分类目录应急响应

Jumplists跳转列表的维护记录被认为是调查期间证据信息的重要来源。对跳转列表文件的分析可以提供有关用户在系统上的历史活动的有价值的信息，例如文件创建、访问和修改。取证人员可以利用从跳转列表文件中提取的数据来构建用户活动的时间线。

Windows取证的基础主要包括：

• Windows Live Response（通过powershell命令收集当前系统信息）
• Windows 文件系统

Redline是 FireEye 的首款免费端点安全工具，为用户提供主机调查功能，通过内存和文件分析以及威胁评估配置文件的开发来查找恶意活动的迹象。使用 Redline 收集、分析和过滤端点数据并执行 IOC 分析和命中审查。Redline还具有漂亮的 GUI，并且可以非常整齐地对数据进行分类。

Sysmon (System Monitor) 是一种 Windows 系统服务和设备驱动程序，一旦安装在系统上，它就会在系统重启后继续驻留，以监视系统活动并将其记录到 Windows 事件日志中。Sysmon 记录的事件日志非常详细，提供了进程执行、文件系统活动、网络级事件、Windows 注册表事件和其他 Windows 特定进程（如命名管道）的可视化。

在某次应急排查中，收到网安的自查通告。xxx系统在某一天被某境外组织访问，通信流量xxMb。

阅读更多