Статті та джерела

На цій сторінці зібрано якісні відправні точки для читачів, які хочуть вийти за межі посібників з артефактів. Розділи Додаткові відомості на сторінці кожного артефакту містять найбільш цільові посилання на низькорівневі матеріали.

Вступ до DFIR для початківців

• Плакат SANS Windows Forensic Analysis — наочна карта поширених артефактів Windows та їх розташувань.
• Плакат SANS Hunt Evil — практичні точки переходу для пошуку загроз і нагадування щодо розслідувань у Windows.
• DFIR Artifact Museum — загальнодоступні зразки артефактів для навчання та перевірки парсерів.
• Довідник артефактів Velociraptor — орієнтовані на збирання описи та реалізації VQL для багатьох артефактів Windows.
• Документація Plaso — концепції часових шкал і парсери для аналізу за кількома артефактами.

Артефакти файлової системи

• Microsoft: Master File Table
• Microsoft Open Specifications: NTFS
• Microsoft: журнали змін (Change Journals)
• Microsoft: USN_RECORD_V2
• Microsoft: дескриптори безпеки і SDDL
• Microsoft Open Specifications: MS-DTYP — дескриптори безпеки, ACE та умовні вирази.
• Документація формату libfsntfs
• Парсер mft від Omer Ben-Amram
• dfir_ntfs — парсер NTFS з вирізанням (carving) записів INDX і залишкового простору індексів.
• INDXRipper — вирізає імена файлів із залишкового простору $I30.
• LogFileParser — докладне дослідження та розбір журналу транзакцій NTFS.
• ntfs-linker — зіставляє історію $LogFile, $MFT і USN.

Артефакти виконання та інвентаризації

• AmcacheParser від Eric Zimmerman
• amcache-forensic від Security Ronin
• libyal libscca — дослідження формату Prefetch і бібліотека.
• PECmd від Eric Zimmerman
• Mandiant: Leveraging the Application Compatibility Cache in Forensic Investigations
• AppCompatCacheParser від Eric Zimmerman

Артефакти активності користувача

• Microsoft Open Specifications: Shell Link (MS-SHLLINK)
• Microsoft Open Specifications: Compound File Binary (MS-CFB)
• LECmd від Eric Zimmerman
• JLECmd від Eric Zimmerman
• LnkParse3
• SrumECmd від Eric Zimmerman
• Microsoft: Extensible Storage Engine

Реєстр і закріплення

• Microsoft: типи значень реєстру
• Специфікація формату реєстру Windows від Maxim Suhanov
• yarp і libregf — довідкові матеріали щодо низькорівневого розбору та відновлення кущів реєстру.
• Документація Registry Explorer / RECmd від Eric Zimmerman
• Microsoft: дерево реєстру служб
• Microsoft: схема Task Scheduler
• MITRE ATT&CK: Scheduled Task/Job
• Microsoft Open Specifications: SAM Remote Protocol

Defender і поводження зі шкідливим програмним забезпеченням

• Microsoft: відновлення файлів із карантину в Defender
• Плагін Defender для dissect.target
• defender-dump — окрема дослідницька реалізація для видобування.
• FIRST Malware Analysis Fundamentals — ресурси з поводження зі шкідливим ПЗ та його аналізу.

Проєкти парсерів Juntei

• ys-amcache-parser
• ys-ntfs-parser ($MFT, $I30, журнал USN, $LogFile, $Boot, $Secure:$SDS)
• ys-prefetch-parser
• ys-srum-parser
• ys-lnk-parser
• ys-jump-lists-parser
• ys-shimcache-parser
• ys-defender-history-parser
• ys-registry-parser

Зовнішні матеріали змінюються

Перевіряйте твердження з урахуванням відповідної версії Windows і зібраних вами даних. Корисна стаття може описувати конкретне покоління операційної системи, версію парсера чи експеримент, а не універсальне правило.