competition-forensic-timeline

競技フォレンジックタイムライン

このスキルは、$ctf-sandbox-orchestrator がすでにアクティブで、サンドボックスの前提、ノードの所有権、証拠の優先順位が確立されている場合にのみ、下流の専門スキルとして使用してください。まだその状態になっていない場合は、まず $ctf-sandbox-orchestrator に戻ってください。

このスキルは、1 つのアーティファクトを見つけることではなく、多数のアーティファクトを 1 つの再現可能な時系列にまとめることが難しい場合に使用します。

ユーザーが明示的に英語を要求しない限り、簡体字中国語で回答してください。

クイックスタート

1. 最も小さく信頼できるアンカーを選びます。最初の実行、最初のログオン、最初のネットワークセッション、最初のファイル書き込み、または最初のメールボックス操作などです。
2. 相関させる前に、タイムスタンプ、タイムゾーン、ホスト名、ユーザー、プロセス ID、メッセージ ID、ファイルパスを正規化します。
3. 足がかりから、永続化、実行、アクセス、または持ち出しに至るまで、最小限の 1 本のチェーンを構築します。
4. 確認済みのイベント順序と、推測された空白部分を分離します。
5. アーティファクトまたは権限に関する結論を導き出す決定的なタイムライン区間を再現します。

ワークフロー

1. タイムラインアンカーの確立

• アクティブなサーフェスのみを収集します。EVTX、Sysmon、レジストリ、Amcache、Prefetch、ブラウザアーティファクト、メールトレース、PCAP、メモリ、またはファイルシステムメタデータなどです。
• クロックソース、タイムゾーン、およびイベントの順序を入れ替える可能性のあるドリフトや切り捨てを記録します。
• ソース間で共有される識別子をリンクします。PID、ログオン ID、GUID、メッセージ ID、ホスト名、ユーザー名、IP、またはハッシュなどです。

2. 実行グラフの相関

• プロセスツリー、サービスまたはタスクの作成、ネットワークセッション、ファイル書き込み、レジストリ変更、メールボックスルール、またはトークン使用を 1 つのパスとして追跡します。
• 因果関係のあるエッジと偶然の一致を、単に近いタイムスタンプではなく、識別子と隣接関係の照合によって区別します。
• 生のアーティファクトと解析済みサマリーを並べて保持し、すべてのステップを遡って追跡できるようにします。

3. 決定的なストーリーへの圧縮

• タイムラインを、初期アクセス、永続化、横展開、収集、またはアーティファクトの復元を証明する最小限のシーケンスに縮小します。
• 不足している検証ステップは、確認済みの時系列に混ぜ込むのではなく、別途指摘します。
• タスクが主にマルウェア設定の抽出や Windows のピボットエッジに関するものになった場合は、より厳密な専門スキルに切り替えます。

このリファレンスを読む

• アンカーの選択、ソース間の相関、証拠のパッケージ化については、references/forensic-timeline.md を読み込んでください。
• 難しい部分がパケットの再構成、プロトコルのフレーミング、またはキャプチャからの転送オブジェクトの抽出である場合は、$competition-pcap-protocol を優先してください。

保持すべきもの

• ソースファイルのパス、イベント ID、ログオン ID、メッセージ ID、PID、ハッシュ、およびタイムゾーンを付記したタイムスタンプ
• 決定的な区間についての 1 つの簡潔なタイムラインテーブルまたは順序付きリスト
• 生のアーティファクト、解析済み出力、および推測されたエッジを分離して保持