DFIR Artifact Museum
Описание
DFIR Artifact Museum — это создаваемый сообществом архив артефактов, связанных с DFIR. Он был создан для того, чтобы предоставить централизованное место для образцов артефактов из различных операционных систем.
Цель
Повысить доступность образцов артефактов, чтобы отдельным исследователям не приходилось дублировать усилия по генерации данных, которые, честно говоря, должны создаваться один раз и затем передаваться сообществу, чтобы больше времени и энергии можно было тратить на анализ, а не на генерацию артефактов.
Преимущества
Хочется надеяться, что благодаря более широкому знакомству с артефактами из различных операционных систем, сосредоточенными в одном месте, тот, кто никогда не пользовался Linux, сможет лучше понять, как выглядят артефакты Linux. То же самое касается и тех, кто использует только Linux и не работает с Windows.
Кроме того, при более широком знакомстве с артефактами те, кому нравится создавать инструменты, надеемся, получат образцы данных, на основе которых смогут создать парсер и поделиться им с сообществом. Наличие готового артефакта в качестве образца данных устраняет одно крупное препятствие на пути от идеи инструмента для разбора до его реального создания и публикации.
Дорожная карта DFIRArtifactMuseum
Хотите узнать, что ждёт репозиторий DFIRArtifactMuseum в будущем? Загляните в проекты, где можно найти списки задач!
Участие в DFIRArtifactMuseum
Если вам нужны рекомендации о том, как вы можете внести свой вклад в DFIRArtifactMuseum, пожалуйста, ознакомьтесь с CONTRIBUTING.md.
Другие интересные проекты
- EVTX-ETW-Resources — в этом репозитории содержатся XML- и CSV-файлы со всеми идентификаторами событий, сообщениями событий и т. д. для каждого поставщика событий практически для каждой основной версии Windows 8, 10 и 11, а также Windows Server 2016, 2019 и 2022. Знали ли вы, что большинство поставщиков событий в Windows отключены? Теперь у вас есть возможность увидеть каждого из них, который поставляется с Windows. Кроме того, вам больше никогда не придётся гадать, что означает идентификатор события для поставщика, встроенного в Windows. Просто найдите в репозитории — и ответ будет там! В ETWProvidersManifests будут исходные XML-файлы, созданные с помощью WEPExplorer, а в ETWEventsList — CSV-файлы, созданные на основе этих XML. Один CSV-файл для каждой версии Windows будет содержать перечисление всех поставщиков событий и связанных с ними идентификаторов событий.
- VanillaWindowsRegistryHives — этот репозиторий содержит ZIP-файлы с исходными кустами реестра после чистой установки и JSON-дампами этих кустов реестра (от самого верхнего корневого ключа) практически для каждой основной версии Windows 8, 10 и 11, а также Windows Server 2016, 2019 и 2022. Это отличный способ увидеть, что является нормой в реестре до начала пользовательской активности.
- VanillaWindowsReference — этот репозиторий содержит CSV-файл со списком каталогов всех файлов, которые появляются при чистой установке для почти каждой основной версии Windows 8, 10 и 11, а также Windows Server 2016, 2019 и 2022. Сюда входят имена файлов, родительские папки, хэш-значения, размеры файлов и т. д. для КАЖДОГО файла. Идеальный способ увидеть, где должны располагаться файлы в системе Windows. Кроме того, на основе этого набора данных технически можно создать открытую хэш-базу известных доверенных файлов.
- AboutDFIR - Tool Testing — у AboutDFIR есть страница Tool Testing, содержащая ссылки на множество других криминалистических образов. Используйте их для экспериментов в исследовательских целях или для проверки своих результатов!
- ArtifactParsers — ищете способ разобрать артефакты из этого репозитория? Дальше искать не нужно! Это обширный (вероятно, никогда не будет исчерпывающим) список парсеров для различных артефактов, разделённый по типу интерфейса: CLI, GUI или оба.
Благодарности
Особая благодарность Кевину Пагано за отличный логотип!
Лицензирование и указание источников
Пожалуйста, ознакомьтесь с исследовательской работой Digital Corpora на тему Bringing science to digital forensics with standardized forensic corpora
andrewrathbun/dfirartifactmuseum
