモート プロトコル

Defender とマルウェアの処理

• Microsoft: Defender の隔離されたファイルを復元します
• dissect.target Defender プラグイン
• defender-dump — 個別の調査/抽出実装。
• FIRST マルウェア分析の基礎 — 処理と分析のリソース。

Juntei パーサー プロジェクト

• ys-amcache-parser
• ys-ntfs-parser ($MFT、$I30、USN ジャーナル、$LogFile、$Boot、$Secure:$SDS)
• ys-プリフェッチ-パーサー
• ys-srum-parser
• ys-lnk-parser
• ys-ジャンプリスト-パーサー
• ys-shimcache-parser
• ys-defender-history-parser
• ys-レジストリ-パーサー

外部材質の変更

影響を受ける Windows バージョンと収集したデータに対する申し立てを確認します。有用な記事では、普遍的な規則ではなく、特定のオペレーティング システムの世代、パーサーのバージョン、または実験について説明できます。