EDR сработал, процесс завершился. Что делать L1-аналитику, когда таймлайн пустой, а атакующий уже ушёл латерально?
🔍 Ни один артефакт Windows не даёт полной картины в одиночку:
• Event Log покажет логон — но промолчит про запущенный бинарник
• Prefetch подтвердит запуск — но не скажет, откуда файл взялся
• MFT хранит метки времени — но без реестра они просто цифры
Сила DFIR — в перекрёстной валидации. Prefetch фиксирует
mimikatz.exe в 32, Event ID 4624 в 30 с нетипичного хоста, MFT подтверждает создание файла в 31 — вектор атаки как на ладони.В статье разобраны Event Logs,
$MFT, реестр, Prefetch и Amcache: конкретные команды, инструменты Циммермана и корреляция артефактов для единого таймлайна.https://codeby.net/threads/forenzika-windows-poshagovyi-razbor-artefaktov-pri-rassledovanii-intsidenta.92626/