abdullahzia480/DFIR
GitHub: abdullahzia480/DFIR
一个系统性的数字取证与事件响应研究作品集，记录了企业级安全调查、恶意软件逆向分析和事件响应全流程的案例与技术报告。
Stars: 0 | Forks: 0
# 数字取证与事件响应 (DFIR)
## 📌 概述
本仓库作为一个集中的作品集，记录了**数字取证与事件响应 (DFIR)** 领域的综合案例研究、技术调查和相关研究。其中的内容展示了调查企业级数据泄露、逆向工程恶意 payload 以及执行事后分析的实际应用方法论。
随着网络安全威胁形势的不断演变，本仓库会持续更新新的取证捕获记录、调查报告和技术分析。
## 📂 核心关注领域
### 🦠 恶意软件分析与逆向工程
对恶意软件的详细剖析，涵盖从勒索软件到专门的嵌入式威胁（例如 ATM/银行恶意软件）。
* 静态和动态行为分析。
* 提取妥协指标。
* 沙箱引爆和杀伤链记录。
### 🕵️♂️ 企业级案件调查
对受损企业环境（包括 Active Directory 网络）的事后取证分析。
* 横向移动追踪和权限提升分析。
* 日志聚合、时间线生成和痕迹保全。
* 威胁行为者归因和战术映射（MITRE ATT&CK）。
### 🚨 事件响应 (IR)
事件响应生命周期的端到端记录。
* 执行 PICERL 框架（准备、识别、遏制、根除、恢复、经验教训）。
* 为利益相关者提供战略性的执行摘要和深度的技术剖析。
* 网络流量分析 (PCAP) 和内存取证。
## 🛠️ 方法论与工具
本仓库中的调查利用行业标准的框架和工具来提取、保全和分析数字证据。常见领域包括：
* **内存与磁盘取证：** Volatility, Autopsy, FTK Imager
* **网络分析：** Wireshark, Zeek
* **恶意软件沙箱：** Cuckoo, Ghidra, x64dbg, Sysinternals Suite
## ⚠️ 免责声明与处理规范
**仅供教育与科研目的。**
本仓库包含技术报告，并可能偶尔托管在调查期间使用的原始取证痕迹或恶意软件样本的加密存档。
* 请勿在生产主机系统上提取或执行任何痕迹存档。
* 对捕获证据的所有分析均应在隔离的、物理断网的虚拟机中进行。
标签：DAST, SecList, 云资产清单, 内存取证, 库, 应急响应, 恶意软件分析, 数字取证, 自动化脚本, 逆向工程