Laboratory for IT security administrator簡易フォレンジックに必要となるエビデンスを自動収集するスクリプトを作成しました。USBメモリ等に、必要なツール（※１）と一緒に格納したうえで利用します。
（※１）各自で別途ダウンロードしていただく必要があります。詳細はREADMEをご参照ください。
本スクリプトを格納したUSBメモリ等を調査対象コンピューターに接続し、本スクリプトを実行すると、USBメモリ等にエビデンスがコピーされます。
WindowsXP、Windows7、Windows10（1709）において動作することを確認しておりますが、不具合等がありましたら情報提供いただけると助かります。
ForensicScript.zip (7.54KB)簡易操作手順書（ForensicScript_manual_v20180605_B0.2.docx） (22.7KB)
証拠保全スクリプトで自動収集するエビデンス
本スクリプトでは、以下のエビデンスを自動収集できます。
- $MFTおよびUsnJrnl:$J
- イベントログファイル
- Prefetchファイル
- レジストリファイル
- 各ユーザーのNTUSER.DAT、Recentフォルダ、IEの閲覧履歴ファイル
- setupapi.log(XP)、setupapi.dev.log(Win7)
- 各種コマンド実行結果
事前準備
１．本スクリプトから実行されるツールをダウンロード
本スクリプトから実行される以下のツールをダウンロードします。
- RawCopy.exe および RawCopy64.exe (ver.1.0.0.21)
https://github.com/jschicht/RawCopy - ExtractUsnJrnl.exe (ver.1.0.0.5 ※1)
https://github.com/jschicht/ExtractUsnJrnl/files/1334851/ExtractUsnJrnl.zip - ExtractUsnJrnl64.exe (ver.1.0.0.4)
https://github.com/jschicht/ExtractUsnJrnl - autorunsc.exe (ver.13.82.0.0)
https://technet.microsoft.com/ja-jp/sysinternals/bb963902.aspx - handle.exe (ver.3.51.0.0 ※2)
https://technet.microsoft.com/ja-jp/sysinternals/handle - Listdlls.exe (ver.3.20.0.0)
https://technet.microsoft.com/ja-jp/sysinternals/bb896656 - logonsessions.exe (ver.1.4.0.0)
https://technet.microsoft.com/ja-jp/sysinternals/logonsessions - psfile.exe, PsInfo.exe, pslist.exe, PsLoggedon.exe
https://technet.microsoft.com/ja-jp/sysinternals/psfile - Tcpvcon.exe (ver.3.01.0.0)
※2 WindowsXP環境において、handleの最新版であるver.4.11.0.0を実行時にエラーが発生したため、旧バージョンを利用します。旧バージョンを用意できない場合、XP用スクリプトからhandleを削除してください。
２．USBメモリ等にスクリプト、ツール等を配置
USBメモリ等に、以下のフォルダ構成で、スクリプトならびに上記１．の手順でダウンロードしたツールを配置します。
ルートフォルダ
├ ir-win7.vbs ・・・ エビデンス取得スクリプト（Windows7版）
├ ir-winxp.vbs ・・・ エビデンス取得スクリプト（WindowsXP版）
├ evidence ・・・ スクリプトで取得したエビデンスが保管されるフォルダ
└ tools
└cmdTools ・・・ダウンロードしたツールをこのフォルダ内に配置
├ ir-win7.vbs ・・・ エビデンス取得スクリプト（Windows7版）
├ ir-winxp.vbs ・・・ エビデンス取得スクリプト（WindowsXP版）
├ evidence ・・・ スクリプトで取得したエビデンスが保管されるフォルダ
└ tools
└cmdTools ・・・ダウンロードしたツールをこのフォルダ内に配置
証拠保全スクリプトの使い方
(1)管理者権限でログオンした状態で、スクリプト「ir-win7.vbs」または「ir-winxp.vbs」をダブルクリックして起動します。
(2)実行確認のメッセージボックスが表示されたら、「はい」をクリックすると、処理が開始されます。
なお、Windows7の場合は、ユーザーアクセス制御（UAC）の確認メッセージが表示されるため「はい」をクリックする。
(3)エビデンスは，「evidence」フォルダ内の「コンピュータ名_年月日時分秒」フォルダに保存されます。
また，同フォルダには「log.txt」が作成され，処理開始日時・処理終了日時が記録されます。
本スクリプトの実行を試してみたところ、以下のエラーが発生しました。
原因として考えられることはありますでしょうか。
実行環境はWindows10Pro(ver1909)です
＝＝＝
行：206
文字：1
エラー：この操作はユーザーによって取り消されました
コード：800704C7
ソース：(null)
RawCopy.exeが1.0.0.22だと発生する事象のようでした。
1.0.0.21に差し替えたところ動作しました。
https://imgur.com/kkCZAvK
https://imgur.com/yslARp3
https://imgur.com/7lW5ejh
https://imgur.com/mrTrWlo
https://imgur.com/wyN9S2Q
https://imgur.com/QJRmEHf
https://imgur.com/kBsSSWq
https://imgur.com/PFC2yDx
https://imgur.com/JhHVro7
https://imgur.com/acopwym
https://imgur.com/yc08PBR
https://imgur.com/L6P86Jx
https://imgur.com/0zwTSwv
https://imgur.com/0rwdxhE
https://imgur.com/5DmOCwV
https://imgur.com/VqCRwHu
https://imgur.com/cTVlVCM
https://imgur.com/jB0DBM4
https://imgur.com/ybTrBER
https://imgur.com/y6UzoR7
https://imgur.com/p4Yb3Ho
https://imgur.com/OQgquik
https://imgur.com/VfDPw6k
https://imgur.com/hlqsW5D
https://imgur.com/IcLcjYx
https://imgur.com/O1Ybjms
https://imgur.com/6yuR4HQ
https://imgur.com/siW2oTe
https://imgur.com/oquHlPC
https://imgur.com/HW3JfeE
https://imgur.com/5HVDIql