Appendix: Supported Artifacts
The app supports the extraction and analysis of 123 artifacts across Windows and Linux. Loading an evidence ZIP decides what each file inside it is, and runs the extraction rules attached to that evidence automatically.
What is listed here is what gets extracted with no configuration at all. A format that is not on the list can be added under Administration → Evidence types and Administration → Artifact extraction rules; there is more on both in Administration.
Note
The built-in definitions are labelled in Korean, which is what the screen shows. Each name below
carries its English reading first and the on-screen label in brackets.
carries its English reading first and the on-screen label in brackets.
| # | Evidence file | Artifact |
|---|---|---|
| 1 | ActivitiesCache.db | Windows Timeline |
| 2 | ETL files (ETL 파일) | ETL files (ETL 파일) |
| 3 | IE10 database (IE10 데이터베이스) | IE/Edge downloads (IE/Edge 웹 다운로드) |
| 4 | IE10 database (IE10 데이터베이스) | IE/Edge visits (IE/Edge 웹 방문) |
| 5 | IE10 database (IE10 데이터베이스) | IE/Edge cookies (IE/Edge 쿠키) |
| 6 | LNK files (LNK 파일) | LNK files (LNK 파일) |
| 7 | LastActivityView | LastActivityView |
| 8 | NTFS master file table (NTFS 마스터 파일 테이블) | Startup Program |
| 9 | NTFS master file table (NTFS 마스터 파일 테이블) | Task Scheduler |
| 10 | NTFS master file table (NTFS 마스터 파일 테이블) | Internet-downloaded files (인터넷 다운로드 파일) |
| 11 | RealVNC server log (RealVNC 서버 로그) | RealVNC connections (RealVNC 접속) |
| 12 | RecentFileCache.bcf | RecentFileCache.bcf |
| 13 | SRUM DB | SRUM network usage (SRUM 네트워크 사용) |
| 14 | SRUM DB | SRUM network connections (SRUM 네트워크 연결) |
| 15 | SRUM DB | SRUM energy usage (SRUM 에너지 사용) |
| 16 | SRUM DB | SRUM application resource usage (SRUM 응용 프로그램 리소스 사용) |
| 17 | SRUM DB | SRUM long-term energy usage (SRUM 장기 에너지 사용) |
| 18 | SRUM DB | SRUM push notification data (SRUM 푸시 알림 데이터) |
| 19 | TightVNC server log (TightVNC 서버 로그) | TightVNC connections (TightVNC 접속) |
| 20 | UltraVNC server log (UltraVNC 서버 로그) | UltraVNC connections (UltraVNC 접속) |
| 21 | WER files (WER 파일) | Windows Error Reporting (윈도우 에러 리포팅) |
| 22 | WMI OBJECTS.DATA | WMI OBJECTS.DATA |
| 23 | autoruns.csv | Sysinternals Autoruns |
| 24 | Legacy IE index.dat (구형 IE index.dat) | Legacy IE cookies (구형 IE 쿠키) |
| 25 | Legacy IE index.dat (구형 IE index.dat) | Legacy IE history (구형 IE 히스토리) |
| 26 | Registry hives (레지스트리 하이브) | Active Setup |
| 27 | Registry hives (레지스트리 하이브) | Amcache |
| 28 | Registry hives (레지스트리 하이브) | AppCompatCache |
| 29 | Registry hives (레지스트리 하이브) | AppCompatFlags |
| 30 | Registry hives (레지스트리 하이브) | BAM |
| 31 | Registry hives (레지스트리 하이브) | ComDlg32/CIDSizeMRU |
| 32 | Registry hives (레지스트리 하이브) | ComDlg32/FirstFolder |
| 33 | Registry hives (레지스트리 하이브) | ComDlg32/LastVisitedPidMRU |
| 34 | Registry hives (레지스트리 하이브) | ComDlg32/OpenSavePidMRU |
| 35 | Registry hives (레지스트리 하이브) | HWP MRU |
| 36 | Registry hives (레지스트리 하이브) | LEGACY_ |
| 37 | Registry hives (레지스트리 하이브) | MUICache |
| 38 | Registry hives (레지스트리 하이브) | PDF MRU |
| 39 | Registry hives (레지스트리 하이브) | Port Monitors |
| 40 | Registry hives (레지스트리 하이브) | Print Processors |
| 41 | Registry hives (레지스트리 하이브) | RecentApps |
| 42 | Registry hives (레지스트리 하이브) | RecentDocs |
| 43 | Registry hives (레지스트리 하이브) | Run MRU |
| 44 | Registry hives (레지스트리 하이브) | SRUM settings (SRUM 설정) |
| 45 | Registry hives (레지스트리 하이브) | Shellbags |
| 46 | Registry hives (레지스트리 하이브) | Syscache |
| 47 | Registry hives (레지스트리 하이브) | Tracing |
| 48 | Registry hives (레지스트리 하이브) | UserAssist |
| 49 | Registry hives (레지스트리 하이브) | Winlogon |
| 50 | Registry hives (레지스트리 하이브) | WordWheelQuery |
| 51 | Registry hives (레지스트리 하이브) | Scheduled task settings (예약된 작업 설정) |
| 52 | Registry hives (레지스트리 하이브) | Office MRU (오피스 MRU) |
| 53 | Registry hives (레지스트리 하이브) | Office document locations (오피스 문서 위치) |
| 54 | Registry hives (레지스트리 하이브) | IE typed URLs (윈도우 IE URL 입력) |
| 55 | Registry hives (레지스트리 하이브) | Windows USB device connections (윈도우 USB 장치 연결) |
| 56 | Registry hives (레지스트리 하이브) | Windows network profiles (윈도우 네트워크 프로필) |
| 57 | Registry hives (레지스트리 하이브) | Remote Desktop connections (윈도우 데스크톱 연결) |
| 58 | Registry hives (레지스트리 하이브) | Windows drivers (윈도우 드라이버) |
| 59 | Registry hives (레지스트리 하이브) | Windows user accounts (윈도우 사용자 계정) |
| 60 | Registry hives (레지스트리 하이브) | Windows user folders (윈도우 사용자 폴더) |
| 61 | Registry hives (레지스트리 하이브) | User environment variables (윈도우 사용자 환경변수) |
| 62 | Registry hives (레지스트리 하이브) | Windows services (윈도우 서비스) |
| 63 | Registry hives (레지스트리 하이브) | Windows install info (윈도우 설치 정보) |
| 64 | Registry hives (레지스트리 하이브) | Installed programs (윈도우 설치 프로그램) |
| 65 | Registry hives (레지스트리 하이브) | Windows time zone (윈도우 시간대) |
| 66 | Registry hives (레지스트리 하이브) | System environment variables (윈도우 시스템 환경변수) |
| 67 | Registry hives (레지스트리 하이브) | Windows autorun (윈도우 자동실행) |
| 68 | Linux ARP cache (리눅스 ARP 캐시) | Linux ARP cache (리눅스 ARP 캐시) |
| 69 | Linux cron jobs (리눅스 CRON 작업) | Linux cron jobs (리눅스 CRON 작업) |
| 70 | Linux I/O load (리눅스 I/O 부하) | Linux I/O load (리눅스 I/O 부하) |
| 71 | Linux SETUID files (리눅스 SETUID 파일) | Linux SETUID files (리눅스 SETUID 파일) |
| 72 | Linux users (리눅스 계정) | Linux users (리눅스 계정) |
| 73 | Linux user groups (리눅스 계정 그룹) | Linux user groups (리눅스 계정 그룹) |
| 74 | Linux network connections (리눅스 네트워크 연결) | Linux network connections (리눅스 네트워크 연결) |
| 75 | Linux network interfaces (리눅스 네트워크 인터페이스) | Linux network interfaces (리눅스 네트워크 인터페이스) |
| 76 | Linux routing table (리눅스 라우팅 테이블) | Linux routing table (리눅스 라우팅 테이블) |
| 77 | Linux login sessions (리눅스 로그인 세션) | Linux login sessions (리눅스 로그인 세션) |
| 78 | Linux failed logins (리눅스 로그인 실패 이력) | Linux failed logins (리눅스 로그인 실패 이력) |
| 79 | Linux login history (리눅스 로그인 이력) | Linux login history (리눅스 로그인 이력) |
| 80 | Linux rootkit hunter (리눅스 루트킷 헌터) | Linux rootkit hunter (리눅스 루트킷 헌터) |
| 81 | Linux non-device files (리눅스 비 장치 파일) | Linux non-device files (리눅스 비 장치 파일) |
| 82 | Linux services (리눅스 서비스) | Linux services (리눅스 서비스) |
| 83 | Linux orphaned files (리눅스 소유자 없는 파일) | Linux orphaned files (리눅스 소유자 없는 파일) |
| 84 | Linux hidden files (리눅스 숨김 파일) | Linux hidden files (리눅스 숨김 파일) |
| 85 | Linux shell commands (리눅스 쉘 명령) | Linux shell commands (리눅스 쉘 명령) |
| 86 | Linux system info (리눅스 시스템 정보) | Linux system info (리눅스 시스템 정보) |
| 87 | Linux system files (리눅스 시스템 파일) | Linux system files (리눅스 시스템 파일) |
| 88 | Linux open files (리눅스 열린 파일) | Linux open files (리눅스 열린 파일) |
| 89 | Linux temp files (리눅스 임시 파일) | Linux temp files (리눅스 임시 파일) |
| 90 | Linux recent files (리눅스 최근 파일) | Linux recent files (리눅스 최근 파일) |
| 91 | Linux timers (리눅스 타이머) | Linux timers (리눅스 타이머) |
| 92 | Linux pipes (리눅스 파이프) | Linux pipes (리눅스 파이프) |
| 93 | Linux partitions (리눅스 파티션) | Linux partitions (리눅스 파티션) |
| 94 | Linux processes (리눅스 프로세스) | Linux processes (리눅스 프로세스) |
| 95 | Linux environment variables (리눅스 환경변수) | Linux environment variables (리눅스 환경변수) |
| 96 | ALYac (알약) | ALYac (알약) |
| 97 | Windows events (윈도우 이벤트) | BITS downloads (BITS 다운로드) |
| 98 | Windows events (윈도우 이벤트) | MTP usage (MTP 사용) |
| 99 | Windows events (윈도우 이벤트) | PowerShell |
| 100 | Windows events (윈도우 이벤트) | PowerShell scripts (PowerShell 스크립트) |
| 101 | Windows events (윈도우 이벤트) | Program-Compatibility-Assistant |
| 102 | Windows events (윈도우 이벤트) | RDP local inbound connections (RDP 로컬 인바운드 접속) |
| 103 | Windows events (윈도우 이벤트) | RDP remote inbound connections (RDP 원격 인바운드 접속) |
| 104 | Windows events (윈도우 이벤트) | RDP client connections (RDP 클라이언트 접속) |
| 105 | Windows events (윈도우 이벤트) | WinRM |
| 106 | Windows events (윈도우 이벤트) | Windows account logons (윈도우 계정 로그온) |
| 107 | Windows events (윈도우 이벤트) | Removable device attach and detach (이동식 장치 연결 및 해제) |
| 108 | Windows events (윈도우 이벤트) | Task Scheduler execution (작업 스케줄러 실행) |
| 109 | Email (이메일) | Email (이메일) |
| 110 | Jump lists - AutomaticDestinations (점프목록 - AutomaticDestinations) | Jump lists - AutomaticDestinations (점프목록 - AutomaticDestinations) |
| 111 | Jump lists - CustomDestinations (점프목록 - CustomDestinations) | Jump lists - CustomDestinations (점프목록 - CustomDestinations) |
| 112 | Chrome history (크롬 웹 히스토리) | Chrome searches (크롬 웹 검색어) |
| 113 | Chrome history (크롬 웹 히스토리) | Chrome downloads (크롬 웹 다운로드) |
| 114 | Chrome history (크롬 웹 히스토리) | Chrome visits (크롬 웹 방문) |
| 115 | Chrome cookies (크롬 쿠키) | Chrome cookies (크롬 쿠키) |
| 116 | Chrome extensions (크롬 플러그인) | Chrome extensions (크롬 플러그인) |
| 117 | TeamViewer connections (팀뷰어 접속) | TeamViewer connections (팀뷰어 접속) |
| 118 | PowerShell console log (파워쉘 콘솔 로그) | PowerShell console log (파워쉘 콘솔 로그) |
| 119 | Firefox history (파이어폭스 웹 히스토리) | Firefox visits (파이어폭스 웹 방문) |
| 120 | Firefox add-ons (파이어폭스 플러그인) | Firefox add-ons (파이어폭스 플러그인) |
| 121 | Prefetch (프리페치) | Prefetch |
| 122 | hosts file (호스트 파일) | hosts file (호스트 파일) |
| 123 | Recycle bin (휴지통) | Recycle bin (휴지통) |
Evidence that produces no artifact
These eight load but have no extraction rule of their own. You read them as they are, in the File System, Registry and Logs screens.
| Evidence file | Where you read it |
|---|---|
| NTFS journal (NTFS 저널 로그) | Logs |
| Windows process list (윈도우 프로세스 목록) | Logs |
| PowerShell script scan log (파워쉘 스크립트 검색 로그) | Logs |
| SetupAPI device install log (SetupAPI 장치 설치 로그) | Logs |
| ARP cache (ARP 캐시) | Logs |
| NGINX | Logs |
| PCAP | Logs |
| Root directory (루트 디렉터리) | For resolving file system paths |
Note
While loading, IP addresses, domains, URLs, MD5 and SHA1 values are harvested from every piece
of evidence and collect under the Indicators category of the Artifacts screen. That is not an
extraction rule, so it is not in the table above - and a value appearing there says nothing about
whether it is malicious.
of evidence and collect under the Indicators category of the Artifacts screen. That is not an
extraction rule, so it is not in the table above - and a value appearing there says nothing about
whether it is malicious.