DFIR Artifact Museum
설명
DFIR 아티팩트 박물관(DFIR Artifact Museum)은 커뮤니티 주도로 운영되는 DFIR 관련 아티팩트 아카이브입니다. 다양한 운영 체제의 아티팩트 사례를 한곳에 모아 제공하기 위해 만들어졌습니다.
목적
개별 연구자들이 데이터 생성에 중복된 노력을 들이지 않아도 샘플 아티팩트에 더 쉽게 접근할 수 있도록 하는 것입니다. 이러한 데이터는 솔직히 한 번만 생성한 뒤 커뮤니티와 공유되어야 하며, 그래야 아티팩트 생성보다 분석에 더 많은 시간과 에너지를 쏟을 수 있습니다.
이점
다양한 운영 체제의 아티팩트가 한곳에 모여 더 많은 사람에게 공개됨으로써, Linux를 사용해 본 적이 없는 사람도 Linux 아티팩트가 어떤 모습인지 더 잘 알게 될 수 있기를 바랍니다. Linux만 사용하고 Windows를 사용하지 않는 사람에게도 마찬가지입니다.
또한, 아티팩트에 대한 노출이 늘어나면 도구 제작을 즐기는 사람들이 파서를 만들어 커뮤니티와 공유할 수 있는 샘플 데이터를 확보할 수 있게 되기를 바랍니다. 샘플 데이터로 사용할 아티팩트를 바로 구할 수 있다면, 파싱 도구에 대한 아이디어를 떠올리는 것에서부터 실제로 만들어 공유하기까지의 큰 번거로움 하나가 사라집니다.
DFIRArtifactMuseum 로드맵
DFIRArtifactMuseum 저장소의 향후 계획이 궁금하신가요? 할 일 목록이 있는 프로젝트 보드를 확인해 보세요!
DFIRArtifactMuseum에 기여하기
DFIRArtifactMuseum에 기여하는 방법에 대한 안내가 필요하시면 CONTRIBUTING.md를 확인해 주세요.
관심 가질 만한 다른 프로젝트
- EVTX-ETW-Resources - 이 저장소에는 Windows 8, 10, 11 및 Windows Server 2016, 2019, 2022의 거의 모든 주요 버전에 대해 모든 이벤트 공급자(Event Provider)의 모든 이벤트 ID, 이벤트 메시지 등이 포함된 XML 및 CSV 파일이 들어 있습니다. Windows의 대부분의 이벤트 공급자가 비활성화되어 있다는 사실을 알고 계셨나요? 이제 Windows와 함께 제공되는 모든 공급자를 확인할 수 있습니다. 또한 Windows에 기본 내장된 공급자의 이벤트 ID가 무엇을 의미하는지 궁금해할 필요도 없어집니다. 저장소를 검색하기만 하면 답을 찾을 수 있습니다! ETWProvidersManifests에는 WEPExplorer로 생성된 원본 XML이 있으며, ETWEventsList에는 해당 XML에서 생성된 CSV가 있습니다. Windows 버전별로 하나의 CSV에 모든 이벤트 공급자와 관련 이벤트 ID가 열거되어 있습니다.
- VanillaWindowsRegistryHives - 이 저장소에는 Windows 8, 10, 11 및 Windows Server 2016, 2019, 2022의 거의 모든 주요 버전에 대해 클린 설치 후의 원본 레지스트리 하이브(Registry hive)가 담긴 zip 파일과 이러한 레지스트리 하이브(최상위 ROOT 키부터)의 JSON 덤프가 들어 있습니다. 사용자 활동이 시작되기 전에 레지스트리에서 무엇이 정상인지 확인할 수 있는 훌륭한 방법입니다.
- VanillaWindowsReference - 이 저장소에는 Windows 8, 10, 11 및 Windows Server 2016, 2019, 2022의 거의 모든 주요 버전의 클린 설치에 포함된 모든 파일의 디렉터리 목록으로 구성된 CSV 파일이 들어 있습니다. 여기에는 모든 파일의 파일명, 상위 폴더, 해시 값, 파일 크기 등이 포함됩니다. Windows 시스템에서 파일이 어디에 있어야 하는지 확인할 수 있는 완벽한 방법입니다. 또한 이 데이터셋을 이용해 알려진 양호한 파일(known good files)의 오픈소스 해시 데이터베이스를 만들 수도 있습니다.
- AboutDFIR - Tool Testing - AboutDFIR에는 다양한 포렌식 이미지로 연결되는 링크가 있는 도구 테스트(Tool Testing) 페이지가 있습니다. 연구를 위해 만져보거나 자신의 조사 결과를 검증하는 데 사용해 보세요!
- ArtifactParsers - 이 저장소에 있는 아티팩트를 파싱할 방법을 찾고 계신가요? 더 이상 찾을 필요가 없습니다! 다양한 아티팩트용 파서의 종합 목록(완전하지 않을 가능성이 높지만)으로, CLI, GUI 또는 둘 다인지에 따라 구분되어 있습니다.
감사의 말
멋진 로고를 만들어 주신 Kevin Pagano 님께 특별히 감사드립니다!
라이선스/출처 표기
Digital Corpora의 연구 논문(Bringing science to digital forensics with standardized forensic corpora)을 참조하세요.
andrewrathbun/dfirartifactmuseum
