文章與參考資料

本頁收集了高品質的入門資源，供想要深入了解跡證指南以外內容的讀者參考。 各跡證頁面的進一步資訊章節則包含最具針對性的低階技術連結。

給初學者的 DFIR 入門導覽

• SANS Windows Forensic Analysis 海報——常見 Windows 跡證及其位置的視覺化地圖。
• SANS Hunt Evil 海報——實用的獵捕樞紐與 Windows 調查提示。
• DFIR Artifact Museum——供學習與剖析器驗證使用的公開跡證樣本。
• Velociraptor 跡證參考資料——以收集為導向的說明，以及許多 Windows 跡證的 VQL 實作。
• Plaso 說明文件——用於跨跡證分析的時間軸概念與剖析器。

檔案系統跡證

• Microsoft：Master File Table
• Microsoft Open Specifications：NTFS
• Microsoft：Change Journals
• Microsoft：USN_RECORD_V2
• Microsoft：安全性描述元與 SDDL
• Microsoft Open Specifications：MS-DTYP——安全性描述元、ACE 與條件運算式。
• libfsntfs 格式說明文件
• Omer Ben-Amram 的 mft 剖析器
• dfir_ntfs——具備 INDX 記錄與索引閒置空間（slack）還原能力的 NTFS 剖析器。
• INDXRipper——從 $I30 閒置空間還原檔案名稱。
• LogFileParser——詳盡的 NTFS 交易記錄研究與剖析。
• ntfs-linker——交叉關聯 $LogFile、$MFT 與 USN 歷程。

執行與清查跡證

• Eric Zimmerman 的 AmcacheParser
• Security Ronin amcache-forensic
• libyal libscca——Prefetch 格式／函式庫研究。
• Eric Zimmerman 的 PECmd
• Mandiant：Leveraging the Application Compatibility Cache in Forensic Investigations
• Eric Zimmerman 的 AppCompatCacheParser

使用者活動跡證

• Microsoft Open Specifications：Shell Link（MS-SHLLINK）
• Microsoft Open Specifications：Compound File Binary（MS-CFB）
• Eric Zimmerman 的 LECmd
• Eric Zimmerman 的 JLECmd
• LnkParse3
• Eric Zimmerman 的 SrumECmd
• Microsoft：Extensible Storage Engine

登錄與持續存取

• Microsoft：登錄值類型
• Maxim Suhanov 的 Windows 登錄格式規格
• yarp 與 libregf——低階登錄區剖析與復原的參考實作。
• Eric Zimmerman 的 Registry Explorer／RECmd 說明文件
• Microsoft：Services 登錄樹狀結構
• Microsoft：工作排程器結構描述
• MITRE ATT&CK：Scheduled Task/Job
• Microsoft Open Specifications：SAM Remote Protocol

Defender 與惡意程式處理

• Microsoft：在 Defender 中還原隔離的檔案
• dissect.target Defender 外掛程式
• defender-dump——另一套獨立的研究／擷取實作。
• FIRST Malware Analysis Fundamentals——惡意程式處理與分析資源。

Juntei 剖析器專案

• ys-amcache-parser
• ys-ntfs-parser（$MFT、$I30、USN Journal、$LogFile、$Boot、$Secure:$SDS）
• ys-prefetch-parser
• ys-srum-parser
• ys-lnk-parser
• ys-jump-lists-parser
• ys-shimcache-parser
• ys-defender-history-parser
• ys-registry-parser

外部資料會隨時間變動

請針對受影響的 Windows 版本與你所收集的資料驗證各項說法。一篇有用的文章可能只 描述特定的作業系統世代、剖析器版本或實驗，而非普遍適用的規則。