Conducts disk forensics investigations using forensic imaging, filesystem analysis, artifact recovery, and timeline reconstruction with FTK Imager, Autopsy, and The Sleuth Kit for incident response cases.
npx claudepluginhub killvxk/cybersecurity-skills-zhThis skill uses the workspace's default tool permissions.
- 安全事件需要对系统持久存储进行取证分析
Conducts disk forensics investigations with forensic imaging, file recovery, artifact analysis, and timeline reconstruction using FTK Imager, Autopsy, and Sleuth Kit for incident response.
Guides disk forensics investigations using FTK Imager for imaging, Autopsy/Sleuth Kit for file recovery, artifact analysis, and timeline reconstruction in incident response cases.
Analyzes disk images using Autopsy for digital forensics: recovers files, examines metadata and artifacts, performs keyword searches, and builds investigation timelines.
Share bugs, ideas, or general feedback.
不适用场景：易失性证据（运行中的进程、网络连接）；此类情况应改用 Volatility 进行内存取证。
触碰任何存储介质前，建立证据链监管：
证据链记录：
━━━━━━━━━━━━━━━━━━━━━━━
案例 ID： INC-2025-1547
证据 ID： EVD-001
描述： 三星 870 EVO 500GB SSD
序列号： S5XXNJ0R912345
来源主机： WKSTN-042
采集人： [分析员姓名]
日期/时间： 2025-11-15T16:30:00Z
写保护设备： Tableau T35u（序列号：T35U-12345）
对证据磁盘进行逐位复制：
使用 FTK Imager（Windows）：
使用 dcfldd（Linux）：
# 创建带哈希验证的原始镜像
dcfldd if=/dev/sdb of=/evidence/WKSTN-042.dd \
hash=sha256 hashlog=/evidence/WKSTN-042.sha256 \
bs=4096 conv=noerror,sync
# 验证镜像完整性
sha256sum /evidence/WKSTN-042.dd
镜像摘要：
源磁盘： /dev/sdb（三星 870 EVO 500GB）
镜像文件： WKSTN-042.E01
镜像格式： E01（Expert Witness）
源哈希： SHA-256: a1b2c3d4e5f6...
镜像哈希： SHA-256: a1b2c3d4e5f6... （匹配）
读取扇区： 976,773,168
错误： 0
持续时间： 47 分钟
在 Autopsy 或 FTK 中打开取证镜像并检查文件系统：
需要检查的关键 Windows 产物：
用户活动：
- NTUSER.DAT（每用户注册表蜂巢）
- UsrClass.dat（Shellbags、文件访问历史）
- 最近文件：%AppData%\Microsoft\Windows\Recent\
- 跳转列表：%AppData%\Microsoft\Windows\Recent\AutomaticDestinations\
程序执行：
- Prefetch：C:\Windows\Prefetch\*.pf
- Amcache：C:\Windows\appcompat\Programs\Amcache.hve
- SRUM：C:\Windows\System32\SRU\SRUDB.dat
- ShimCache：SYSTEM 注册表蜂巢
持久化：
- 计划任务：C:\Windows\System32\Tasks\
- 启动文件夹：%AppData%\Microsoft\Windows\Start Menu\Programs\Startup\
- 服务：SYSTEM 注册表蜂巢
网络：
- WLAN 配置文件：C:\ProgramData\Microsoft\Wlansvc\Profiles\
- 浏览器历史：Chrome、Firefox、Edge 配置目录
构建文件系统活动的综合时间线：
使用 Autopsy 时间线模块：
使用 The Sleuth Kit（命令行）：
# 从 NTFS 镜像生成 body 文件
fls -r -m / WKSTN-042.dd > bodyfile.txt
# 从 body 文件创建时间线
mactime -b bodyfile.txt -d > timeline.csv
# 筛选时间线到调查时间段
grep "2025-11-15" timeline.csv | sort > incident_timeline.csv
提取和分析特定取证产物：
编写适合法律程序的取证分析报告：
| 术语 | 定义 |
|---|---|
| 取证镜像（Forensic Image） | 存储介质的逐位副本，保留所有数据，包括已删除文件和未分配空间 |
| 写保护设备（Write Blocker） | 防止在采集过程中对证据介质进行任何修改的硬件或软件设备 |
| E01 格式 | EnCase 和 FTK 使用的 Expert Witness Format；支持压缩、元数据和内置哈希验证 |
| 文件雕刻（File Carving） | 在未分配磁盘空间中搜索文件头和尾部以重建已删除文件的恢复技术 |
| MFT（主文件表） | NTFS 元数据结构，包含每个文件和目录的条目，包括已删除条目 |
| MAC 时间戳 | 文件的修改（Modified）、访问（Accessed）、创建（Created）时间戳，用于时间线重建（NTFS 还有条目修改时间） |
| Prefetch | 记录程序执行元数据的 Windows 产物；包含执行次数、时间戳和加载的 DLL |
| 未分配空间（Unallocated Space） | 未分配给任何文件的磁盘扇区；可能包含通过雕刻恢复的已删除文件残留 |
背景：员工已提交辞职，怀疑在离职前将专有文件复制到 USB 驱动器。HR 要求对员工工作站进行取证调查。
方法：
注意事项：
磁盘取证调查报告
=====================================
案例 ID： INC-2025-1547
证据： EVD-001（三星 870 EVO 500GB SSD）
检查人： [姓名]
分析日期： 2025-11-16
证据完整性
源哈希： SHA-256: a1b2c3d4e5f6...
镜像哈希： SHA-256: a1b2c3d4e5f6... （验证匹配）
写保护设备： Tableau T35u
分区布局
分区 1： NTFS 100 MB （系统保留）
分区 2： NTFS 465 GB （C: - 操作系统和数据）
分区 3： NTFS 500 MB （恢复分区）
关键发现
1. [时间戳] - 恶意软件投放器在 %TEMP% 创建（update.exe）
2. [时间戳] - 创建计划任务 "WindowsUpdate" 以实现持久化
3. [时间戳] - Prefetch 显示 update.exe 执行 14 次
4. [时间戳] - USB 设备 "Kingston DataTraveler" 已连接
5. [时间戳] - 847 个文件复制到 E:\ 驱动器（Shellbag 证据）
已恢复产物
- 从未分配空间恢复 3 个已删除恶意软件样本
- 浏览器历史显示访问过 C2 控制面板
- 注册表证据显示安全软件被禁用
时间线
[按时间顺序列出事件，包含时间戳和证据来源]
使用工具
- FTK Imager 4.7.1（镜像）
- Autopsy 4.21.0（分析）
- PECmd 1.5.0（Prefetch 解析）
- MFTECmd 1.2.2（MFT 分析）