Forense Digital e Artefatos de Resposta a Incidentes

Quando Usar

• Investigando um incidente suspeito com rigor forense.
• Construindo linhas do tempo defensáveis a partir de artefatos de disco/memória/rede.

Cenários de Uso

• Análise de dump de memória (Volatility 2/3)
• Linha do tempo de disco / E01 / arquivos baixados
• Rastreamento de PCAP e restauração de protocolo (pode ser combinado com protocol-reverse/)
• Artefatos de host: Prefetch, Shimcache, Log de Eventos, Histórico do Navegador
• Extração de IOC de resposta a incidentes (combinado com malware-analysis/ / threat-hunting/)

Fluxo de Trabalho

1. Preservação

□ 计算 SHA256；记录时区与采集命令
□ 工作在副本上；原始只读
□ chain of custody 备注写入 timeline

2. Memória

vol -f mem.dmp windows.info
vol -f mem.dmp windows.pslist
vol -f mem.dmp windows.netscan
vol -f mem.dmp windows.cmdline

3. Artefatos de Host

□ 事件日志：Security / PowerShell / Sysmon
□ 持久化：Run 键、服务、计划任务、WMI
□ 执行痕迹：Amcache、Prefetch、BAM

4. Rede

□ tshark 统计会话与 DNS
□ 导出可疑流 → protocol-reverse 或 malware C2 分析

Cadeia de Ferramentas

Referências

• references/forensics-triage.md
• ../malware-analysis/ ../threat-hunting/ ../protocol-reverse/

Contexto de Roteamento

Upstream: MASTER R25
Downstream: Investigação Profunda de Amostras Maliciosas → análise de malware; Regras → caça a ameaças

Autoverificação de Conclusão da Tarefa

• A política de hash e cópia foi preservada?
• A linha do tempo é verificável?
• Os IOCs foram anonimizados e classificados?
• Checklist?

Limitações

• Requisitos de cadeia de custódia se aplicam; trabalhe em cópias verificadas, nunca nos originais.
• Artefatos criptografados ou anti-forense podem ser irrecuperáveis.

Adaptado de zhaoxuya520/reverse-skill (MIT).