DFIR Artifact Museum
描述
DFIR Artifact Museum 是一个由社区驱动的 DFIR 相关痕迹（artifacts）档案库，旨在为来自各种操作系统的痕迹示例提供一个集中的存放位置。
目的
提高样本痕迹的可获取性，让个别研究人员无需重复劳动去生成数据——坦率地说，这些数据本应只生成一次，然后与社区共享，从而将更多时间和精力花在分析上，而不是痕迹生成上。
益处
希望随着来自各种操作系统的痕迹集中存放于同一处、获得更多曝光，从未使用过 Linux 的人也能更熟悉 Linux 痕迹的样子。同样，对于只用 Linux、不用 Windows 的人来说也是如此。
此外，随着痕迹获得更多曝光，希望喜欢开发工具的人能够拥有样本数据，从而创建解析器并与社区分享。当你想从解析工具的创意走向真正创建和分享时，手头有现成的痕迹作为样本数据，可以扫除一大障碍。
DFIRArtifactMuseum 路线图
想了解 DFIRArtifactMuseum 仓库未来的规划吗？请查看项目看板，待办事项清单就列在那里！
为 DFIRArtifactMuseum 做贡献
如果你想了解如何为 DFIRArtifactMuseum 做贡献，请查看 CONTRIBUTING.md。
其他相关项目
- EVTX-ETW-Resources - 该仓库包含 XML 和 CSV 文件，其中涵盖了几乎所有主要版本的 Windows 8、10、11 以及 Windows Server 2016、2019、2022 中每个事件提供程序（Event Provider）的每个事件 ID、事件消息等内容。你知道吗，Windows 中大多数事件提供程序默认是禁用的？现在你能看到随 Windows 一起发布的每一个提供程序了。此外，你再也不必猜测 Windows 原生提供程序的事件 ID 是什么意思了，只需搜索该仓库，答案就在那里！ETWProvidersManifests 中存放由 WEPExplorer 生成的原始 XML 文件，ETWEventsList 中存放由这些 XML 生成的 CSV 文件。每个 Windows 版本对应一个 CSV，其中枚举了所有事件提供程序及其关联的事件 ID。
- VanillaWindowsRegistryHives - 该仓库包含 zip 文件，内含几乎所有主要版本的 Windows 8、10、11 和 Windows Server 2016、2019、2022 在全新安装后的原始注册表配置单元（Registry hive），以及这些注册表配置单元的 JSON 转储（从最顶层的 ROOT 键开始）。这是了解用户活动介入前注册表内正常状况的绝佳方式。
- VanillaWindowsReference - 该仓库包含一个 CSV 文件，内容为对几乎所有主要版本的 Windows 8、10、11 和 Windows Server 2016、2019、2022 全新安装时所附带每个文件的目录清单。其中包含每个文件的文件名、父文件夹、哈希值、文件大小等。这是查看文件在 Windows 系统中应处位置的绝佳方式。此外，从技术上说，任何人都可以利用这份数据集生成一个已知良好文件的开源哈希数据库。
- AboutDFIR - 工具测试 - AboutDFIR 有一个工具测试（Tool Testing）页面，其中包含许多其他取证镜像的链接。你可以用它们进行研究探索，或验证你的发现！
- ArtifactParsers - 正在寻找解析本仓库中痕迹的方法吗？不用再找了！这是一个涵盖各种痕迹解析器的综合列表（可能永远不会穷尽），按 CLI、GUI 或两者兼备进行分类。
致谢
特别感谢 Kevin Pagano 提供的精美徽标！
许可与来源归属
请参阅 Digital Corpora 关于以标准化取证语料库将科学引入数字取证的研究论文。
