حول Juntei

Juntei محلل للآثار الرقمية الجنائية في Windows، مكتوب بلغة Rust الآمنة من حيث الذاكرة. وهو يكمّل Hayabusa: إذ يحلل Hayabusa سجلات أحداث Windows، بينما يحلل Juntei الآثار الرقمية الدائمة لنظام الملفات، وسجل Windows، والتنفيذ، ونشاط المستخدم، واستخدام الموارد، ومنتجات الأمان.

يعمل الملف التنفيذي نفسه على Windows وmacOS وLinux. يمكن للمحللين فحص أدلة Windows المجمعة وصور الأقراص بواجهة موحدة، بدلًا من استخدام برنامج منفصل لكل أثر جنائي.

أهداف التصميم

• تحليل قابل للدفاع عنه: الاحتفاظ بالقيم الخام والإبلاغ عن التلف بدلًا من اختلاق البيانات بصمت.
• مفيد للجميع: ينبغي أن يكون الاستخدام الافتراضي سهلًا للمبتدئين، وفي الوقت نفسه قابلًا للتخصيص وكامل الميزات للخبراء أيضًا.
• ملف ثنائي مستقل: لا يتطلب أي مكتبات وقت تشغيل للتنفيذ. يعمل مباشرةً دون أي إعداد.
• سرعة فائقة: يهدف إلى أن يكون أسرع محلل، دون أن يتطلب في الوقت نفسه قدرًا كبيرًا من الذاكرة.
• استخدام متعدد المنصات: تحليل أدلة Windows دون الحاجة إلى محطة عمل تعمل بنظام Windows.
• الأتمتة: CSV لجداول البيانات وأدوات الجداول الزمنية؛ وJSON/JSONL لـ jq والبرامج النصية وبحيرات البيانات.
• فشل آمن: يُبلَّغ عن السجلات التالفة البنية ويجري تخطيها حيثما أمكن.
• أصول شفافة: يحدد Juntei المحللات مفتوحة المصدر والأدوات المرجعية التي يستند إليها كل تنفيذ.

ما لا يفعله Juntei

لا يقوم Juntei باقتناء قرص حي، ولا يحل محل حفظ الأدلة، وصور الأقراص الوحيدة التي يحمّلها هي صور VHDX / E01 / Ex01، وللقراءة فقط. ولا يدمج تلقائيًا كل الآثار الرقمية في سرد واحد للحادثة. بل يحلل الأدلة التي تقدمها وينتج سجلات مناسبة للتحقيق والربط.

كذلك لن يُجري Juntei التحليل نيابةً عنك. إذ يلزم وجود متخصص في DFIR لإجراء التحليل على الأدلة.

الترخيص

يُصدَر Juntei بموجب Reciprocal Public License 1.5 (RPL-1.5)، وحقوق النشر محفوظة لشركة Shirofune Security Co., Ltd. وقد نُشرت شيفرته المصدرية بموجب AGPLv3 قبل الإصدار 1.0.0. وتوجد تراخيص الحزم (crates) والشيفرات والبيانات الأخرى التابعة لجهات خارجية التي بُني بها في THIRD_PARTY_NOTICES. وتُسرد المشاريع التي يعتمد عليها Juntei والتي جرى التحقق منه بمقارنته بها في شكر وتقدير.