數位鑑識與事件應變文物
立即行動（讀完後立刻執行）
NOW：讀取../field-journal/precedent-pentest.md或組織 IR 授權說明NOW：確認是取證/溯源而非進攻性掃描NOW：建立案例；證據唯讀副本優先（原始介質寫保護）NEXT：tool-index；Volatility 等常手動ACT：保全哈希 → 時間線 → 關鍵偽影
適用場景
- 記憶體轉儲分析（Volatility 2/3）
- 磁碟 / E01 / 落地檔案時間線
- PCAP 溯源與協定還原（可聯合
protocol-reverse/） - 主機偽影：Prefetch、Shimcache、Event Log、瀏覽器歷史
- 應急回應 IOC 提煉（聯合
malware-analysis//threat-hunting/）
工作流
1. 保全
□ 計算 SHA256；記錄時區與採集命令
□ 工作在副本上；原始唯讀
□ chain of custody 備註寫入 timeline
2. 記憶體
vol -f mem.dmp windows.info
vol -f mem.dmp windows.pslist
vol -f mem.dmp windows.netscan
vol -f mem.dmp windows.cmdline
3. 主機偽影
□ 事件記錄：Security / PowerShell / Sysmon
□ 持久化：Run 鍵、服務、排程工作、WMI
□ 執行痕跡：Amcache、Prefetch、BAM
4. 網路
□ tshark 統計會話與 DNS
□ 導出可疑流 → protocol-reverse 或 malware C2 分析
工具鏈
| 工具 | 用途 |
|---|---|
| Volatility 3 | 記憶體 |
| Timeline Explorer / Plaso | 超級時間線 |
| tshark | PCAP |
| Eric Zimmerman 工具集 | Windows 偽影 |
| Autopsy / FTK Imager | 磁碟 |
參考
references/forensics-triage.md../malware-analysis/../threat-hunting/../protocol-reverse/
路由上下文
上游：MASTER R25
下游：惡意樣本深挖 → malware-analysis；規則 → threat-hunting
任務完成自檢
- 是否保全哈希與副本策略？
- 時間線是否可複核？
- IOC 是否脫敏分級？
- Checklist？