DFIRArtifactMuseum

DFIR Artifact Museum

説明

DFIR Artifact Museum は、コミュニティ主導で DFIR 関連のアーティファクトを収集したアーカイブです。さまざまなオペレーティングシステムのアーティファクトのサンプルを一元管理する場所として作成されました。

目的

サンプルアーティファクトへのアクセスを向上させることです。本来は一度生成すればコミュニティと共有できるデータを、個々の研究者が重複して生成する手間を省き、アーティファクト生成ではなく解析により多くの時間と労力を費やせるようにします。

利点

さまざまなオペレーティングシステムのアーティファクトが一箇所に集約され、より多くの人が触れることで、Linux を使ったことがない人でも Linux のアーティファクトがどのようなものかをより深く理解できるようになることを期待しています。Linux しか使わず Windows を使わない人にとっても同様です。

さらに、アーティファクトに触れる機会が増えることで、ツールを作るのが好きな人々が、パーサーを作成してコミュニティと共有するためのサンプルデータを手に入れられるようになることを期待しています。解析ツールを思いついてから、実際に作成して共有するまでの大きな障害となるサンプルデータを、アーティファクトとしてすぐに入手できることは大きな助けになります。

DFIRArtifactMuseum ロードマップ

DFIRArtifactMuseum リポジトリの今後の予定を見てみたいですか? やることリストが掲載されているプロジェクトボードをチェックしてください!

DFIRArtifactMuseum への貢献

DFIRArtifactMuseum への貢献方法についてのガイダンスが必要な場合は、CONTRIBUTING.md を確認してください。

その他の注目プロジェクト

• EVTX-ETW-Resources - このリポジトリには、Windows 8、10、11 のほぼすべてのメジャーバージョンと Windows Server 2016、2019、2022 の各イベントプロバイダーのすべてのイベント ID、イベントメッセージなどを含む XML および CSV ファイルが含まれています。Windows のほとんどのイベントプロバイダーが無効になっていることをご存知でしたか? このリポジトリを使えば、Windows に同梱されているすべてのプロバイダーを確認できます。さらに、Windows ネイティブのプロバイダーのイベント ID が何を意味するのかを調べるために頭を悩ませる必要もなくなります。リポジトリを検索するだけで答えが見つかります! ETWProvidersManifests には WEPExplorer から生成された生の XML が含まれ、ETWEventsList にはそれらの XML から生成された CSV が含まれています。Windows のバージョンごとに 1 つの CSV に、すべてのイベントプロバイダーと関連するイベント ID が列挙されています。
• VanillaWindowsRegistryHives - このリポジトリには、Windows 8、10、11 のほぼすべてのメジャーバージョンと Windows Server 2016、2019、2022 について、クリーンインストール後の生のレジストリハイブを含む zip ファイルと、これらのレジストリハイブの(最上位の ROOT キーからの) JSON ダンプが含まれています。ユーザーアクティビティが始まる前のレジストリ内の通常状態を確認するのに最適な方法です。
• VanillaWindowsReference - このリポジトリには、Windows 8、10、11 のほぼすべてのメジャーバージョンと Windows Server 2016、2019、2022 のクリーンインストールに含まれるすべてのファイルのディレクトリ一覧で構成される CSV ファイルが含まれています。ファイル名、親フォルダー、ハッシュ値、ファイルサイズなど、すべてのファイルの情報が含まれています。Windows システム上のファイルの本来あるべき場所を確認するのに最適な方法です。また、このデータセットから既知の正当なファイルのオープンソースハッシュデータベースを技術的に生成することも可能です。
• AboutDFIR - Tool Testing - AboutDFIR には Tool Testing ページがあり、他の多くのフォレンジックイメージへのリンクが含まれています。研究用に試したり、調査結果を検証するために使用してください!
• ArtifactParsers - このリポジトリにあるアーティファクトを解析する方法をお探しですか? もう探す必要はありません! これは、さまざまなアーティファクト用のパーサーを、CLI、GUI、またはその両方の別に分類した包括的な(おそらく網羅的になることはないでしょう)リストです。

謝辞

Kevin Pagano 氏には素晴らしいロゴを提供いただき、特別に感謝いたします!

ライセンス/ソースの帰属

• Android 7-10 イメージ - Digital Corpora (Josh Hickman 氏からの明示的な許可を得ており、パブリックドメインです)
• Android 11-12 - Josh Hickman 氏のブログ (明示的な許可を得ています)
• Belkasoft CTF アーティファクト - Belkasoft CTF - Insider Threat (明示的な許可を得ています)
• Eric Zimmerman 氏のアーティファクト - Eric Zimmerman (明示的な許可を得ています)
  • AppCompatCacheParser
  • JumpList
  • Lnk
  • MFT
  • OleCf
  • Prefetch
  • RBCmd
  • RecentFileCacheParser
  • Registry
  • SDB
• James Smith 氏 - The Case of the Stolen Szechuan Sauce (明示的な許可を得ています)
• Maxim Suhanov 氏 - 氏の GitHub リポジトリからのさまざまなサンプル (明示的な許可を得ています)

詳細については、Digital Corpora の研究論文『Bringing science to digital forensics with standardized forensic corpora』を参照してください。