Makaleler ve Kaynaklar

Bu sayfa, artefakt kılavuzlarının ötesine geçmek isteyen okuyucular için yüksek kaliteli başlangıç noktalarını bir araya getirir. Her artefakta özel Daha fazla ayrıntı bölümleri, en hedefe yönelik alt düzey bağlantıları içerir.

Yeni başlayanlar için DFIR yönlendirmesi

• SANS Windows Forensic Analysis posteri — yaygın Windows artefaktlarının ve konumlarının görsel bir haritası.
• SANS Hunt Evil posteri — pratik av (hunting) pivot noktaları ve Windows incelemesi için hatırlatmalar.
• DFIR Artifact Museum — öğrenme ve ayrıştırıcı doğrulaması için herkese açık artefakt örnekleri.
• Velociraptor artefakt başvurusu — birçok Windows artefaktı için toplama odaklı açıklamalar ve VQL uygulamaları.
• Plaso belgeleri — artefaktlar arası analiz için zaman çizelgesi kavramları ve ayrıştırıcılar.

Dosya sistemi artefaktları

• Microsoft: Master File Table
• Microsoft Open Specifications: NTFS
• Microsoft: Change Journals
• Microsoft: USN_RECORD_V2
• Microsoft: Security descriptors and SDDL
• Microsoft Open Specifications: MS-DTYP — güvenlik tanımlayıcıları, ACE'ler ve koşullu ifadeler.
• libfsntfs biçim belgeleri
• Omer Ben-Amram'ın mft ayrıştırıcısı
• dfir_ntfs — INDX kaydı ve dizin slack alanı kazıma (carving) özellikli NTFS ayrıştırıcısı.
• INDXRipper — dosya adları için $I30 slack alanını kazır.
• LogFileParser — ayrıntılı NTFS işlem günlüğü araştırması ve ayrıştırması.
• ntfs-linker — $LogFile, $MFT ve USN geçmişini ilişkilendirir.

Yürütme ve envanter artefaktları

• Eric Zimmerman'ın AmcacheParser aracı
• Security Ronin amcache-forensic
• libyal libscca — Prefetch biçimi/kitaplığı çalışması.
• Eric Zimmerman'ın PECmd aracı
• Mandiant: Leveraging the Application Compatibility Cache in Forensic Investigations
• Eric Zimmerman'ın AppCompatCacheParser aracı

Kullanıcı etkinliği artefaktları

• Microsoft Open Specifications: Shell Link (MS-SHLLINK)
• Microsoft Open Specifications: Compound File Binary (MS-CFB)
• Eric Zimmerman'ın LECmd aracı
• Eric Zimmerman'ın JLECmd aracı
• LnkParse3
• Eric Zimmerman'ın SrumECmd aracı
• Microsoft: Extensible Storage Engine

Kayıt defteri ve kalıcılık

• Microsoft: Registry value types
• Maxim Suhanov'un Windows kayıt defteri biçim belirtimi
• yarp and libregf — alt düzey kovan ayrıştırma ve kurtarma başvuruları.
• Eric Zimmerman'ın Registry Explorer / RECmd belgeleri
• Microsoft: Services registry tree
• Microsoft: Task Scheduler schema
• MITRE ATT&CK: Scheduled Task/Job
• Microsoft Open Specifications: SAM Remote Protocol

Defender ve kötü amaçlı yazılımların ele alınması

• Microsoft: Restore quarantined files in Defender
• dissect.target Defender plugin
• defender-dump — ayrı bir araştırma/çıkarma uygulaması.
• FIRST Malware Analysis Fundamentals — ele alma ve analiz kaynakları.

Juntei ayrıştırıcı projeleri

• ys-amcache-parser
• ys-ntfs-parser ($MFT, $I30, USN Journal, $LogFile, $Boot, $Secure:$SDS)
• ys-prefetch-parser
• ys-srum-parser
• ys-lnk-parser
• ys-jump-lists-parser
• ys-shimcache-parser
• ys-defender-history-parser
• ys-registry-parser

Harici kaynaklar değişir

İddiaları etkilenen Windows sürümüne ve topladığınız verilere göre doğrulayın. Faydalı bir makale evrensel bir kural yerine belirli bir işletim sistemi kuşağını, ayrıştırıcı sürümünü veya deneyi açıklıyor olabilir.