บทความและแหล่งอ้างอิง¶
หน้านี้รวบรวมจุดเริ่มต้นคุณภาพสูงสำหรับผู้อ่านที่ต้องการศึกษาเพิ่มเติมนอกเหนือจากคู่มือ อาร์ติแฟกต์ ส่วน รายละเอียดเพิ่มเติม ของแต่ละอาร์ติแฟกต์มีลิงก์ระดับลึกที่ตรงประเด็นที่สุด
แนะนำ DFIR สำหรับผู้เริ่มต้น¶
- โปสเตอร์ SANS Windows Forensic Analysis — แผนภาพแสดงอาร์ติแฟกต์และตำแหน่งที่พบบ่อยของ Windows
- โปสเตอร์ SANS Hunt Evil — จุดเชื่อมโยงสำหรับการล่าภัยคุกคามในทางปฏิบัติและข้อเตือนใจในการตรวจสอบ Windows
- DFIR Artifact Museum — ตัวอย่างอาร์ติแฟกต์สาธารณะสำหรับการเรียนรู้และการตรวจสอบความถูกต้องของพาร์เซอร์
- ข้อมูลอ้างอิงอาร์ติแฟกต์ของ Velociraptor — คำอธิบายที่เน้นการเก็บรวบรวมและการใช้งาน VQL สำหรับอาร์ติแฟกต์ Windows จำนวนมาก
- เอกสาร Plaso — แนวคิดเรื่องไทม์ไลน์และพาร์เซอร์สำหรับการวิเคราะห์ข้ามอาร์ติแฟกต์
อาร์ติแฟกต์ระบบไฟล์¶
- Microsoft: Master File Table
- Microsoft Open Specifications: NTFS
- Microsoft: Change Journals
- Microsoft: USN_RECORD_V2
- Microsoft: Security descriptors และ SDDL
- Microsoft Open Specifications: MS-DTYP — security descriptor, ACE และ conditional expression
- เอกสารรูปแบบไฟล์ของ libfsntfs
- พาร์เซอร์ mft โดย Omer Ben-Amram
- dfir_ntfs — พาร์เซอร์ NTFS ที่รองรับเรคคอร์ด INDX และการกู้คืน (carving) จาก index slack
- INDXRipper — กู้คืนชื่อไฟล์จาก slack ของ
$I30 - LogFileParser — งานวิจัยและการวิเคราะห์บันทึกธุรกรรม NTFS อย่างละเอียด
- ntfs-linker — เชื่อมโยงประวัติจาก
$LogFile,$MFTและ USN
อาร์ติแฟกต์การเรียกใช้งานและรายการซอฟต์แวร์¶
- AmcacheParser โดย Eric Zimmerman
- Security Ronin amcache-forensic
- libyal libscca — งานด้านรูปแบบไฟล์/ไลบรารีของ Prefetch
- PECmd โดย Eric Zimmerman
- Mandiant: Leveraging the Application Compatibility Cache in Forensic Investigations
- AppCompatCacheParser โดย Eric Zimmerman
อาร์ติแฟกต์กิจกรรมของผู้ใช้¶
- Microsoft Open Specifications: Shell Link (MS-SHLLINK)
- Microsoft Open Specifications: Compound File Binary (MS-CFB)
- LECmd โดย Eric Zimmerman
- JLECmd โดย Eric Zimmerman
- LnkParse3
- SrumECmd โดย Eric Zimmerman
- Microsoft: Extensible Storage Engine
รีจิสทรีและการคงอยู่¶
- Microsoft: ชนิดของค่ารีจิสทรี
- ข้อกำหนดรูปแบบรีจิสทรีของ Windows โดย Maxim Suhanov
- yarp และ libregf — แหล่งอ้างอิงระดับล่างสำหรับการวิเคราะห์และกู้คืนไฮฟ์
- เอกสาร Registry Explorer / RECmd โดย Eric Zimmerman
- Microsoft: โครงสร้างรีจิสทรีของบริการ
- Microsoft: สคีมาของ Task Scheduler
- MITRE ATT&CK: Scheduled Task/Job
- Microsoft Open Specifications: SAM Remote Protocol
Defender และการจัดการมัลแวร์¶
- Microsoft: กู้คืนไฟล์ที่ถูกกักกันใน Defender
- ปลั๊กอิน Defender ของ dissect.target
- defender-dump — การใช้งานสำหรับการวิจัย/การแยกไฟล์ที่พัฒนาแยกต่างหาก
- FIRST Malware Analysis Fundamentals — แหล่งข้อมูลด้านการจัดการและการวิเคราะห์
โปรเจกต์พาร์เซอร์ของ Juntei¶
- ys-amcache-parser
- ys-ntfs-parser (
$MFT,$I30, USN Journal,$LogFile,$Boot,$Secure:$SDS) - ys-prefetch-parser
- ys-srum-parser
- ys-lnk-parser
- ys-jump-lists-parser
- ys-shimcache-parser
- ys-defender-history-parser
- ys-registry-parser
เนื้อหาภายนอกมีการเปลี่ยนแปลง
ให้ตรวจสอบข้อกล่าวอ้างเทียบกับเวอร์ชัน Windows ที่เกี่ยวข้องและข้อมูลที่คุณเก็บรวบรวมมา บทความที่มีประโยชน์อาจ อธิบายรุ่นของระบบปฏิบัติการ เวอร์ชันพาร์เซอร์ หรือการทดลองเฉพาะ มากกว่าจะเป็นกฎที่ใช้ได้ทั่วไป