DFIR
最初の事件から、ひとりで調べられるまで。
Windowsのデジタルフォレンジックとインシデント対応（DFIR）を、初めての人が自分で調査できるようになるまで学ぶ無料の講座です。手を動かすラボ、答え合わせのできる演習、AutopsyとMagnetのツールを使います。
ツールより先に問い
何が、いつ、どうやって起きたのか。問いが、どの証拠を見るかを決めます。
証拠を変えない
コピーで作業し、ハッシュを取り、保管の記録を残します。最初の回から身につけます。
2つのツールで確かめる
大事な発見は、Autopsyと別のツール（MagnetやEric Zimmermanのツール）で一致するまで信じません。
答え合わせのできる演習
自分で起こした操作や、答えが公開された事例で練習します。正しくできたかを自分で確かめられます。
ゼロから始めるWindows DFIR：全カリキュラム
- 第1回読む
調査の進め方と、練習用ラボの作り方
問いと証拠で調査を進め、証拠を変えずに扱い、安全なラボを作り、自分で起こした操作を見つけられる。
- 第2回読む
証拠を壊さずに集める
最初に何を集めるかを判断し、メモリとトリアージ用のデータを取得し、暗号化を確認し、書き込みを防いだ状態でディスクをE01にして、2つのツールで検証できる。
- 第3回準備中
Autopsyで最初の事件を開き、Magnet Axiomでも同じ事件を見る
証拠を読み込み、解析、検索、タグ付け、簡単なタイムライン、報告書の出力を行い、2つのツールを比べられる。
- 第4回準備中
プログラムが実行されたことを示す
Prefetch、Amcache、Shimcache、BAM、UserAssist、SRUMを読み、それぞれの証拠の強さを説明できる。
- 第5回準備中
Windowsのイベントログを読む
ログオンとその種類、プロセスの生成、サービス、タスク、ログの消去、PowerShellを見つけ、タイムラインにできる。
- 第6回準備中
永続化を見つける
Runキー、サービス、タスク、WMIのサブスクリプション、スタートアップを確認し、正常なものと仕込まれたものを見分けられる。
- 第7回準備中
利用者が開いたもの、閲覧したもの、接続したもの
LNK、ジャンプリスト、ShellBags、最近使ったファイル、閲覧履歴、USBの記録から、人が何をしたかを示せる。
- 第8回準備中
NTFS：ファイルシステムは覚えている
$MFTと$UsnJrnlを読み、削除されたファイル名を復元し、意図的に変えられたタイムスタンプに気づける。
- 第9回準備中
メモリフォレンジック
メモリイメージからプロセス、通信、コマンドラインを一覧にし、本来ないはずのコードを見つけられる。
- 第10回準備中
端末から端末へ、攻撃者を追う
JPCERT/CCの調査をもとに、RDP、SMB、PsExec、WMI、リモートサービスの痕跡をホストをまたいで追える。
- 第11回準備中
タイムラインを組み立て、報告書を書く
複数の情報源を1本のタイムラインにまとめ、ATT&CKに対応づけ、確度を示し、他の人が動ける報告書を書ける。
- 第12回準備中
総仕上げ：1件の事件を自分だけで調べる
NISTのデータ漏えい事例を最初から最後まで調べ、すべての答えをNISTが公開している解答と照らし合わせる。