nicolasferrerm/windows-incident-investigation
GitHub: nicolasferrerm/windows-incident-investigation
该项目提供一套可辩护的 Windows 事件响应工作流，通过 PowerShell 采集有限分流数据并对证据哈希化，再用 Python 生成 ATT&CK 增强的确定性 UTC 时间线。
Stars: 0 | Forks: 0
# Windows 事件调查
[](https://github.com/nicolasferrerm/windows-incident-investigation/actions/workflows/ci.yml)
一个可防御的 Windows 事件响应工作流：收集有限的分流数据包，对证据进行哈希处理，将选定的事件记录标准化为 UTC，并构建一个丰富 ATT&CK 的时间线。
## 调查工作流
```
flowchart LR
A["Authorized Windows endpoint"] --> B["PowerShell triage collection"]
B --> C["SHA-256 evidence manifest"]
C --> D["Deterministic UTC timeline"]
D --> E["Analyst hypotheses and containment"]
```
收集器会收集正在运行的进程、TCP 连接以及一组有限的高价值 Windows 事件。它不会更改端点配置或尝试进行遏制。
## 快速开始
在被调查的系统上以授权管理员身份运行 PowerShell：
```
.\collect\Collect-Triage.ps1 -OutputDirectory C:\IR\Case-001 -Hours 24
```
然后在任何 Python 3.11+ 系统上分析事件导出：
```
python -m pip install -e .
windows-ir evidence/windows-events.json --output evidence/timeline.json
python -m pytest -q
```
## 证据与解释
该时间线目前丰富了失败/成功的登录、进程创建、计划任务、服务安装和审核日志清除记录。ATT&CK 映射仅供分析师参考，不能作为恶意活动的证明；结论必须有旁证支持。
## 安全性
仅对您拥有或被授权调查的系统使用。收集的文件可能包含用户名、进程参数和网络元数据；请根据案件处理策略对其进行存储，且切勿提交实时证据。
## 作者
Nicolas Ferrer — SAIT 的信息系统安全专业学生，专注于 SOC 运营、事件响应和安全自动化。
标签：AI合规, IPv6, PowerShell, Python, 事件调查, 库, 应急响应, 数字取证, 无后门, 自动化脚本, 逆向工具