문서 및 참고 자료

이 페이지는 아티팩트 가이드보다 더 깊이 알아보고자 하는 독자를 위해 양질의 출발점을 모아 둔 것입니다. 아티팩트별 추가 정보 섹션에는 가장 구체적인 저수준 링크가 정리되어 있습니다.

초보자를 위한 DFIR 입문

• SANS Windows Forensic Analysis 포스터 — 일반적인 Windows 아티팩트와 위치를 시각적으로 정리한 지도입니다.
• SANS Hunt Evil 포스터 — 실용적인 헌팅 피벗과 Windows 조사 시 유의 사항을 정리한 자료입니다.
• DFIR Artifact Museum — 학습과 파서 검증을 위한 공개 아티팩트 샘플입니다.
• Velociraptor 아티팩트 레퍼런스 — 다양한 Windows 아티팩트에 대한 수집 중심의 설명과 VQL 구현입니다.
• Plaso 문서 — 아티팩트 간 분석을 위한 타임라인 개념과 파서입니다.

파일 시스템 아티팩트

• Microsoft: 마스터 파일 테이블
• Microsoft Open Specifications: NTFS
• Microsoft: 변경 저널(Change Journals)
• Microsoft: USN_RECORD_V2
• Microsoft: 보안 설명자 및 SDDL
• Microsoft Open Specifications: MS-DTYP — 보안 설명자, ACE 및 조건식에 대한 사양입니다.
• libfsntfs 형식 문서
• Omer Ben-Amram의 mft 파서
• dfir_ntfs — INDX 레코드 및 인덱스 슬랙 카빙을 지원하는 NTFS 파서입니다.
• INDXRipper — $I30 슬랙에서 파일 이름을 카빙합니다.
• LogFileParser — NTFS 트랜잭션 로그에 대한 상세한 연구 및 분석 도구입니다.
• ntfs-linker — $LogFile, $MFT 및 USN 기록을 상관 분석합니다.

실행 및 인벤토리 아티팩트

• Eric Zimmerman의 AmcacheParser
• Security Ronin amcache-forensic
• libyal libscca — Prefetch 형식/라이브러리 작업입니다.
• Eric Zimmerman의 PECmd
• Mandiant: 포렌식 조사에서 Application Compatibility Cache 활용하기
• Eric Zimmerman의 AppCompatCacheParser

사용자 활동 아티팩트

• Microsoft Open Specifications: Shell Link (MS-SHLLINK)
• Microsoft Open Specifications: Compound File Binary (MS-CFB)
• Eric Zimmerman의 LECmd
• Eric Zimmerman의 JLECmd
• LnkParse3
• Eric Zimmerman의 SrumECmd
• Microsoft: Extensible Storage Engine

레지스트리와 지속성

• Microsoft: 레지스트리 값 형식
• Maxim Suhanov의 Windows 레지스트리 형식 사양
• yarp 및 libregf — 저수준 하이브 분석 및 복구에 대한 참고 자료입니다.
• Eric Zimmerman의 Registry Explorer / RECmd 문서
• Microsoft: 서비스 레지스트리 트리
• Microsoft: 작업 스케줄러 스키마
• MITRE ATT&CK: Scheduled Task/Job
• Microsoft Open Specifications: SAM Remote Protocol

Defender와 악성 코드 처리

• Microsoft: Defender에서 격리된 파일 복원하기
• dissect.target Defender 플러그인
• defender-dump — 별도의 연구/추출 구현입니다.
• FIRST 악성 코드 분석 기초 — 취급 및 분석 자료입니다.

Juntei 파서 프로젝트

• ys-amcache-parser
• ys-ntfs-parser ($MFT, $I30, USN Journal, $LogFile, $Boot, $Secure:$SDS)
• ys-prefetch-parser
• ys-srum-parser
• ys-lnk-parser
• ys-jump-lists-parser
• ys-shimcache-parser
• ys-defender-history-parser
• ys-registry-parser

외부 자료는 변경될 수 있습니다

주장 내용은 해당 Windows 버전과 수집한 데이터를 기준으로 검증하십시오. 유용한 문서라도 보편적인 규칙이 아니라 특정 운영 체제 세대, 파서 버전 또는 실험을 설명하는 것일 수 있습니다.