analyzing-windows-prefetch-with-python

使用 Eric Zimmerman 的开源 EZ Tools 套件（包括 KAPE、MFTECmd、PECmd、LECmd、JLECmd 和 Timeline Explorer）执行全面的 Windows 取证制品分析，解析注册表 hive、预取文件、事件日志和文件系统元数据。

系统性地狩猎 Windows 终端中的攻击者持久化机制，涵盖注册表、服务、启动文件夹和 WMI 事件订阅。

使用 CIS（互联网安全中心）Benchmark 建议对 Windows 端点进行加固， 以减少攻击面、执行安全基线并满足合规要求。适用于部署新 Windows 工作站或服务器、 修复审计发现或为组织建立全面安全基线的场景。适用于涉及 Windows 加固、 CIS Benchmark、GPO 安全基线或端点配置合规的请求。

使用 Chainsaw、Hayabusa 和 EvtxECmd 提取、解析和分析 Windows 事件日志（EVTX），以检测横向移动、持久化和权限提升。

配置 Windows 事件日志与高级审计策略，以生成高质量安全事件用于威胁检测和取证调查。 适用于为登录事件、进程创建、权限使用和对象访问启用审计策略，以支撑 SIEM 检测规则的场景。

配置 Microsoft Defender for Endpoint（MDE）高级防护设置，包括攻击面缩减规则、受控文件夹访问、 网络保护和漏洞利用防护。适用于在默认 Defender 设置基础上加固 Windows 端点、部署企业级端点防护 或满足高级恶意软件防御合规要求的场景。

分析 Windows ShellBag 注册表取证痕迹，使用 SBECmd 和 ShellBags Explorer 重建文件夹浏览活动，检测对可移动介质和网络共享的访问，并在删除后仍能确认用户与目录的交互行为。

提取并分析 Windows 注册表配置单元，以发现用户活动、已安装软件、自启动条目及系统入侵证据。

解析 Windows LNK 快捷方式文件，提取目标路径、时间戳、卷信息和机器标识符，用于取证时间线重建。

在 Splunk 中分析 Windows Security、System 和 Sysmon 事件日志，使用映射到 MITRE ATT&CK 技术的 SPL 查询检测身份验证攻击、权限提升（Privilege Escalation）、持久化（Persistence）机制和横向移动 （Lateral Movement）。适用于 SOC 分析师调查基于 Windows 的威胁、构建检测查询，或对 Windows 终端和域控制器执行取证时间线分析。

解析并分析 Windows Amcache.hve 注册表配置单元（Registry Hive），提取程序执行证据、文件元数据、 SHA-1 哈希及设备连接历史，用于数字取证（Digital Forensics）和事件响应（Incident Response）调查。

解析 Apache 和 Nginx 访问日志，检测 SQL 注入（SQL Injection）尝试、本地文件包含（Local File Inclusion）、 目录遍历（Directory Traversal）、Web 扫描器指纹及暴力破解（Brute Force）模式。 使用基于正则表达式的模式匹配对照 OWASP 攻击签名、GeoIP 富化进行来源溯源， 以及针对请求频率和响应大小异常值的统计异常检测。