Windows Forensics Cheat Sheet

สรุปแนวทางการตรวจสอบและวิเคราะห์หลักฐานทางดิจิทัลบนระบบปฏิบัติการ Windows (เวอร์ชัน 7, 10, และ 11) โดยเน้นการสืบสวนเหตุการณ์ด้านความปลอดภัย เช่น การบุกรุกระบบ การติดมัลแวร์ หรือการขโมยข้อมูล

แบ่งตามหัวข้อหลัก

🕵️‍♂️ Quick Triage (การตรวจสอบเบื้องต้น)

- ตรวจสอบผู้ใช้ที่ล็อกอินอยู่ (query user) เพื่อดูว่ามีผู้ใช้แปลกปลอมหรือไม่

- ดูเหตุการณ์ความปลอดภัยล่าสุดด้วย wevtutil เพื่อจับพฤติกรรมผิดปกติ

- ตรวจสอบบัญชีผู้ใช้และกลุ่มผู้ดูแลระบบ (net user, net localgroup administrators) เพื่อหาบัญชีที่ถูกสร้างขึ้นโดยไม่ได้รับอนุญาต

- ตรวจสอบโปรเซสที่กำลังทำงาน (tasklist /v) เพื่อหาชื่อโปรเซสแปลก ๆ หรือโปรเซสที่ใช้เครื่องมือดึงข้อมูลจาก RAM เช่น Dumplt หรือ Magnet RAM Capturer

🧠 Memory Acquisition & Analysis (การเก็บและวิเคราะห์หน่วยความจำ)

- ใช้เครื่องมือเช่น FTK Imager หรือ Belkasoft Live RAM Capturer เพื่อดึงข้อมูล RAM

- วิเคราะห์ด้วย Volatility หรือ Volatility3:

- pslist, pstree: ดูโปรเซสและความสัมพันธ์ระหว่างโปรเซส

- dlllist, ldrmodules: ตรวจสอบ DLL ที่โหลด

- netscan: ตรวจสอบการเชื่อมต่อเครือข่าย

- cmdline, consoles: ดูคำสั่งที่รันในคอนโซล

- malfind: ค้นหาโค้ดที่ถูกฉีดเข้าไปในหน่วยความจำ

📅 Timeline Reconstruction (การสร้างลำดับเหตุการณ์)

- ใช้ MFTECmd หรือ fls/mactime เพื่อสร้างไทม์ไลน์จากไฟล์ระบบ

- ตรวจสอบ Event Logs เพื่อหาช่วงเวลาที่มีการโจมตี

- ใช้ log2timeline.py และ psort.py เพื่อสร้าง “super-timeline” จากหลายแหล่งข้อมูล

🗑️ File Carving & Deleted Files (การกู้คืนไฟล์ที่ถูกลบ)

- ตรวจสอบ Recycle Bin และ Volume Shadow Copies เพื่อกู้คืนไฟล์

- ใช้เครื่องมือเช่น photorec, Scalpel, fls, icat เพื่อดึงไฟล์จากพื้นที่ว่างในดิสก์

- สร้างไทม์ไลน์จาก $MFT เพื่อดูว่าไฟล์ถูกสร้างหรือลบเมื่อใด

🔐 Persistence &Autostart (การคงอยู่ของมัลแวร์)

- ตรวจสอบ Scheduled Tasks, Registry Run Keys, Startup Folders, WMI Subscriptions

- ใช้ Autoruns จาก Sysinternals เพื่อดูจุดเริ่มต้นอัตโนมัติทั้งหมด

- ตรวจสอบ Services และ Drivers ที่ถูกตั้งค่าให้เริ่มอัตโนมัติ

📜 Logs & Event History (ประวัติการล็อกและเหตุการณ์)

- ตรวจสอบ Security, System, Application Logs เพื่อหาหลักฐานการโจมตี

- ตรวจสอบ Event IDs สำคัญ เช่น 4624 (ล็อกอินสำเร็จ) 4720 (สร้างบัญชี) 7045 (ติดตั้งบริการใหม่)

- ตรวจสอบ PowerShell Logs และ AppCompatCache

🌐 Network & Exfiltration (เครือข่ายและการส่งข้อมูลออก)

- ใช้ netstat -ano หรือ TCPView เพื่อดูการเชื่อมต่อเครือข่าย

- ตรวจสอบ Firewall Logs และ Proxy Logs

- ตรวจสอบการใช้เครื่องมือดาวน์โหลด/อัปโหลด เช่น certutil, bitsadmin, PowerShell

🧬 Hidden & Temp Files (ไฟล์ซ่อนและไฟล์ชั่วคราว)

- ตรวจสอบโฟลเดอร์ AppData, ProgramData, Temp, Recycle Bin

- ค้นหา Alternate Data Streams (ADS) ที่อาจซ่อนมัลแวร์

- ตรวจสอบการใช้เครื่องมือลบข้อมูล เช่น CCleaner หรือ SDelete

🧩 Registry Hives & Key Artifacts (รีจิสทรีและหลักฐานสำคัญ)

- ตรวจสอบไฟล์ SAM, SYSTEM, SECURITY, NTUSER.DAT, UsrClass.dat

- ตรวจสอบข้อมูลผู้ใช้, โปรแกรมที่รัน, Shellbags, MUICache

- ตรวจสอบ Amcache.hve เพื่อดูโปรแกรมที่เคยรัน

🧠 Credential & Sensitive Data (ข้อมูลรับรองและข้อมูลสำคัญ)

- ตรวจสอบ SAM Hashes, LSA Secrets, Credential Manager

- ตรวจสอบรหัสผ่านที่เก็บในเบราว์เซอร์หรือแอปพลิเคชัน

- ตรวจสอบคีย์ API หรือ Cloud Credentials ที่อาจถูกขโมย

🧪 Malware Hunting & IOCs (การล่ามัลแวร์และตัวชี้วัดภัยคุกคาม)

- ค้นหาไฟล์ที่น่าสงสัย สคริปต์ที่ถูกเข้ารหัส คำสั่ง PowerShell

- ตรวจสอบ Hash ของไฟล์กับ VirusTotal

- ใช้ YARA หรือ Sigma Rules เพื่อสแกนหามัลแวร์ที่รู้จัก