Basic Forensic Methodology
最后更新于
最后更新于
这不一定是在获得镜像后执行的第一步。但是，如果您有文件、文件系统镜像、内存镜像、pcap等，您可以独立使用这些恶意软件分析技术，因此记住这些操作是很有用的：
如果您获得了设备的取证镜像，您可以开始分析分区、使用的文件系统并恢复可能有趣的文件（甚至是已删除的文件）。在以下位置了解如何操作：
根据使用的操作系统甚至平台，应搜索不同的有趣的证据：
如果您有一个非常可疑的文件，那么根据文件类型和创建它的软件，可能会有几种技巧很有用。 阅读以下页面以了解一些有趣的技巧：
我想特别提到页面：
请记住可能使用反取证技术：