mcpField
D
digital-forensics

digital-forensics

github.com/zhaoxuya520安全43.7k1.2k 次安装5 周前更新
代码仓库

关于 digital-forensics

digital-forensics 是用于数字取证与事件响应的 Skill，面向需要分析内存、磁盘、网络流量和主机痕迹的调查人员。它强调证据保全、哈希记录、时间线构建和伪影分析。

主要功能

  1. 01分析 Volatility 内存转储
  2. 02构建磁盘与文件时间线
  3. 03分析 PCAP 网络流量
  4. 04检查 Windows 主机伪影
  5. 05提取并分级 IOC

适用场景

  1. 01调查内存转储中的活动
  2. 02重建磁盘文件与事件时间线
  3. 03从 PCAP 追踪可疑网络通信

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/zhaoxuya520/reverse-skill --skill digital-forensics

安装后在 Claude Code 中输入/digital-forensics确认已加载。

附带文件references/forensics-triage.md

详细介绍

来自项目 README

Digital Forensics & IR Artifacts

ACTION REQUIRED（读完后立刻执行）

  1. NOW: 读取 ../field-journal/precedent-pentest.md 或组织 IR 授权说明
  2. NOW: 确认是取证/溯源而非进攻性扫描
  3. NOW: 建立 case；证据只读副本优先（原始介质写保护）
  4. NEXT: tool-index；Volatility 等常手动
  5. ACT: 保全哈希 → 时间线 → 关键伪影

适用场景

  • 内存转储分析（Volatility 2/3）
  • 磁盘/ E01 / 落地文件时间线
  • PCAP 溯源与协议还原（可联合 protocol-reverse/）
  • 主机伪影：Prefetch、Shimcache、Event Log、浏览器历史
  • 应急响应 IOC 提炼（联合 malware-analysis/ / threat-hunting/）

工作流

1. 保全
□ 计算 SHA256；记录时区与采集命令
□ 工作在副本上；原始只读
□ chain of custody 备注写入 timeline
2. 内存
vol -f mem.dmp windows.info
vol -f mem.dmp windows.pslist
vol -f mem.dmp windows.netscan
vol -f mem.dmp windows.cmdline
3. 主机伪影
□ 事件日志：Security / PowerShell / Sysmon
□ 持久化：Run 键、服务、计划任务、WMI
□ 执行痕迹：Amcache、Prefetch、BAM
4. 网络
□ tshark 统计会话与 DNS
□ 导出可疑流 → protocol-reverse 或 malware C2 分析

工具链

工具用途
Volatility 3内存
Timeline Explorer / Plaso超级时间线
tsharkPCAP
Eric Zimmerman 工具集Windows 伪影
Autopsy / FTK Imager磁盘

参考

  • references/forensics-triage.md
  • ../malware-analysis/ ../threat-hunting/ ../protocol-reverse/

路由上下文

上游: MASTER R25
下游: 恶意样本深挖 → malware-analysis；规则 → threat-hunting

任务完成自检

  • 是否保全哈希与副本策略？
  • 时间线是否可复核？
  • IOC 是否脱敏分级？
  • Checklist？

评论

支持 Markdown