Digital Forensics & IR Artifacts ACTION REQUIRED（读完后立刻执行） 1. : 读取 或组织 IR 授权说明 2. : 确认是 取证/溯源 而非进攻性扫描 3. : 建立 case；证据只读副本优先（原始介质写保护） 4. : tool-index；Volatility 等常手动 5. : 保全哈希 → 时间线 → 关键伪影 适用场景 - 内存转储分析（Volatility 2/3） - 磁盘/ E01 / 落地文件时间线 - PCAP 溯源与协议还原（可联合 ） - 主机伪影：Prefetch、Shimcache、Event Log、浏览器历史 - 应急响应 IOC 提炼（联合 / ） 工作流 1. 保全 2. 内存 3. 主机伪影 4. 网络 工具链 | 工具 | 用途 | |------|------| | Volatility 3 | 内存 | | Timeline Explorer / Plaso | 超级时间线 | | tshark | PCAP | | Eric Zimmerman 工具集 | Windows 伪影 | | Autopsy / FTK Imager | 磁盘 | 参考 - - 路由上下文 上游 : MASTER R25 下游 : 恶意样本深挖 → malware-analysis；规则 → threat-…