电子数据取证：Windows 取证高级分析
第一部分：文件签名和文件过滤
1. 过滤的概念和方法
2. 文件签名
3. 过滤加密的文件
4. 提取邮件的附件
5. 提取压缩文件中的数据
6. 深入学习并综合使用磁盘快照的各项功能；
7. 课堂练习：配合磁盘快照，分步骤过滤所有的办公文档、图片；
8. 课后练习: 章节练习
第二部分：十六进制搜索和逻辑搜索
1.常见文字编码原理及应用
2.常见关键词编码及十六进制搜索 3.模糊搜索高级语法(GREP)
4.回顾文件过滤、哈希、磁盘快照的基本操作和学习要点
第三部分：时间和行为-文件系统痕迹分析
1. 时间属性概述
2. 2.行为和痕迹分析
3.LNK 文件，最近打开的文件和目录
4.Jumplist 跳转文件，最近打开文件的位置分析 5.发现拷贝的文件、编辑痕迹分析、痕迹分析
6.USN 日志，文件和目录的创建、删除、改名痕迹
7.$LogFile
8.格式化和目录更新时间 9.ADS 数据流：创建、过滤
第四部分：时间和行为-程序运行痕迹
1.打印痕迹分析，
2.用时间过滤，查找附近时间产生的文件 3.WPS、ET 编辑痕迹
4.WPS 备份文件痕迹 5.程序运行痕迹
6.软件安装痕迹
7.应用程序访问记录 8.文件元数据
第五部分：时间和行为-互联网痕迹
1. 电子邮件客户端
2. 百度云盘的痕迹
3.分析百度云盘的数据库，使用时间解码工具
4.浏览器历史记录 5.远程登录痕迹
第六部分：时间和行为-注册表痕迹
1.注册表分析概述 2.系统信息
3.用户信息
4.访问过的文件
5.访问过的目录
6.使用过的 USB 设备 7.账户和密码
第七部分：时间和行为-日志
1.从恶意代码入侵，看日志分析 2.Windows Defender 日志
3.Security 日志：恶意登录行为 4.连接过的 USB 设备
5.外连的恶意网址
3.2 苹果计算机取证分析实战
学习、掌握苹果计算机的取证和分析方法，应首先对苹果计算机有一个整体、全面的了解， 要知道苹果计算机和常用的Windows 计算机有哪些不同？这些不同之处对取证分析有哪些 影响。只有全面了解了苹果计算机和 macOS 操作系统，才能采用正确的方法，使用正确的工 具完成对苹果计算机的取证和分析，得到全面地分析结果。
第一部分：苹果计算机概述
1. 苹果家族、苹果设备类型，苹果计算机发展历史
2. 苹果 MacOS 操作系统
3. 苹果存储设备类型
第二部分：苹果计算机勘验
1. 苹果计算机-关机状态
2. T2 加密和 FileVault
3. 苹果计算机-运行状态
4. 连接中的加密存储设备
第三部分：苹果系统数据格式和存储位置
1. 苹果计算机-关机状态
2. 目录结构
3. 办公软件和文件格式
4. MacOS APP：邮件
5. MacOS APP：照片
6. MacOS APP：iMoive
7. MacOS 三种虚拟机
8. 连接过的移动终端、
9. iCloud 取证、钥匙圈和 FileVault 破解
第四部分：数据删除和废纸篓
1. 数据删除时发生了什么？
2. 什么时间，删除过什么？
3. 什么是.DB_Store，X-Ways 解析结果
4. 学习使用 Python 脚本解析.DB_Store
第五部分：时间和行为
1. 可以相信创建时间吗？添加时间和上次打开时间
2. MacOS 时间规则总结，最近打开的文件和程序
3. 最近访问的服务器
4. 最近加载的磁盘
5. 学习使用 Python 脚本解析时间和行为
3.3 Linux 取证分析实战
基于《Linux 取证分析实战》一书，帮助具有一定取证能力的专业人士拓展能力，理解Linux 下的证据位置、 日志和分析工具。
1. Linux 取证概述
2. Linux 概述
3. 存储介质和文件系统中的证据
4. Linux 目录结构和文件分析
5. Linux 日志调查取证
6. 重构系统引导和初始化步骤
7. 安装了哪些软件
8. 网络痕迹分析
9. 时间和位置分析
10. 重构用户桌面和登录行为
11. 连接过的设备
3.4 手机取证分析
1. 功能机数据取证
2. iOS 手机数据取证
3. 安卓手机数据取证
4. 密码破解与权限获取
5. 基于 ADB 的逻辑数据提取
6. 基于漏洞的全镜像数据获取
7. 基于生产模式的几种镜像数据获取
8. 电话本、短信、通话记录数据库解密与恢复
9. QQ 数据库解密与恢复
10. 微信数据库解密与恢复
CISAW电子数据取证方向报名：13391509126（马老师）
