Отчет по практике (Windows DFIR)

ДЗ по винде:

https://disk.yandex.ru/d/mJcL8qMx3MjFOw (тут лекция, с ее помощью можно теорию по отчету вписывать если это необходимо) и отдельный винрар с инструментами для выполнения.

1. Поднять виртуалку или VPS с Виндой или создать пустой профиль.
2. Имитировать пользовательскую активность. Несколько браузеров, установка ПО и так далее.
3. Создать побитовую копию при помощи FTK Imager или иной похожей программы.
4. Экспортировать файл MFT и создать таймлайн.
5. Выбираем понравившийся артефакт и исследуем следы запуска (рекомендую Prefetch).
6. Регриппером или Regestry Explorer парсим NTUSER.DAT и показываем пользовательскую активность с программами.
7. Подключите съемный носитель и найдите его серийный номер при помощи журналов событий.

Сдаем в доке (в доке, как я понял просто в ворд документе docx)