授权数字取证与应急响应：分析内存/磁盘/PCAP/主机伪影并…

在获得授权的取证或溯源任务中，对内存转储、磁盘时间线、PCAP 和主机伪影做只读保全、分析和 IOC 提炼。

适用场景

解决思路

1. 先读取 ../field-journal/precedent-pentest.md 或组织 IR 授权说明，确认授权边界。
2. 确认当前任务是取证/溯源，而不是进攻性扫描。
3. 建立 case；优先使用证据只读副本，对原始介质做写保护。
4. 查询 tool-index；Volatility 等工具通常需要手动执行。
5. 按顺序推进：保全哈希 → 构建时间线 → 分析关键伪影。
6. 适用场景包括：内存转储分析（Volatility 2/3）、磁盘/E01/落地文件时间线、PCAP 溯源与协议还原、主机伪影（Prefetch、Shimcache、Event Log、浏览器历史）、应急响应 IOC 提炼；PCAP 可联合 protocol-reverse/，IOC 可联合 malware-analysis/ 和 threat-hunting/。
7. 保全时计算 SHA256；记录时区与采集命令。
8. 保全时在副本上工作；原始介质保持只读。
9. 保全时将证据监管链（chain of custody）备注写入 timeline。
10. 内存分析执行 vol -f mem.dmp windows.info。
11. 内存分析执行 vol -f mem.dmp windows.pslist。
12. 内存分析执行 vol -f mem.dmp windows.netscan。
13. 内存分析执行 vol -f mem.dmp windows.cmdline。
14. 主机伪影分析查看事件日志：Security / PowerShell / Sysmon。
15. 主机伪影分析检查持久化：Run 键、服务、计划任务、WMI。
16. 主机伪影分析检查执行痕迹：Amcache、Prefetch、BAM。
17. 网络分析用 tshark 统计会话与 DNS。
18. 网络分析导出可疑流，交给 protocol-reverse 或 malware C2 分析。
19. 工具链：使用 Volatility 3 分析内存。
20. 工具链：使用 Timeline Explorer / Plaso 构建超级时间线。
21. 工具链：使用 tshark 分析 PCAP。
22. 工具链：使用 Eric Zimmerman 工具集分析 Windows 伪影。
23. 工具链：使用 Autopsy / FTK Imager 分析磁盘。
24. 参考 references/forensics-triage.md，并按需联合 ../malware-analysis/、../threat-hunting/、../protocol-reverse/。
25. 按路由上下文移交：上游来自 MASTER R25；下游将恶意样本深挖交给 malware-analysis，将规则交给 threat-hunting。
26. 完成后自检：是否保全哈希与副本策略。
27. 完成后自检：时间线是否可复核。
28. 完成后自检：IOC 是否脱敏分级。
29. 完成后自检：Checklist 是否完成。

适用边界 · 注意事项

• 未获授权、无组织 IR 授权说明或无法确认取证边界时。
• 任务本质是进攻性扫描/渗透测试而非取证/溯源时。
• 无法制作只读副本、无法保全哈希或会破坏原始证据完整性时。