RetrievIR：专为事件响应设计的Windows设备安全取证收集工具

git clone https://github.com/joeavanzato/RetrievIR.git

.RetrievIR.ps1 : 默认用法-将'configs'目录中JSON中指定的所有工件从本地主机收集到当前目录中；.RetrievIR.ps1 -tags sans_triage : 捕获KAPE中sans triage包中描述的大多数工件；.RetrievIR.ps1 -targets HOSTNAME1,HOSTNAME2 : 对提供的主机名运行RetrievIR；.RetrievIR.ps1 -target_file C:targets.txt : 对指定文本文件中存在的以行分隔的目标运行RetrievIR；.RetrievIR.ps1 -creds : 告诉RetrievIR提示用户输入要使用的凭据-默认情况下，RetreivIR与当前用户上下文一起运行；.RetrievIR.ps1 -evidence_dir C:evidence : 告诉RetrievIR将收集到的证据存储在哪里-默认情况下，证据将存储在PSScriptRootevidence中；.RetrievIR.ps1 -config C:my_config.json : 指定要使用的自定义配置文件的路径-默认情况下，RetrievIR将在PSScriptRoot（当前执行目录）的“configs”目录中查找所有json文件；.RetrievIR.ps1 -config C:RetrievIRConfigs : 指定包含1个或多个要使用的客户配置JSON的目录的路径-默认情况下，RetrievI将在PSScriptRoot（当前执行目录）的“configs”目录中查找所有JSON文件；.RetrievIR.ps1 -categories antivirus,recentfiles : 只有类型在提供的值范围内时才进行取证数据收集；.RetrievIR.ps1 -categoryscan : 列出提供的配置文件中的所有类别；.RetrievIR.ps1 -tags sans_triage : 当指令中提供了参数标签时，仅收集对应类型的取证数据；.RetrievIR.ps1 -tagscan : 列出提供的配置文件中的所有选项参数；.RetrievIR.ps1 -simulate : 告诉RetrievIR跳过证据收集，仅确定收集的文件数和数据的总大小；

.ParseIR.ps1 -evidence_dir : 收集到的证据目录的路径-默认为$PSScriptRootevidence；.ParseIR.ps1 -parsed_evidence_dir : 解析后的证据应存储在何处-默认为$PSScriptRootparsed_evident；.ParseIR.ps1 -config example.json : 在哪里可以找到解析配置文件-默认为$PSScriptRootparsing_config.json；.ParseIR.ps1 -ignoremissing : 告诉ParseIR忽略检测到的丢失依赖项；.ParseIR.ps1 -utilities_dir : 告诉ParseIR存储/定位第三方依赖项的位置；