analyzing-windows-amcache-artifacts

使用 Eric Zimmerman 的开源 EZ Tools 套件（包括 KAPE、MFTECmd、PECmd、LECmd、JLECmd 和 Timeline Explorer）执行全面的 Windows 取证制品分析，解析注册表 hive、预取文件、事件日志和文件系统元数据。

识别、收集和分析勒索软件攻击制品，以确定变种、初始访问向量、加密范围和恢复选项。

本技能涵盖为构建产物实施代码签名，以确保软件供应链中的完整性和真实性。 内容包括使用 GPG、Sigstore 和平台专用签名工具对二进制文件、软件包和容器进行签名， 建立信任链，以及在部署管道中验证签名。

系统性地狩猎 Windows 终端中的攻击者持久化机制，涵盖注册表、服务、启动文件夹和 WMI 事件订阅。

使用 CIS（互联网安全中心）Benchmark 建议对 Windows 端点进行加固， 以减少攻击面、执行安全基线并满足合规要求。适用于部署新 Windows 工作站或服务器、 修复审计发现或为组织建立全面安全基线的场景。适用于涉及 Windows 加固、 CIS Benchmark、GPO 安全基线或端点配置合规的请求。

使用 Chainsaw、Hayabusa 和 EvtxECmd 提取、解析和分析 Windows 事件日志（EVTX），以检测横向移动、持久化和权限提升。

使用 Rekall 内存取证框架分析内存转储，检测进程空洞化（process hollowing）、通过 VAD 异常注入的代码、隐藏进程和 rootkit。应用 pslist、psscan、vadinfo、malfind 和 dlllist 等插件从 Windows 内存镜像中提取取证工件。适用于应急响应内存分析场景。

从 Chrome、Firefox 和 Edge 中提取并分析浏览器历史记录、Cookie、缓存、下载记录和书签，以获取用户网络活动的取证证据。

配置 Windows 事件日志与高级审计策略，以生成高质量安全事件用于威胁检测和取证调查。 适用于为登录事件、进程创建、权限使用和对象访问启用审计策略，以支撑 SIEM 检测规则的场景。

配置 Microsoft Defender for Endpoint（MDE）高级防护设置，包括攻击面缩减规则、受控文件夹访问、 网络保护和漏洞利用防护。适用于在默认 Defender 设置基础上加固 Windows 端点、部署企业级端点防护 或满足高级恶意软件防御合规要求的场景。

分析 Windows ShellBag 注册表取证痕迹，使用 SBECmd 和 ShellBags Explorer 重建文件夹浏览活动，检测对可移动介质和网络共享的访问，并在删除后仍能确认用户与目录的交互行为。

提取并分析 Windows 注册表配置单元，以发现用户活动、已安装软件、自启动条目及系统入侵证据。