デジタルフォレンジック & IRアーティファクト
アクション必須（読んだらすぐ実行）
NOW:../field-journal/precedent-pentest.mdを読み込むか、組織のIR許可説明を確認するNOW: フォレンジック/トレーシングであり、攻撃的スキャンではないことを確認するNOW: ケースを確立する。証拠は読み取り専用のコピーを優先する（元のメディアは書き込み保護）NEXT: tool-index。Volatilityなどは手動でACT: 保全ハッシュ → タイムライン → 重要なアーティファクト
適用シナリオ
- メモリダンプ分析（Volatility 2/3）
- ディスク/E01/フラットファイルタイムライン
- PCAPトレーシングとプロトコル復元（
protocol-reverse/と連携可能） - ホストアーティファクト：Prefetch、Shimcache、イベントログ、ブラウザ履歴
- インシデントレスポンスのIOC抽出（
malware-analysis//threat-hunting/と連携）
ワークフロー
1. 保全
□ SHA256を計算。タイムゾーンと収集コマンドを記録
□ コピーで作業。元のメディアは読み取り専用
□ チェーンオブカストディのメモをタイムラインに書き込む
2. メモリ
vol -f mem.dmp windows.info
vol -f mem.dmp windows.pslist
vol -f mem.dmp windows.netscan
vol -f mem.dmp windows.cmdline
3. ホストアーティファクト
□ イベントログ: Security / PowerShell / Sysmon
□ 永続化: Runキー、サービス、スケジュールタスク、WMI
□ 実行痕跡: Amcache、Prefetch、BAM
4. ネットワーク
□ tshark でセッションとDNSを集計
□ 疑わしいストリームをエクスポート → protocol-reverse またはマルウェアC2分析へ
ツールチェーン
| ツール | 用途 |
|---|---|
| Volatility 3 | メモリ |
| Timeline Explorer / Plaso | スーパータイムライン |
| tshark | PCAP |
| Eric Zimmerman ツールセット | Windowsアーティファクト |
| Autopsy / FTK Imager | ディスク |
参考
references/forensics-triage.md../malware-analysis/../threat-hunting/../protocol-reverse/
ルーティングコンテキスト
上流: MASTER R25
下流: 悪意のあるサンプルの深掘り → malware-analysis。ルール → threat-hunting
タスク完了セルフチェック
- 保全ハッシュとコピー戦略を実施したか？
- タイムラインは検証可能か？
- IOCは適切に機密レベル分けされているか？
- チェックリストは確認したか？