Windows Forensics

آموزش Windows Forensics؛ جرم‌یابی ویندوز

مدرس: علی سلطانی

Windows Forensics مسیر بررسی یک میزبان ویندوزی پس از فعالیت مشکوک است؛ از انتخاب داده و ساخت ایمیج تا استخراج شواهد اجرای برنامه، دسترسی کاربر و تغییرات فایل‌سیستم. در این دوره با تدریس علی سلطانی، هر Artifact را با یک سؤال مشخص می‌خوانیم: چه برنامه‌ای اجرا شده، کدام حساب درگیر بوده، فایل از کجا آمده و توالی فعالیت چگونه با لاگ‌های میزبان همخوان می‌شود.

پایه فنی دوره بر ساختار NTFS، رکوردهای MFT، USN Journal و آثار Registry استوار است. سپس Prefetch، Amcache، Shimcache، LNK، Jump Lists و SRUM در کنار Windows Event Logs و PowerShell Logging بررسی می‌شوند. تأکید بر تفاوت معنای این منابع است؛ وجود یک نام فایل در Cache یا Registry همیشه به معنی اجرای قطعی آن نیست و تفسیر Timestamp نیز به نسخه سیستم‌عامل و نوع Artifact وابسته است.

برای جمع‌آوری و پردازش از KAPE، ابزارهای Eric Zimmerman، ابزارهای The Sleuth Kit و Plaso در بخش‌های مرتبط استفاده می‌شود. در سناریوهای دوره، شواهد Persistence، ورودهای محلی و راه دور، اجرای اسکریپت و جابه‌جایی فایل به یک Timeline چندمنبعی تبدیل می‌شوند. هدف این است که بتوانید به‌جای ارائه خروجی خام ابزار، یک استدلال قابل بازبینی درباره دامنه رخداد، مسیر فعالیت و اقدامات بررسی بعدی ارائه کنید.

مهارت‌هایی که در این دوره دنبال می‌کنید

• انتخاب روش جمع‌آوری Live و Offline و ثبت تمامیت داده
• تفسیر MFT و USN و مقایسه زمان‌های SI و FN
• همبستگی Registry و مصنوعات اجرای برنامه
• تحلیل رویدادهای Logon، PowerShell، Service و Scheduled Task
• ساخت Super Timeline و بررسی شواهد دست‌کاری زمان
• تهیه گزارش فنی با تفکیک مشاهده، استنباط و محدودیت

پیش‌نیازهای فنی

• آشنایی عملی با Windows، حساب کاربری، Service و Task Scheduler
• شناخت اولیه فایل‌سیستم، Registry و Windows Event Viewer
• آشنایی با مفاهیم Process، Logon و شبکه ویندوز
• توانایی کار با PowerShell و خط فرمان در سطح مقدماتی

ابزارها و منابع فنی مسیر آموزش

• KAPE برای جمع‌آوری و پردازش هدفمند
• MFTECmd، RECmd، EvtxECmd، PECmd و AmcacheParser
• Registry Explorer و ابزارهای LNK/Jump List
• Plaso، The Sleuth Kit و Autopsy در تحلیل زمانی

برنامه آموزشی و سرفصل‌های تخصصی

1. فرایند DFIR ویندوز و جمع‌آوری Live/Offline

• تفاوت Triage، Logical Collection و Physical Image
• ترتیب جمع‌آوری داده‌های فرّار و ماندگار
• Hash، Write Blocking و زنجیره نگهداری شواهد
• ثبت نسخه ویندوز، Timezone و وضعیت رمزگذاری

2. NTFS Forensics؛ تحلیل MFT، ADS و Timestamp

• ساختار File Record و Attributeهای NTFS
• مقایسه STANDARD_INFORMATION و FILE_NAME
• بررسی Alternate Data Streams و Zone.Identifier
• استخراج رکوردهای فایل با MFTECmd

3. USN Journal، LogFile و بازسازی تغییرات فایل

• معنای USN Reason و File Reference Number
• همبستگی ایجاد، تغییر نام، جابه‌جایی و حذف
• محدودیت Retention و بازنویسی Journal
• بررسی اختلاف زمانی و فرضیه Timestomping

4. Registry Forensics؛ Hive، Control Set و User Activity

• ساختار SYSTEM، SOFTWARE، SAM، SECURITY و NTUSER.DAT
• تفسیر LastWrite و محدودیت دقت زمانی Key
• بررسی Run/RunOnce، Services و تنظیمات سیستم
• استخراج الگوهای فعالیت با RECmd و Registry Explorer

5. شواهد اجرای برنامه؛ Prefetch، Amcache و Shimcache

• خواندن Execution Count و زمان‌های Prefetch
• تحلیل موجودیت فایل و برنامه در Amcache
• محدودیت انتساب اجرا از AppCompatCache
• اعتبارسنجی نتیجه با Event Log و سایر Artifactها

6. LNK، Jump Lists و آثار تعامل کاربر

• تحلیل Target، Volume و مسیرهای محلی و شبکه‌ای
• بررسی Recent Files و Automatic/Custom Destinations
• ارتباط فایل مقصد با پروفایل کاربر
• تفکیک دسترسی کاربر و فعالیت پس‌زمینه

7. Windows Event Logs؛ احراز هویت و نشست کاربری

• تحلیل 4624، 4625، 4634 و Logon Type
• بررسی 4648 و 4672 در زمینه رخداد
• همبستگی حساب، میزبان و Source Address
• استخراج و نرمال‌سازی EVTX با EvtxECmd

8. PowerShell، Process Creation و اجرای اسکریپت

• تحلیل رویداد 4688 و وابستگی ثبت Command Line
• بررسی Script Block Logging و رویداد 4104
• همبستگی پردازش والد/فرزند با Sysmon
• بررسی Console History و فایل‌های اسکریپت

9. Persistence Forensics؛ سرویس، Task و Startup

• بررسی Service Installation و رویداد 7045
• تحلیل Task XML، TaskCache و رویداد 4698
• بررسی Startup Folder و Registry Autostart
• تفکیک تغییر مدیریت‌شده از ماندگاری مشکوک

10. SRUM، مرورگر و آثار دسترسی به داده

• بررسی مصرف شبکه و برنامه در SRUM
• تحلیل History، Downloads و Cache مرورگر
• بررسی Recycle Bin و آثار حذف فایل
• همبستگی مسیر دانلود، Zone.Identifier و اجرا

11. KAPE و Plaso؛ پردازش هدفمند و Super Timeline

• انتخاب Target و Module متناسب با سؤال تحقیق
• استانداردسازی خروجی ابزارهای Zimmerman
• ساخت Timeline چندمنبعی و فیلتر بازه رخداد
• شناسایی تناقض و کمبود شواهد زمانی

12. پرونده نهایی؛ بازسازی فعالیت روی میزبان ویندوزی

• تعیین حساب‌ها، فایل‌ها و پردازش‌های مرتبط
• ترکیب NTFS، Registry، EVTX و Execution Artifact
• بررسی دامنه Persistence و مسیر دسترسی
• تنظیم Evidence Matrix و گزارش قابل بازبینی

سناریوی تمرین و خروجی فنی

یک مجموعه شواهد ویندوز شامل Hiveها، MFT، USN، EVTX و مصنوعات اجرای برنامه بررسی می‌شود. دانشجو باید مسیر ورود فایل تا اجرای برنامه و ایجاد ماندگاری را بازسازی کند، حساب‌های مرتبط را مشخص کند و برای هر نتیجه حداقل دو منبع مستقل یا توضیح روشن درباره محدودیت شواهد ارائه دهد.

شیوه ارائه و برنامه‌ریزی یادگیری

شیوه ارائه این دوره ضبط‌شده / آنلاین است. سرفصل‌ها و زمان‌بندی جلسات، برنامه آموزشی دوره را نشان می‌دهند؛ دسترسی به محتوای جلسات پس از فعال‌شدن ثبت‌نام ارائه می‌شود.