👩‍💻 Уроки форензики. Большой гид по артефактам Windows

• Объемная шпаргалка о методах поиска информации в операционной системе Windows — с целью выявления различных инцидентов. В этой статье описан последовательный процесс сбора артефактов на заведомо взломанном ПК. Содержание следующее:

• Typical Forensic investigation flow.

• Tools:
- Acquire artifact’s Tools;
- Forensic analysis tools;
- OS / Linux Distros.

• KAPE cheatsheet:
- KAPE target extraction;
- Memory dump;
- Live response command and scanner;
- All in one artifact parsing;
- Event log / log scanning and parsing;
- Program Execution;
- File folder activity;
- NTFS and FileSystem parsing;
- System activity;
- Mounted image scanner.

• Analysis Findings:
- Live Forensics;
- Memory analysis;
- Disk analysis;
- Windows event logs analysis;
- Triage artifacts parsing and analysis;
- Other Artifacts.

• Lateral Movement Detection and Investigation:
- Credential harvesting;
- File sharing;
- Remote login;
- Remote Execution.

#Форензика

• Kroll Artifact Parser and Extractor (KAPE) — очень мощный инструмент для цифровой криминалистики, который позволяет быстро собирать и анализировать цифровые артефакты с устройств. Еще KAPE оптимизирует процессы сбора данных, что позволяет нам находить критически важные артефакты за считаные минуты. Тулза поддерживает гибкую настройку с помощью модулей для сбора (Targets) и ана­лиза (Modules), что делает его универсальным и удобным для расследования инцидентов, проверки на компрометацию и анализа подозрительной активности.

➡️ Скачать KAPE можно с официального сайта по запросу через форму обращения: https://www.kroll.com/en/services/cyber-risk/incident-response-litigation-support/kroll-artifact-parser-extractor-kape

• Если вы уже используете , то сохраните себе ссылку на полезные шпаргалки. Этот материал вам однозначно пригодится:

➡KAPE target extraction;
➡Memory dump;
➡Live response command and scanner;
➡All in one artifact parsing;
➡Event log / log scanning and parsing;
➡Program Execution;
➡File folder activity;
➡NTFS and FileSystem parsing;
➡System activity;
➡Mounted image scanner.

#Форензика #KAPE