انتقل إلى المحتوى

دليل الآثار الرقمية

يحتفظ Windows بآثار متداخلة في نظام الملفات، وسجل Windows، وقواعد بيانات التوافق، وسجل واجهة المستخدم، ومحاسبة الموارد، ومنتجات الأمان. يحلل Juntei هذه المصادر، لكن يبقى على المحقق أن يفسّر ما يعنيه كل مصدر.

اختر الأثر الرقمي حسب السؤال

سؤال التحقيق ابدأ من هنا أكّد باستخدام
هل شُغّل هذا الملف التنفيذي؟ Prefetch ShimCache، SRUM، سجلات الأحداث
هل كان هذا الملف موجودًا في أي وقت؟ Amcache، $MFT دفتر يومية USN، $I30، ShimCache
متى أُنشئ ملف أو أُعيدت تسميته أو حُذف؟ دفتر يومية USN $MFT، $I30، حجر Defender
ما الاسم أو الطابع الزمني الذي كان موجودًا قبل تغيير البيانات الوصفية؟ $LogFile $MFT، دفتر يومية USN، $I30
من يملك الملف، ومن يحق له تغييره؟ $Secure:$SDS مع $MFT SAM، سجلات أحداث Security
على أي وحدة تخزين كان هدف اختصار أو ملف Prefetch؟ $Boot LNK، Prefetch، أجهزة USB
ماذا فتح المستخدم؟ Jump Lists، LNK، RecentDocs SRUM، Prefetch
هل نقل برنامج ما كمية كبيرة من البيانات؟ SRUM الجدار الناري، أو الوكيل (proxy)، أو DNS، أو الحزم، أو بيانات EDR
ما مواقع الويب التي زارها المستخدم، وماذا نزّل؟ متصفحات الويب، Internet Explorer وEdge القديم سجلات الوكيل (proxy) وDNS، و$MFT ودفتر يومية USN، وDefender، وSRUM
مع من تبادل المستخدم رسائل البريد الإلكتروني، وماذا أُرفق بها؟ Outlook سجلات خادم البريد وبوابة البريد، و$MFT ودفتر يومية USN، وDefender، وLNK وJump Lists
ما العملاء والحسابات التي استخدمت هذا الخادم، وفي أي أيام؟ تسجيل وصول المستخدمين (UAL) سجلات أحداث Security، وسجلات SMB وRDP، وسجلات الجدار الناري
هل جرى تكوين آلية استمرارية؟ الخدمات، TaskCache، سجل Windows سجلات الأحداث، Prefetch، $MFT
ما الذي أزاله Defender؟ حجر Defender سجلات الأحداث، $MFT، دفتر يومية USN
هل أُضيفت حسابات محلية أو غُيّرت؟ SAM سجلات أحداث Security وسجل معاملات سجل Windows

اقرأ التحذيرات قبل الحقول

تتبع كل صفحة من صفحات الآثار الرقمية التسلسل نفسه:

  1. ما هو الأثر والأسئلة التي يمكنه الإجابة عنها.
  2. أين تجده وكيف يؤثر الجمع فيه.
  3. ما الذي يثبته—وما الذي لا يثبته.
  4. كيف تحلله باستخدام Juntei.
  5. كيف تقرأ كل حقل من حقول الإخراج.
  6. كيف تربطه بأدلة مستقلة.
  7. مزيد من التفاصيل للبحث على المستوى المنخفض.

لا تساوِ نتيجة المحلل بالنية الخبيثة

تحدد نتائج Juntei أنماطًا تستحق المراجعة، مثل اسم ملف ثنائي للنظام خارج System32. فقد تُنتج برامج التثبيت والمسؤولون وطبقات التوافق وتحديثات البرامج سجلات غير مألوفة. تحقق من صحتها بالسياق وبأدلة مستقلة.