ဆောင်းပါးနှင့် ကိုးကားချက်များ

ဤစာမျက်နှာသည် အထောက်အထား လမ်းညွှန်များထက် ကျော်လွန်၍ လေ့လာလိုသော စာဖတ်သူများအတွက် အရည်အသွေးမြင့် စတင်ရာနေရာများကို စုစည်းထားသည်။ အထောက်အထားတစ်ခုစီ၏ နောက်ထပ် အသေးစိတ်များ အပိုင်းများတွင် အဆင့်နိမ့် အသေးစိတ်ဆိုင်ရာ ပစ်မှတ်ထားသည့် link များ ပါဝင်သည်။

စတင်လေ့လာသူများအတွက် DFIR မိတ်ဆက်

• SANS Windows Forensic Analysis poster — အသုံးများသော Windows အထောက်အထားများနှင့် တည်နေရာများ၏ ရုပ်ပုံမြေပုံ။
• SANS Hunt Evil poster — လက်တွေ့ hunting pivot များနှင့် Windows စုံစမ်းစစ်ဆေးမှု သတိပေးချက်များ။
• DFIR Artifact Museum — လေ့လာရန်နှင့် parser မှန်ကန်မှု စစ်ဆေးရန်အတွက် အများသုံး အထောက်အထား နမူနာများ။
• Velociraptor artifact ကိုးကားချက် — Windows အထောက်အထား အများအပြားအတွက် စုဆောင်းမှုအခြေပြု ဖော်ပြချက်များနှင့် VQL implementation များ။
• Plaso စာရွက်စာတမ်း — အထောက်အထားများ ချိတ်ဆက်ခွဲခြမ်းစိတ်ဖြာမှုအတွက် timeline သဘောတရားများနှင့် parser များ။

ဖိုင်စနစ် အထောက်အထားများ

• Microsoft: Master File Table
• Microsoft Open Specifications: NTFS
• Microsoft: Change Journals
• Microsoft: USN_RECORD_V2
• Microsoft: Security descriptor များ နှင့် SDDL
• Microsoft Open Specifications: MS-DTYP — security descriptor များ၊ ACE များနှင့် conditional expression များ။
• libfsntfs ပုံစံ စာရွက်စာတမ်း
• Omer Ben-Amram ၏ mft parser
• dfir_ntfs — INDX record နှင့် index-slack carving ပါဝင်သော NTFS parser။
• INDXRipper — ဖိုင်အမည်များအတွက် $I30 slack ကို carve လုပ်သည်။
• LogFileParser — အသေးစိတ် NTFS transaction-log သုတေသနနှင့် ခွဲခြမ်းစိတ်ဖြာမှု။
• ntfs-linker — $LogFile၊ $MFT နှင့် USN မှတ်တမ်းကို ချိတ်ဆက်ပေးသည်။

လုပ်ဆောင်မှုနှင့် စာရင်းကောက် အထောက်အထားများ

• Eric Zimmerman ၏ AmcacheParser
• Security Ronin amcache-forensic
• libyal libscca — Prefetch ပုံစံ/library လုပ်ငန်း။
• Eric Zimmerman ၏ PECmd
• Mandiant: Forensic စုံစမ်းစစ်ဆေးမှုများတွင် Application Compatibility Cache ကို အသုံးချခြင်း
• Eric Zimmerman ၏ AppCompatCacheParser

အသုံးပြုသူ လှုပ်ရှားမှု အထောက်အထားများ

• Microsoft Open Specifications: Shell Link (MS-SHLLINK)
• Microsoft Open Specifications: Compound File Binary (MS-CFB)
• Eric Zimmerman ၏ LECmd
• Eric Zimmerman ၏ JLECmd
• LnkParse3
• Eric Zimmerman ၏ SrumECmd
• Microsoft: Extensible Storage Engine

Registry နှင့် အမြဲတမ်းဝင်ရောက်နိုင်မှု

• Microsoft: Registry value type များ
• Maxim Suhanov ၏ Windows registry ပုံစံ သတ်မှတ်ချက်
• yarp နှင့် libregf — အဆင့်နိမ့် hive ခွဲခြမ်းစိတ်ဖြာမှုနှင့် ပြန်လည်ရယူမှု ကိုးကားချက်များ။
• Eric Zimmerman ၏ Registry Explorer / RECmd စာရွက်စာတမ်း
• Microsoft: Services registry tree
• Microsoft: Task Scheduler schema
• MITRE ATT&CK: Scheduled Task/Job
• Microsoft Open Specifications: SAM Remote Protocol

Defender နှင့် malware ကိုင်တွယ်ခြင်း

• Microsoft: Defender တွင် quarantine လုပ်ထားသော ဖိုင်များကို ပြန်လည်ရယူခြင်း
• dissect.target Defender plugin
• defender-dump — သီးခြား သုတေသန/ထုတ်ယူမှု implementation တစ်ခု။
• FIRST Malware Analysis Fundamentals — ကိုင်တွယ်မှုနှင့် ခွဲခြမ်းစိတ်ဖြာမှု အရင်းအမြစ်များ။

Juntei parser project များ

• ys-amcache-parser
• ys-ntfs-parser ($MFT, $I30, USN Journal, $LogFile, $Boot, $Secure:$SDS)
• ys-prefetch-parser
• ys-srum-parser
• ys-lnk-parser
• ys-jump-lists-parser
• ys-shimcache-parser
• ys-defender-history-parser
• ys-registry-parser

ပြင်ပ အကြောင်းအရာများ ပြောင်းလဲတတ်သည်

ဖော်ပြချက်များကို သက်ရောက်ခံရသော Windows ဗားရှင်းနှင့် သင်စုဆောင်းထားသော ဒေတာတို့နှင့် တိုက်ဆိုင်စစ်ဆေးပါ။ အသုံးဝင်သော ဆောင်းပါးတစ်ခုသည် စကြာဝဠာ စည်းမျဉ်းတစ်ခုထက် တိကျသော operating-system မျိုးဆက်၊ parser ဗားရှင်း သို့မဟုတ် စမ်းသပ်မှုတစ်ခုကို ဖော်ပြထားခြင်း ဖြစ်နိုင်သည်။