Artigos e referências

Esta página reúne pontos de partida de alta qualidade para leitores que querem ir além dos guias de artefatos. As seções Mais detalhes de cada artefato contêm os links de baixo nível mais específicos.

Orientação inicial em DFIR

• Pôster SANS Windows Forensic Analysis — um mapa visual dos artefatos comuns do Windows e de seus locais.
• Pôster SANS Hunt Evil — pivôs práticos de caça a ameaças e lembretes para investigações no Windows.
• DFIR Artifact Museum — amostras públicas de artefatos para aprendizado e validação de analisadores.
• Referência de artefatos do Velociraptor — descrições orientadas à coleta e implementações em VQL para muitos artefatos do Windows.
• Documentação do Plaso — conceitos de linha do tempo e analisadores para análise entre artefatos.

Artefatos do sistema de arquivos

• Microsoft: Master File Table
• Microsoft Open Specifications: NTFS
• Microsoft: Change Journals
• Microsoft: USN_RECORD_V2
• Microsoft: descritores de segurança e SDDL
• Microsoft Open Specifications: MS-DTYP — descritores de segurança, ACEs e expressões condicionais.
• Documentação do formato libfsntfs
• Analisador mft de Omer Ben-Amram
• dfir_ntfs — analisador NTFS com recuperação (carving) de registros INDX e do slack de índices.
• INDXRipper — recupera nomes de arquivos do slack de $I30.
• LogFileParser — pesquisa detalhada e análise do log de transações NTFS.
• ntfs-linker — correlaciona o histórico de $LogFile, $MFT e USN.

Artefatos de execução e inventário

• AmcacheParser de Eric Zimmerman
• Security Ronin amcache-forensic
• libyal libscca — trabalho sobre o formato/biblioteca do Prefetch.
• PECmd de Eric Zimmerman
• Mandiant: Leveraging the Application Compatibility Cache in Forensic Investigations
• AppCompatCacheParser de Eric Zimmerman

Artefatos de atividade do usuário

• Microsoft Open Specifications: Shell Link (MS-SHLLINK)
• Microsoft Open Specifications: Compound File Binary (MS-CFB)
• LECmd de Eric Zimmerman
• JLECmd de Eric Zimmerman
• LnkParse3
• SrumECmd de Eric Zimmerman
• Microsoft: Extensible Storage Engine

Registro e persistência

• Microsoft: tipos de valores do Registro
• Especificação do formato do Registro do Windows de Maxim Suhanov
• yarp e libregf — referências de baixo nível para análise e recuperação de hives.
• Documentação do Registry Explorer / RECmd de Eric Zimmerman
• Microsoft: árvore do Registro de serviços
• Microsoft: esquema do Agendador de Tarefas
• MITRE ATT&CK: Scheduled Task/Job
• Microsoft Open Specifications: SAM Remote Protocol

Defender e tratamento de malware

• Microsoft: restaurar arquivos em quarentena no Defender
• Plugin Defender do dissect.target
• defender-dump — uma implementação separada de pesquisa/extração.
• FIRST Malware Analysis Fundamentals — recursos de tratamento e análise.

Projetos de analisadores do Juntei

• ys-amcache-parser
• ys-ntfs-parser ($MFT, $I30, USN Journal, $LogFile, $Boot, $Secure:$SDS)
• ys-prefetch-parser
• ys-srum-parser
• ys-lnk-parser
• ys-jump-lists-parser
• ys-shimcache-parser
• ys-defender-history-parser
• ys-registry-parser

Materiais externos mudam

Verifique as afirmações em relação à versão do Windows afetada e aos dados coletados. Um artigo útil pode descrever uma geração específica do sistema operacional, uma versão de analisador ou um experimento, e não uma regra universal.