aw31337/ftfm
GitHub: aw31337/ftfm
面向 DFIR 从业者的开源脚本与模板集合，按调查生命周期提供从识别到报告全流程的实战工具和文档框架。
Stars: 1 | Forks: 0
# 取证团队实战手册 (FTFM)
### 免费脚本、模板与实战内容
[](https://www.amazon.com/dp/B0F6KD9XJM)
[](LICENSE)
[](CONTRIBUTING.md)
[](https://www.linkedin.com/in/aw31377/)
本仓库是 **Forensic Team Field Manual (FTFM)** 的免费配套资源——包含面向数字取证和应急响应从业者的脚本、模板和实战内容，作为对 DFIR 社区的回馈而开源发布。
本书提供方法论。本仓库为您提供将其付诸实践的工具。
## 内容概览
按照 FTFM 的调查生命周期进行组织：
| 文件夹 | 阶段 | 内容 |
|---|---|---|
| [`scripts/01-identification/`](scripts/01-identification/) | 识别 | 范围界定辅助工具、拔线决策助手 |
| [`scripts/02-preservation/`](scripts/02-preservation/) | 保全 | 证据记录、案件笔记框架 |
| [`scripts/03-acquisition/`](scripts/03-acquisition/) | 获取 | 内存、磁盘、云、容器获取 |
| [`scripts/04-analysis/`](scripts/04-analysis/) | 分析 | 日志解析、工件收集、浏览器取证 |
| [`scripts/05-timelines/`](scripts/05-timelines/) | 时间线 | 日志转时间线转换、时间戳标准化 |
| [`scripts/06-reporting/`](scripts/06-reporting/) | 报告 | 报告框架、QA 检查清单 |
| [`templates/`](templates/) | 所有阶段 | 保管链、获取授权、案件笔记 |
| [`cheatsheets/`](cheatsheets/) | 参考 | Windows 取证、Linux 取证、内存分析 |
| [`resources/`](resources/) | 参考 | 工具列表、阅读列表 |
## 快速开始
```
git clone https://github.com/aw31337/ftfm.git
cd ftfm
```
脚本遵循 FTFM 的章节结构。在案件开启时从 `01-identification` 开始，逐步完成整个生命周期。`/templates` 中的模板是即插即用的起点——复制、填写，并保存在您的案件文件夹中。
## 许可证
脚本：[MIT 许可证](LICENSE)
模板和文档：[CC BY 4.0](https://creativecommons.org/licenses/by/4.0/) — 注明出处即可自由分享。
## 交流
- [Amazon 上的 FTFM](https://www.amazon.com/dp/B0F6KD9XJM)
- [Amazon 上的 BTFM](https://www.amazon.com/dp/B077WF4WYV) — 配套蓝队手册
- [LinkedIn](https://www.linkedin.com/in/aw31337/)标签：Cutter, HTTPS请求, HTTP请求, Linux取证, Windows取证, 取证模板, 库, 应急响应, 数字取证, 自动化脚本, 运维脚本, 逆向工具, 防御加固