Realizando Análise de Artefatos do Windows com as Ferramentas Eric Zimmerman

Visão Geral

A suíte EZ Tools de Eric Zimmerman é uma coleção de utilitários forenses de código aberto que se tornaram o padrão global para investigações forenses digitais em sistemas Windows. Originalmente desenvolvida por um ex-agente do FBI e atual instrutor do SANS, essas ferramentas analisam artefatos críticos do Windows, incluindo a Master File Table ($MFT), hives do registro, arquivos prefetch, logs de eventos, arquivos de atalho (LNK) e jump lists. A suíte se integra com o KAPE (Kroll Artifact Parser and Extractor) para coleta e processamento automatizados de artefatos, produzindo saída CSV estruturada que pode ser importada para o Timeline Explorer para análise visual. As EZ Tools são amplamente utilizadas por agências de segurança pública, respondedores a incidentes corporativos e consultores forenses em todo o mundo.

Quando Usar

• Ao conduzir avaliações de segurança que envolvem a realização de análise de artefatos do Windows com as ferramentas Eric Zimmerman
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados
• Ao realizar testes de segurança ou atividades de auditoria agendadas
• Ao validar controles de segurança por meio de testes práticos

Pré-requisitos

• Estação de trabalho de análise com Windows 10/11 ou Windows Server 2016+
• .NET 6 Runtime instalado (necessário para EZ Tools v2.x+)
• Privilégios administrativos na estação de trabalho de análise
• Imagem forense do disco ou coleta de triagem do sistema alvo
• Pelo menos 8 GB de RAM (16 GB recomendados para grandes conjuntos de dados)
• Familiaridade com estruturas do sistema de arquivos NTFS e o funcionamento interno do Windows

Componentes da Suíte de Ferramentas

KAPE (Kroll Artifact Parser and Extractor)

O KAPE é a ferramenta principal de orquestração que automatiza a coleta de artefatos (Targets) e o processamento (Modules). Ele usa arquivos de configuração (.tkape e .mkape) para definir quais artefatos coletar e quais EZ Tools executar contra eles.

Instalação e Configuração:

# Download KAPE from https://www.kroll.com/en/services/cyber-risk/incident-response-litigation-support/kroll-artifact-parser-extractor-kape
# Extract to C:\Tools\KAPE

# Update KAPE targets and modules
C:\Tools\KAPE\gkape.exe  # GUI version
C:\Tools\KAPE\kape.exe   # CLI version

# Sync latest EZ Tools binaries
C:\Tools\KAPE\Get-KAPEUpdate.ps1

Executando Coleta e Processamento com KAPE:

# Collect artifacts from E: drive (mounted forensic image) and process with EZ Tools
kape.exe --tsource E: --tdest C:\Cases\Case001\Collection --target KapeTriage --mdest C:\Cases\Case001\Processed --module !EZParser

# Collect specific artifact categories
kape.exe --tsource E: --tdest C:\Cases\Case001\Collection --target FileSystem,RegistryHives,EventLogs --mdest C:\Cases\Case001\Processed --module MFTECmd,RECmd,EvtxECmd

# Live system triage collection (run as administrator)
kape.exe --tsource C: --tdest D:\LiveTriage\Collection --target KapeTriage --mdest D:\LiveTriage\Processed --module !EZParser --vhdx LiveTriageImage

MFTECmd - Analisador de Master File Table

O MFTECmd analisa o $MFT, $J (USN Journal), $Boot, $SDS e $LogFile do NTFS em formato CSV legível por humanos.

# Parse the $MFT file
MFTECmd.exe -f "C:\Cases\Evidence\$MFT" --csv C:\Cases\Output --csvf MFT_output.csv

# Parse the USN Journal ($J)
MFTECmd.exe -f "C:\Cases\Evidence\$J" --csv C:\Cases\Output --csvf USNJournal_output.csv

# Parse $Boot for volume information
MFTECmd.exe -f "C:\Cases\Evidence\$Boot" --csv C:\Cases\Output --csvf Boot_output.csv

# Parse $SDS for security descriptors
MFTECmd.exe -f "C:\Cases\Evidence\$SDS" --csv C:\Cases\Output --csvf SDS_output.csv

Campos Principais na Saída do MFT:

PECmd - Analisador de Arquivos Prefetch

O PECmd analisa os arquivos Prefetch do Windows (.pf) para fornecer evidências da execução de programas, incluindo contagens de execução e timestamps.

# Analisa todos os arquivos prefetch de um diretório
PECmd.exe -d "C:\Cases\Evidence\Windows\Prefetch" --csv C:\Cases\Output --csvf Prefetch_output.csv


…