Quel est le parcours d'Eric Zimmerman ?

Ancien agent spécial du FBI spécialisé dans la forensique numérique. Après avoir quitté le FBI, il a rejoint Kroll, où il occupe actuellement le poste de Senior Director of Cybersecurity, dirigeant l'outillage et la méthodologie de réponse à incident du cabinet.

Où puis-je trouver les outils d'Eric Zimmerman ?

https://ericzimmerman.github.io est la page d'accueil canonique. Le script d'installeur Get-ZimmermanTools.ps1 télécharge la suite complète dans un répertoire et la maintient à jour. Voir le guide de téléchargement AmcacheParser pour les patterns d'installation.

Eric Zimmerman enseigne-t-il des cours sur ses outils ?

Oui. Eric enseigne SANS FOR498 (Battlefield Forensics & Data Acquisition) et contribue à SANS FOR500 (Windows Forensic Analysis). Le cursus SANS DFIR fait un usage extensif de son kit d'outils.

AmcacheParser est-il officiellement supporté par Microsoft ?

Non. AmcacheParser est un outillage DFIR open-source indépendant. Microsoft ne documente ni ne supporte officiellement les internals d'Amcache.hve ; la connaissance du schéma qu'AmcacheParser encode a été reverse-engineerée par la communauté DFIR au fil de nombreuses années.

Quelle a été la première version d'AmcacheParser ?

Eric a commencé à publier ses outils Zimmerman vers 2014, AmcacheParser suivant à mesure que le schéma Amcache se stabilisait sur Windows 8 et mûrissait à travers Windows 10. Le schéma Inventory* moderne (Windows 10 build 1709, 2017) est ce que ciblent principalement les builds AmcacheParser actuels.

Qui a créé AmcacheParser ?

AmcacheParser a été créé par Eric Zimmerman, ancien agent spécial du FBI et actuel Senior Director chez Kroll. Il le maintient dans le cadre de sa suite d'outils DFIR gratuite et open-source publiée à ericzimmerman.github.io.

Eric publie des outils forensiques depuis plus d'une décennie. Sa suite — généralement appelée les « outils Zimmerman » ou « Get-ZimmermanTools » — est le kit d'outils DFIR Windows de facto standard.

Parcours d'Eric Zimmerman#

Ancien agent spécial du FBI spécialisé dans la forensique numérique.
Actuellement Senior Director chez Kroll, où il dirige l'outillage pour la pratique de réponse à incident du cabinet.
Instructeur SANS pour FOR498 (Battlefield Forensics) et contributeur à FOR500 (Windows Forensic Analysis). Le cursus SANS DFIR fait un usage extensif de son kit d'outils.
Auteur de nombreuses contributions à la communauté DFIR incluant articles de blog, présentations en conférence et maintenance d'EZTools.

La suite d'outils Zimmerman#

AmcacheParser est l'un d'une douzaine d'outils qu'Eric maintient :

Outil	Parse
AmcacheParser	`Amcache.hve`
MFTECmd	`$MFT`, `$LogFile`, `$J`, `$Boot`, `$SDS`
RECmd	Toute ruche du registre (processeur batch)
RBCmd	Corbeille (fichiers `$I*`)
PECmd	Windows Prefetch
EvtxECmd	Journaux d'événements Windows (`.evtx`)
JLECmd	Jump Lists
LECmd	Fichiers LNK Windows
SBECmd	Shellbags
AppCompatCacheParser	ShimCache
SrumECmd	SRUM (`SRUDB.dat`)

Tous sous licence MIT. Tous gratuits pour usage commercial. Tous produisent du CSV structuré qui se charge proprement dans l'Timeline Explorer GUI compagnon d'Eric. Ce site n'en héberge aucun. Pour examiner les artefacts voisins sans rien installer, il existe des outils indépendants dans le navigateur, comme un parser Shimcache et un parser Prefetch, qui ne sont pas non plus l'œuvre d'Eric.

Comment installer la suite#

Utilisez l'installeur officiel Get-ZimmermanTools.ps1 :

mkdir C:\Tools\ZTools
cd    C:\Tools\ZTools
Invoke-WebRequest `
  -Uri 'https://raw.githubusercontent.com/EricZimmerman/Get-ZimmermanTools/master/Get-ZimmermanTools.ps1' `
  -OutFile Get-ZimmermanTools.ps1
.\Get-ZimmermanTools.ps1 -Dest C:\Tools\ZTools -NetVersion 6

Cela télécharge la suite entière, y compris AmcacheParser, dans C:\Tools\ZTools. Réexécutez périodiquement pour rester à jour. Pour les patterns de vérification et la configuration de miroirs, voir le guide de téléchargement AmcacheParser.

Ce site (amcacheparser.com) est-il celui d'Eric ?#

Non. Le parser basé sur navigateur hébergé à amcacheparser.com est un projet indépendant. C'est une réimplémentation dans le navigateur du chemin de lecture Amcache en Rust + WebAssembly, conçue pour le triage et l'éducation. Il n'est pas affilié à Eric ou Kroll.

Nous créditons Eric tout au long de la documentation parce que son travail sur l'AmcacheParser.exe original et sa publication de la connaissance du schéma Amcache sont ce qui a rendu tout cela possible.

Voir aussi#

Guide complet AmcacheParser — la référence canonique de l'outil.
AmcacheParser est-il gratuit ?
Guide de téléchargement AmcacheParser