شكر وتقدير¶

يوجد Juntei لأن مجتمعات DFIR والمصادر المفتوحة نشرت محللات، وأبحاثًا حول التنسيقات، ومخرجات مرجعية، ومواصفات، وأدلة اختبار. وقد أسهمت المشاريع أدناه في التنفيذ أو التحقق أو تسمية الحقول أو تحديد المخرجات المتوقعة للمحلل. ولا يعني إدراج مشروع ما أن شيفرته مضمّنة في Juntei؛ راجع كل مشروع لمعرفة ترخيصه.

أسس المحللات التي تصونها Yamato Security¶

مجال Juntei	المحلل المُصان	المشروع الأصلي/الأساس
Amcache	ys-amcache-parser	Security Ronin amcache-forensic
`$MFT`	ys-ntfs-parser (حزمة `mft`)	Omer Ben-Amram mft
Prefetch	ys-prefetch-parser	ForensicRS frnsc-prefetch
دفتر يومية USN	ys-ntfs-parser (حزمة `usn`)	Sootmark usn
NTFS `$LogFile`	ys-ntfs-parser (حزمة `logfile`)	Sootmark ntfslog
فهارس المجلدات (`$I30`)	ys-ntfs-parser (حزمة `mft`، الوحدة `i30`)	أبحاث المساحة الراكدة (slack) في الفهارس المذكورة أدناه
NTFS `$Boot`، `$Secure:$SDS`	ys-ntfs-parser (الحزمتان `boot` و`secure`)	مواصفة MS-DTYP من Microsoft وأبحاث NTFS المذكورة أدناه
SRUM، UAL / ESE	ys-srum-parser	Sootmark srum وese
متصفحات الويب / SQLite	ys-browser-parser	Sootmark browser وsqlite وplist
LNK	ys-lnk-parser	Sootmark shell
Jump Lists	ys-jump-lists-parser	أعمال Sootmark shell حول الملفات المركبة وJump Lists
ShimCache	ys-shimcache-parser	Security Ronin shimcache-forensic
Defender	ys-defender-history-parser	Sootmark defender
صور أقراص VHDX ‏(`mount`, `auto-parse --vhdx`)	ys-vhdx-parser (Security Ronin `vhdx-core`) وntfs-core، ويُقدَّم ذلك عبر fuser	مواصفة MS-VHDX من Microsoft
E01 / Ex01 (`mount`, `auto-parse --e01`)	ys-e01-parser	ewf-image (Apache-2.0); libewf (EWF1/EWF2)
سجل Windows	ys-registry-parser	أبحاث تنسيق سجل Windows واستعادته المذكورة أدناه

الأدوات المرجعية والتحقق المستقل¶

قدّم مشروع PyrsistenceSniper من Hexastrike فهرس فحوصات الاستمرارية، وقائمة السماح الافتراضية، ولقطة LOLBAS، والسلوك المرجعي للأمر persistence-hunter المكتوب أصلًا بلغة Rust. ويُحتفظ بترخيص MIT الخاص به وإشعار حقوق النشر في THIRD_PARTY_NOTICES/PyrsistenceSniper-LICENSE.txt. وقد ألهم مشروع PersistenceSniper الأصلي مشروعَ Python؛ راجع شكر وتقدير Persistence Hunter للاطلاع على سلسلة النسب الكاملة.
أسهمت مواصفة regf وأداة yarp من Maxim Suhanov في بنى سجل Windows، وإعادة تشغيل سجلات المعاملات، واستعادة السجلات المحذوفة؛ وكانت أداته dfir_ntfs المرجع لسجلات INDX واستخراج البيانات من المساحة الراكدة (slack) في الفهارس.
تُعد أداة INDXRipper من Harel Segev مرجعًا إضافيًا لاستخراج أسماء الملفات من المساحة الراكدة في الفهارس.
أسهمت dfir_ntfs، وأداة LogFileParser من Joakim Schicht، وأداة ntfs-linker من Stroz Friedberg في التحقق من $LogFile وتفسيره؛ وقدّمت مكتبة go-ntfs من Velocidex أدلة اختبار NTFS عامة.
توفر مشاريع Joachim Metz / libyal ‏libregf وlibfsntfs وlibscca وlibfwsi وlibesedb أبحاثًا تفصيلية حول التنسيقات ومراجع تحليل مستقلة.
قدّمت dissect.esedb وdissect.ntfs وdissect.target من Fox-IT تفسيرات مستقلة لـ SRUM وUAL و$Secure:$SDS وSAM وDefender استُخدمت أثناء التحقق.
كانت أداة fsstat من The Sleuth Kit المرجعَ لقطاعات الإقلاع في NTFS لوحدات التخزين المنشأة باستخدام mkntfs.
حدّدت بعض أدوات Eric Zimmerman أسماء الحقول وتوقعات الفاحصين المستخدمة في المقارنات.
قدّمت regipy وpython-registry وNotatin وartemis تطبيقات لسجل Windows، أو اختبارات، أو تفسيرات لعينات.
قدّمت LnkParse3، وأداتا lnk_parser وjumplist_parser من AbdulRhmanAlfaifi، وأداة JLECmd سلوكًا مستقلًا لـ LNK/Jump Lists وحالات اختبار عامة.
أسهم مشروع prefetch-forensic من Security Ronin ومشروع forensicnomicon في ملاحظات Juntei عالية القيمة حول Prefetch/Amcache/ShimCache.
توفر defender-dump وdissect.target تطبيقين منفصلين لفهم بنى حجر Defender وسلوك الاستخراج الآمن.
قدّمت Plaso وChainsaw وVelociraptor مقارنات للمحللات، أو أدلة اختبار، أو سلوكًا مرجعيًا موجهًا نحو الجمع عبر عدة آثار رقمية.
كانت أداة Hindsight من Obsidian Forensics وتعريفات SQLiteHunter من Velocidex مرجعين لسجل التصفح والتنزيلات وملفات تعريف الارتباط وسجل النماذج.

المواصفات والأبحاث¶

نشكر Microsoft على نشر المواصفات المفتوحة (Open Specifications) الخاصة بـ Shell Links، والملفات الثنائية المركبة، وبروتوكولات NTFS/SAM، وبنى سجل Windows/الخدمات/المهام، ووثائق واجهات API. كما نشكر مؤلفي الأبحاث الجنائية حول AppCompatCache وAmcache وSRUM وPrefetch وسجل Windows وNTFS، التي جعلت هذه الآثار الرقمية مفهومة للممارسين.

أدلة الاختبار¶

تتيح الأدلة العامة من DFIR Artifact Museum الخاص بـ Andrew Rathbun، وNIST CFReDS، وPlaso، وRegipy، وArtemis، ومستودعات اختبار المحللات، وغيرها من المجموعات المرخصة على النحو الصحيح، إجراءَ اختبارات الانحدار على بيانات Windows حقيقية. ويحتفظ Juntei بملاحظات الإسناد/الترخيص بجانب ملفات الاختبار المضمّنة.

المساهمون¶

شكرًا لكل مساهم في Juntei وفي محللات Yamato Security، ولكل مراجع ومُبلّغ عن مشكلة ومستخدم قدّم حالات حدّية. ويُدرج المساهمون الحاليون حسب GitHub في صفحة مساهمي Juntei.

الترخيص¶

يُصدر Juntei بموجب Reciprocal Public License 1.5 (RPL-1.5)، وحقوق النشر لشركة Shirofune Security Co., Ltd. وقد نُشرت شيفرته المصدرية بموجب AGPLv3 قبل الإصدار 1.0.0. وتوجد تراخيص الحزم وغيرها من الشيفرات والبيانات التابعة لجهات خارجية التي بُني بها في THIRD_PARTY_NOTICES.