آموزش Windows Forensics؛ جرم‌یابی ویندوز
مدرس: علی سلطانی
Windows Forensics مسیر بررسی یک میزبان ویندوزی پس از فعالیت مشکوک است؛ از انتخاب داده و ساخت ایمیج تا استخراج شواهد اجرای برنامه، دسترسی کاربر و تغییرات فایل‌سیستم. در این دوره با تدریس علی سلطانی، هر Artifact را با یک سؤال مشخص می‌خوانیم: چه برنامه‌ای اجرا شده، کدام حساب درگیر بوده، فایل از کجا آمده و توالی فعالیت چگونه با لاگ‌های میزبان همخوان می‌شود.
پایه فنی دوره بر ساختار NTFS، رکوردهای MFT، USN Journal و آثار Registry استوار است. سپس Prefetch، Amcache، Shimcache، LNK، Jump Lists و SRUM در کنار Windows Event Logs و PowerShell Logging بررسی می‌شوند. تأکید بر تفاوت معنای این منابع است؛ وجود یک نام فایل در Cache یا Registry همیشه به معنی اجرای قطعی آن نیست و تفسیر Timestamp نیز به نسخه سیستم‌عامل و نوع Artifact وابسته است.
برای جمع‌آوری و پردازش از KAPE، ابزارهای Eric Zimmerman، ابزارهای The Sleuth Kit و Plaso در بخش‌های مرتبط استفاده می‌شود. در سناریوهای دوره، شواهد Persistence، ورودهای محلی و راه دور، اجرای اسکریپت و جابه‌جایی فایل به یک Timeline چندمنبعی تبدیل می‌شوند. هدف این است که بتوانید به‌جای ارائه خروجی خام ابزار، یک استدلال قابل بازبینی درباره دامنه رخداد، مسیر فعالیت و اقدامات بررسی بعدی ارائه کنید.
مهارت‌هایی که در این دوره دنبال می‌کنید
- انتخاب روش جمع‌آوری Live و Offline و ثبت تمامیت داده
- تفسیر MFT و USN و مقایسه زمان‌های SI و FN
- همبستگی Registry و مصنوعات اجرای برنامه
- تحلیل رویدادهای Logon، PowerShell، Service و Scheduled Task
- ساخت Super Timeline و بررسی شواهد دست‌کاری زمان
- تهیه گزارش فنی با تفکیک مشاهده، استنباط و محدودیت
پیش‌نیازهای فنی
- آشنایی عملی با Windows، حساب کاربری، Service و Task Scheduler
- شناخت اولیه فایل‌سیستم، Registry و Windows Event Viewer
- آشنایی با مفاهیم Process، Logon و شبکه ویندوز
- توانایی کار با PowerShell و خط فرمان در سطح مقدماتی
ابزارها و منابع فنی مسیر آموزش
- KAPE برای جمع‌آوری و پردازش هدفمند
- MFTECmd، RECmd، EvtxECmd، PECmd و AmcacheParser
- Registry Explorer و ابزارهای LNK/Jump List
- Plaso، The Sleuth Kit و Autopsy در تحلیل زمانی
برنامه آموزشی و سرفصل‌های تخصصی
1. فرایند DFIR ویندوز و جمع‌آوری Live/Offline
- تفاوت Triage، Logical Collection و Physical Image
- ترتیب جمع‌آوری داده‌های فرّار و ماندگار
- Hash، Write Blocking و زنجیره نگهداری شواهد
- ثبت نسخه ویندوز، Timezone و وضعیت رمزگذاری
2. NTFS Forensics؛ تحلیل MFT، ADS و Timestamp
- ساختار File Record و Attributeهای NTFS
- مقایسه STANDARD_INFORMATION و FILE_NAME
- بررسی Alternate Data Streams و Zone.Identifier
- استخراج رکوردهای فایل با MFTECmd
3. USN Journal، LogFile و بازسازی تغییرات فایل
- معنای USN Reason و File Reference Number
- همبستگی ایجاد، تغییر نام، جابه‌جایی و حذف
- محدودیت Retention و بازنویسی Journal
- بررسی اختلاف زمانی و فرضیه Timestomping
4. Registry Forensics؛ Hive، Control Set و User Activity
- ساختار SYSTEM، SOFTWARE، SAM، SECURITY و NTUSER.DAT
- تفسیر LastWrite و محدودیت دقت زمانی Key
- بررسی Run/RunOnce، Services و تنظیمات سیستم
- استخراج الگوهای فعالیت با RECmd و Registry Explorer
5. شواهد اجرای برنامه؛ Prefetch، Amcache و Shimcache
- خواندن Execution Count و زمان‌های Prefetch
- تحلیل موجودیت فایل و برنامه در Amcache
- محدودیت انتساب اجرا از AppCompatCache
- اعتبارسنجی نتیجه با Event Log و سایر Artifactها
6. LNK، Jump Lists و آثار تعامل کاربر
- تحلیل Target، Volume و مسیرهای محلی و شبکه‌ای
- بررسی Recent Files و Automatic/Custom Destinations
- ارتباط فایل مقصد با پروفایل کاربر
- تفکیک دسترسی کاربر و فعالیت پس‌زمینه
7. Windows Event Logs؛ احراز هویت و نشست کاربری
- تحلیل 4624، 4625، 4634 و Logon Type
- بررسی 4648 و 4672 در زمینه رخداد
- همبستگی حساب، میزبان و Source Address
- استخراج و نرمال‌سازی EVTX با EvtxECmd
8. PowerShell، Process Creation و اجرای اسکریپت
- تحلیل رویداد 4688 و وابستگی ثبت Command Line
- بررسی Script Block Logging و رویداد 4104
- همبستگی پردازش والد/فرزند با Sysmon
- بررسی Console History و فایل‌های اسکریپت
9. Persistence Forensics؛ سرویس، Task و Startup
- بررسی Service Installation و رویداد 7045
- تحلیل Task XML، TaskCache و رویداد 4698
- بررسی Startup Folder و Registry Autostart
- تفکیک تغییر مدیریت‌شده از ماندگاری مشکوک
10. SRUM، مرورگر و آثار دسترسی به داده
- بررسی مصرف شبکه و برنامه در SRUM
- تحلیل History، Downloads و Cache مرورگر
- بررسی Recycle Bin و آثار حذف فایل
- همبستگی مسیر دانلود، Zone.Identifier و اجرا
11. KAPE و Plaso؛ پردازش هدفمند و Super Timeline
- انتخاب Target و Module متناسب با سؤال تحقیق
- استانداردسازی خروجی ابزارهای Zimmerman
- ساخت Timeline چندمنبعی و فیلتر بازه رخداد
- شناسایی تناقض و کمبود شواهد زمانی
12. پرونده نهایی؛ بازسازی فعالیت روی میزبان ویندوزی
- تعیین حساب‌ها، فایل‌ها و پردازش‌های مرتبط
- ترکیب NTFS، Registry، EVTX و Execution Artifact
- بررسی دامنه Persistence و مسیر دسترسی
- تنظیم Evidence Matrix و گزارش قابل بازبینی
سناریوی تمرین و خروجی فنی
یک مجموعه شواهد ویندوز شامل Hiveها، MFT، USN، EVTX و مصنوعات اجرای برنامه بررسی می‌شود. دانشجو باید مسیر ورود فایل تا اجرای برنامه و ایجاد ماندگاری را بازسازی کند، حساب‌های مرتبط را مشخص کند و برای هر نتیجه حداقل دو منبع مستقل یا توضیح روشن درباره محدودیت شواهد ارائه دهد.
شیوه ارائه و برنامه‌ریزی یادگیری
شیوه ارائه این دوره ضبط‌شده / آنلاین است. سرفصل‌ها و زمان‌بندی جلسات، برنامه آموزشی دوره را نشان می‌دهند؛ دسترسی به محتوای جلسات پس از فعال‌شدن ثبت‌نام ارائه می‌شود.