Anthropic-Cybersecurity-Skills 實戰(zhàn)Windows USB 設備連接歷史取證分析指南【免費下載鏈接】Anthropic-Cybersecurity-Skills817 structured cybersecurity skills for AI agents · Mapped to 6 frameworks: MITRE ATTCK, NIST CSF 2.0, MITRE ATLAS, D3FEND, NIST AI RMF MITRE F3 (Fight Fraud) · agentskills.io standard · Works with Claude Code, GitHub Copilot, Codex CLI, Cursor, Gemini CLI 20 platforms · 29 security domains · Apache 2.0項目地址: https://gitcode.com/GitHub_Trending/an/Anthropic-Cybersecurity-Skills本文是 Anthropic-Cybersecurity-Skills 倉庫中analyzing-usb-device-connection-history技能Skill的深度實戰(zhàn)指南。該技能屬于數(shù)字取證Digital Forensics子域聚焦于通過關聯(lián) Windows 注冊表鍵USBSTOR、MountedDevices、MountPoints2、事件日志System、Security、DriverFrameworks-UserMode與setupapi.dev.log完整重建 USB 設備的連接歷史、首次/末次插入時間戳與盤符映射。讀完本文后你將掌握一套可直接落地的手工取證工作流以及基于本倉庫 agent.py 的自動化解析能力可應用于可移動介質數(shù)據(jù)泄露調(diào)查、內(nèi)部威脅追蹤、合規(guī)審計與設備溯源場景。何時使用本技能根據(jù) SKILL.md 的定位本技能在以下場景中價值最高調(diào)查經(jīng)由可移動存儲設備U 盤、移動硬盤實施的數(shù)據(jù)泄露Exfiltration事件內(nèi)部威脅調(diào)查中追蹤特定用戶的 USB 設備使用情況合規(guī)審計中驗證可移動介質管控策略removable media policy是否得到執(zhí)行將 USB 連接事件與文件訪問、復制事件進行關聯(lián)取證在應急響應中建立完整的設備連接時間線。在 MITRE ATTCK 視角下本技能覆蓋了T1052.001Exfiltration Over Physical Medium: Exfiltration over USB、T1025Data from Removable Media、T1091Replication Through Removable Media、T1005Data from Local System與T1074.001Data Staged: Local Data Staging在 NIST CSF 2.0 上對應RS.AN-03、DE.AE-02、RS.MA-01見 SKILL.md 的 frontmatter 與倉庫 ATTACK_COVERAGE.md 的技術映射體系。前置條件取證鏡像forensic image或已提取的注冊表配置單元hives與事件日志可訪問SYSTEM、SOFTWARE、NTUSER.DAT注冊表配置單元SetupAPI 日志setupapi.dev.log用于首次連接時間戳Windows 事件日志System、Security、DriverFrameworks-UserMode工具USBDeview、USB Forensic Tracker、RegRipper理解 USB 設備標識體系VIDVendor ID、PIDProduct ID、序列號serial number。取證工作流總覽完整的分析流程分為五個步驟前四步分別從不同證據(jù)源提取信息第五步匯總為統(tǒng)一時間線提取 USB 相關取證產(chǎn)物掛載鏡像、拷貝配置單元/日志解析USBSTOR注冊表鍵設備清單與末次連接時間提取MountedDevices盤符映射與MountPoints2用戶關聯(lián)從setupapi.dev.log與事件日志提取首次連接時間戳匯總構建 USB 活動時間線并輸出報告。提示完整操作應始終在取證鏡像的只讀副本上進行本技能提供的工作流以mount -o ro,loop只讀掛載為起點。Step 1提取 USB 相關取證產(chǎn)物對取證鏡像進行只讀掛載后將關鍵證據(jù)文件拷貝到案件工作目錄。掛載時需根據(jù)鏡像的分區(qū)起始扇區(qū)計算偏移示例中為2048*512即標準 1 MiB 對齊# Mount forensic image and copy relevant artifacts mount -o ro,loop,offset$((2048*512)) /cases/case-2024-001/images/evidence.dd /mnt/evidence mkdir -p /cases/case-2024-001/usb/ # Registry hives cp /mnt/evidence/Windows/System32/config/SYSTEM /cases/case-2024-001/usb/ cp /mnt/evidence/Windows/System32/config/SOFTWARE /cases/case-2024-001/usb/ cp /mnt/evidence/Users/*/NTUSER.DAT /cases/case-2024-001/usb/ # SetupAPI logs (first connection timestamps) cp /mnt/evidence/Windows/INF/setupapi.dev.log /cases/case-2024-001/usb/ # Event logs cp /mnt/evidence/Windows/System32/winevt/Logs/System.evtx /cases/case-2024-001/usb/ cp /mnt/evidence/Windows/System32/winevt/Logs/Microsoft-Windows-DriverFrameworks-UserMode%4Operational.evtx \ /cases/case-2024-001/usb/ 2/dev/null cp /mnt/evidence/Windows/System32/winevt/Logs/Microsoft-Windows-Partition%4Diagnostic.evtx \ /cases/case-2024-001/usb/ 2/dev/null本技能原文檔 SKILL.md 中明確說明事件日志的Microsoft-Windows-DriverFrameworks-UserMode%4Operational.evtx與Microsoft-Windows-Partition%4Diagnostic.evtx路徑在部分系統(tǒng)中不存在拷貝命令后附加了2/dev/null以容忍缺失這保證了工作流在差異化 Windows 環(huán)境中的健壯性。Step 2解析 USBSTOR 注冊表鍵USBSTOR是 SYSTEM 配置單元中存儲 USB 大容量存儲設備標識與連接數(shù)據(jù)的核心鍵。其枚舉路徑結構為ControlSet00X\Enum\USBSTOR\DiskVen_廠商Prod_產(chǎn)品Rev_修訂\序列號注意必須先讀取Select鍵中的Current值確定當前 ControlSet通常是 ControlSet001否則可能解析到非活動配置單元。使用python-registryRegistry模塊解析的完整腳本如下python3 PYEOF from Registry import Registry import json reg Registry.Registry(/cases/case-2024-001/usb/SYSTEM) # Find current ControlSet select reg.open(Select) current select.value(Current).value() controlset fControlSet{current:03d} # Parse USBSTOR usbstor_path f{controlset}\\Enum\\USBSTOR usbstor reg.open(usbstor_path) devices [] print( USBSTOR DEVICES \n) for device_class in usbstor.subkeys(): # Format: DiskVen_VENDORProd_PRODUCTRev_REVISION class_name device_class.name() parts class_name.split() vendor parts[1].replace(Ven_, ) if len(parts) 1 else Unknown product parts[2].replace(Prod_, ) if len(parts) 2 else Unknown revision parts[3].replace(Rev_, ) if len(parts) 3 else Unknown for instance in device_class.subkeys(): serial instance.name() last_write instance.timestamp() device_info { vendor: vendor, product: product, revision: revision, serial: serial, last_connected: str(last_write), } # Get friendly name if available try: friendly instance.value(FriendlyName).value() device_info[friendly_name] friendly except: pass # Get device parameters try: params instance.subkey(Device Parameters) try: device_info[class_guid] params.value(ClassGUID).value() except: pass except: pass devices.append(device_info) print(fDevice: {vendor} {product}) print(f Serial: {serial}) print(f Last Connected: {last_write}) print(f Friendly Name: {device_info.get(friendly_name, N/A)}) print() # Save results with open(/cases/case-2024-001/analysis/usb_devices.json, w) as f: json.dump(devices, f, indent2) print(f\nTotal USB storage devices found: {len(devices)}) PYEOF關鍵點設備類名解析DiskVen_KingstonProd_DataTraveler_3.0Rev_PMAP這類名稱按拆分后分別對應廠商、產(chǎn)品、修訂號末次連接時間取自實例鍵的最后寫入時間戳instance.timestamp()這是 USBSTOR 能提供的末次連接證據(jù)FriendlyName人類可讀的設備名稱用于與采購/白名單記錄比對ClassGUID位于Device Parameters子鍵用于進一步歸類設備。倉庫中的 agent.py第 12-42 行parse_usbstor將該邏輯封裝為可復用函數(shù)且改用regipy庫實現(xiàn)同樣的遍歷RegistryHive打開 SYSTEM →Select鍵讀取Current→iter_subkeys()遍歷設備類與實例 → 從instance.header.last_modified獲取末次連接時間戳?？梢娫臋n的解析思路與倉庫參考實現(xiàn)api-reference.md 中的 regipy 示例完全一致僅是庫 API 不同。Step 3提取盤符映射與用戶關聯(lián)USBSTOR 只告訴我們什么設備被插過還需回答插到哪個盤符和哪個用戶用過。這一步分別由MountedDevices與MountPoints2承擔。MountedDevices盤符到設備的映射python3 PYEOF from Registry import Registry import struct reg Registry.Registry(/cases/case-2024-001/usb/SYSTEM) mounted reg.open(MountedDevices) print( MOUNTED DEVICES (Drive Letter Assignments) \n) for value in mounted.values(): name value.name() data value.value() if name.startswith(\\DosDevices\\): drive_letter name.replace(\\DosDevices\\, ) if len(data) 24: # USB device - contains device path string try: device_path data.decode(utf-16-le).strip(\x00) if USBSTOR in device_path or USB# in device_path: print(f {drive_letter} - {device_path}) except: pass else: # Fixed disk - contains disk signature offset disk_sig struct.unpack(I, data[0:4])[0] offset struct.unpack(Q, data[4:12])[0] print(f {drive_letter} - Disk Signature: 0x{disk_sig:08X}, Offset: {offset}) PYEOF解析要點值名\DosDevices\E:中的盤符即設備掛載盤符數(shù)據(jù)長度 24 字節(jié)的值通常是 USB 設備其內(nèi)容為 UTF-16LE 編碼的設備路徑字符串可通過包含USBSTOR或USB#判定為 USB 設備長度 ≤ 24 字節(jié)的值對應固定磁盤內(nèi)容是 4 字節(jié)磁盤簽名 8 字節(jié)分區(qū)偏移因此需要struct.unpack按I與Q解包。MountPoints2哪個用戶訪問了哪些卷python3 PYEOF from Registry import Registry import os, glob print(\n USER MOUNT POINTS (MountPoints2) \n) for ntuser in glob.glob(/cases/case-2024-001/usb/NTUSER*.DAT): try: reg Registry.Registry(ntuser) mp2 reg.open(Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\MountPoints2) print(fUser hive: {os.path.basename(ntuser)}) for key in mp2.subkeys(): guid key.name() last_write key.timestamp() if { in guid: print(f Volume: {guid} | Last accessed: {last_write}) print() except Exception as e: print(f Error parsing {ntuser}: {e}) PYEOF由于 MountPoints2 位于每個用戶各自的NTUSER.DAT中腳本通過glob遍歷所有用戶配置單元從而建立設備卷 GUID → 用戶 → 訪問時間的關聯(lián)。這正是將設備與具體嫌疑人用戶關聯(lián)起來的關鍵證據(jù)鏈。倉庫參考文檔 api-reference.md 匯總了本技能涉及的四個核心注冊表路徑可作為手工分析的速查表路徑配置單元說明ControlSet00X\Enum\USBSTORSYSTEMUSB 大容量存儲設備標識符MountedDevicesSYSTEM盤符到設備的映射ControlSet00X\Enum\USBSYSTEM所有 USB 設備不限于存儲Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2NTUSER.DAT按用戶的卷訪問歷史Step 4提取首次連接時間戳USBSTOR 只提供末次連接時間首次連接時間需要從 SetupAPI 日志與事件日志中獲取。SetupAPI首次安裝時間python3 PYEOF import re print( SETUPAPI USB DEVICE INSTALLATIONS \n) with open(/cases/case-2024-001/usb/setupapi.dev.log, r, errorsignore) as f: content f.read() # Find USB device installation sections pattern r\s\[Device Install.*?\n.*?Section start (\d{4}/\d{2}/\d{2} \d{2}:\d{2}:\d{2}).*?\n(.*?) matches re.findall(pattern, content, re.DOTALL) usb_installs [] for timestamp, section in matches: if USBSTOR in section or USB\\VID in section: # Extract device ID dev_match re.search(r(USBSTOR\\[^\s]|USB\\VID_\wPID_\w[^\s]*), section) if dev_match: device_id dev_match.group(1) usb_installs.append({ first_install: timestamp, device_id: device_id }) print(f {timestamp} | {device_id}) print(f\nTotal USB installations found: {len(usb_installs)}) PYEOF正則邏輯說明匹配 [Device Install ...] Section start 時間戳 ... 格式的安裝段再在段內(nèi)查找USBSTOR\...或USB\VID_...PID_...設備 ID從而得到該設備首次被系統(tǒng)識別并安裝驅動的時間。事件日志連接/拔出事件python3 PYEOF import json from evtx import PyEvtxParser try: parser PyEvtxParser(/cases/case-2024-001/usb/System.evtx) print(\n SYSTEM EVENT LOG USB EVENTS \n) for record in parser.records_json(): data json.loads(record[data]) event_id str(data[Event][System][EventID]) # USB device connection events if event_id in (20001, 20003, 10000, 10100): timestamp data[Event][System][TimeCreated][#attributes][SystemTime] event_data data[Event].get(UserData, data[Event].get(EventData, {})) print(f [{timestamp}] EventID {event_id}: {json.dumps(event_data, defaultstr)[:200]}) except Exception as e: print(fError: {e}) PYEOF需要關注的事件 ID 匯總本技能原文檔明確列出事件源事件 ID含義DriverFrameworks-UserMode2003、2010、2100、2102USB 設備驅動安裝/啟停相關Security6416識別到新的外部設備外接設備審計System20001、20003、10000、10100USB 插拔相關連接事件結合倉庫 agent.py 中的parse_setupapi_log第 85-100 行可見自動化實現(xiàn)使用了相同的正則模式\s\[Device Install...與Section start說明該正則模式在倉庫實現(xiàn)中已被驗證為有效。這樣手工腳本與倉庫 Agent 代碼形成互相印證讀者可以放心復用。Step 5構建 USB 活動時間線與報告將前四步證據(jù)匯總為統(tǒng)一時間線輸出 CSV 供后續(xù)分析工具如 Excel、Splunk、Timesketch使用python3 PYEOF import json, csv timeline [] # Load USBSTOR data with open(/cases/case-2024-001/analysis/usb_devices.json) as f: devices json.load(f) for device in devices: timeline.append({ timestamp: device[last_connected], source: USBSTOR Registry, device: f{device[vendor]} {device[product]}, serial: device[serial], event: Last Connected, detail: device.get(friendly_name, ) }) # Sort chronologically timeline.sort(keylambda x: x[timestamp]) # Write timeline CSV with open(/cases/case-2024-001/analysis/usb_timeline.csv, w, newline) as f: writer csv.DictWriter(f, fieldnames[timestamp, source, device, serial, event, detail]) writer.writeheader() writer.writerows(timeline) print(fUSB Timeline: {len(timeline)} events written to usb_timeline.csv) # Print summary print(\n USB DEVICE SUMMARY ) for entry in timeline: print(f {entry[timestamp]} | {entry[device]} | {entry[serial][:20]} | {entry[event]}) PYEOF倉庫 agent.py 的build_timeline第 103-125 行在手工腳本基礎上做了增強同時把 USBSTOR 的Last Connected事件與 MountPoints2 的Volume Accessed事件合并進同一條時間線并按時間戳排序后通過export_timeline_csv第 128-135 行導出。該 Agent 的 CLI 用法為python3 agent.py \ --system-hive /cases/case-2024-001/usb/SYSTEM \ --ntuser /cases/case-2024-001/usb/NTUSER.DAT \ --setupapi-log /cases/case-2024-001/usb/setupapi.dev.log \ --output-dir ./usb_analysis \ --case-id CASE-2024-001從main()第 138-178 行可以看到參數(shù)約定--system-hive為必填--ntuser、--setupapi-log可選輸出包含設備清單、盤符映射、時間線事件數(shù)以及一份 JSON 報告。這種手工腳本 可復用 Agent的組合正是本技能設計的意圖——先用文檔理解原理再用 Agent 自動化重復勞動。關鍵概念速查概念說明USBSTOR存儲 USB 大容量存儲設備標識與連接數(shù)據(jù)的注冊表鍵VID/PID唯一標識 USB 設備廠商與型號的廠商 ID 與產(chǎn)品 ID設備序列號單個 USB 設備的唯一標識注意部分設備共享序列號MountedDevices將卷 GUID 與盤符映射到物理設備的注冊表鍵MountPoints2按用戶記錄卷訪問歷史的注冊表鍵SetupAPI 日志記錄設備首次連接驅動安裝時間的 Windows 驅動安裝日志DeviceContainersSOFTWARE 配置單元中攜帶設備元數(shù)據(jù)與時間戳的注冊表鍵EMDMgmt追蹤 ReadyBoost 兼容設備含序列號與時間戳的注冊表鍵其中DeviceContainers與EMDMgmt位于SOFTWARE配置單元可作為 USBSTOR 之外的時間戳佐證源詳見 api-reference.md。工具與系統(tǒng)工具用途USB Forensic Tracker專門的 USB 設備歷史提取工具USBDeviewNirSoft 出品列出系統(tǒng)連接過的所有 USB 設備RegRipperusbstor 插件從注冊表配置單元自動提取 USB 產(chǎn)物Registry Explorer交互式分析 USB 相關注冊表鍵KAPE自動化收集 USB 相關取證產(chǎn)物Plaso/log2timeline構建包含 USB 連接事件的完整時間線FTK Imager取證成像含可移動介質Velociraptor端點 Agent內(nèi)置 USB 設備歷史狩獵產(chǎn)物常見實戰(zhàn)場景場景 1離職員工數(shù)據(jù)泄露提取 USBSTOR 條目識別所有連接過的 USB 設備用設備序列號關聯(lián) MountPoints2 確認具體用戶訪問將時間戳與文件訪問日志、Jump List 最近文件交叉比對在 USN Journal 中查找大規(guī)模文件復制特征。場景 2安全系統(tǒng)上出現(xiàn)未授權設備將所有 USBSTOR 條目與公司白名單設備清單比對通過 VID/PID 識別未獲企業(yè)批準的硬件確定未授權設備的首次與末次連接時間核查是否發(fā)生了數(shù)據(jù)傳輸。場景 3經(jīng) USB 傳播的惡意軟件找出惡意軟件執(zhí)行Prefetch 時間戳之前剛剛插入的 USB 設備提取設備序列號與廠商信息檢查該設備的 autorun 是否被啟用在 Prefetch 與 ShimCache 中查找從可移動盤符啟動的可執(zhí)行文件痕跡。場景 4跨多臺系統(tǒng)追蹤同一 U 盤在所有取證鏡像的 USBSTOR 中搜索同一序列號繪制該 U 盤在各系統(tǒng)的連接時間地圖還原設備在組織內(nèi)的移動路徑與網(wǎng)絡共享訪問日志關聯(lián)。報告輸出格式本技能給出了標準的取證報告輸出模板節(jié)選USB Device History Analysis: System: DESKTOP-ABC123 (Windows 10 Pro) Total USB Storage Devices: 12 Analysis Sources: USBSTOR, MountedDevices, MountPoints2, SetupAPI, Event Logs Device Inventory: 1. Kingston DataTraveler 3.0 (Serial: 0019E06B4521A2B0) First Connected: 2024-01-10 09:15:32 (SetupAPI) Last Connected: 2024-01-18 14:30:00 (USBSTOR) Drive Letter: E: User Access: suspect_user (MountPoints2) 2. WD My Passport (Serial: 575834314131363035) First Connected: 2024-01-15 20:00:00 Last Connected: 2024-01-15 23:45:00 Drive Letter: F: User Access: suspect_user Suspicious Findings: - Kingston drive connected 15 times during investigation period - WD Passport connected only once, late evening (unusual hours) - Unknown device (VID_1234PID_5678) connected 2024-01-17, no matching approved device Timeline: /cases/case-2024-001/analysis/usb_timeline.csv報告中 Suspicious Findings 段落的價值在于將證據(jù)轉化為可操作的調(diào)查線索——連接頻次異常、非工作時間插入、無法匹配白名單的未知設備都是需要進一步深挖的切入點。局限性與注意事項USBSTOR 只記錄末次連接它不提供每次插入的歷史記錄完整連接歷史必須依賴事件日志2003/20001 等與 SetupAPI 日志共享序列號問題部分廠商尤其是廉價 U 盤會讓多個設備共用同一序列號此時無法通過序列號唯一區(qū)分物理設備需結合 VID/PID 與體積特征日志留存窗口System 事件日志與 DriverFrameworks-UserMode 日志受日志大小與輪轉策略影響可能無法覆蓋全部歷史需與注冊表證據(jù)互為補充僅限授權取證本技能及倉庫整體明確要求僅在擁有授權或書面許可的系統(tǒng)上進行取證分析遵守適用的法律與交戰(zhàn)規(guī)則見 README.md 的使用聲明與 SECURITY.md。延伸閱讀技能正文SKILL.md參考 API 文檔regipy / python-evtx 用法api-reference.md自動化 Agent 腳本scripts/agent.py框架映射說明mappings/README.mdATTCK 覆蓋總覽ATTACK_COVERAGE.md【免費下載鏈接】Anthropic-Cybersecurity-Skills817 structured cybersecurity skills for AI agents · Mapped to 6 frameworks: MITRE ATTCK, NIST CSF 2.0, MITRE ATLAS, D3FEND, NIST AI RMF MITRE F3 (Fight Fraud) · agentskills.io standard · Works with Claude Code, GitHub Copilot, Codex CLI, Cursor, Gemini CLI 20 platforms · 29 security domains · Apache 2.0項目地址: https://gitcode.com/GitHub_Trending/an/Anthropic-Cybersecurity-Skills創(chuàng)作聲明：本文部分內(nèi)容由AI輔助生成（AIGC），僅供參考