مصادر الأدلة المدعومة

مصدر الأدلة	أمر Juntei	أكثر ما يفيد فيه	قيد مهم
Amcache	parse-registry amcache	جرد الملفات، والمسارات، وSHA-1، وبيانات PE الوصفية، والأجهزة	الوجود ليس تنفيذًا؛ والناشر ليس تحققًا من التوقيع
NTFS $MFT	parse-ntfs mft	الملفات، والسجلات المحذوفة، والمسارات، والطوابع الزمنية، وADS	قد تكون السجلات المعاد استخدامها والتلاعب بالطوابع الزمنية (timestomping) مضللة
NTFS $LogFile	parse-ntfs logfile	البيانات الوصفية للإعادة/التراجع (redo/undo)، والأسماء والطوابع الزمنية القديمة، والكتابات إلى دفتر يومية USN	احتفاظ دائري قصير؛ وأوقات البيانات الوصفية ليست أوقات المعاملات؛ ولا إعادة تطبيق
Prefetch	parse-file prefetch	تنفيذ البرامج، وعدد مرات التشغيل، وأوقات التشغيل الأخيرة، والملفات المحمّلة	لا يُحتفظ إلا بسجل محدود لأوقات التشغيل
دفتر يومية USN $J	parse-ntfs usn-journal	الإنشاء، والحذف، وإعادة التسمية، والكتابة، والمسارات التاريخية	دفتر يومية دائري؛ يسجل التغييرات، لا محتوى الملفات
فهارس المجلدات $I30	parse-ntfs i30	الملفات في مجلد؛ وأسماء الملفات التي ربما حُذفت أو أُعيدت تسميتها وأوقاتها وأحجامها المتبقية في المساحة الراكدة للفهرس	المساحة الراكدة جزئية ولا تقول شيئًا عن وقت إزالة الإدخال
قطاع إقلاع NTFS ‏$Boot	parse-ntfs boot	الرقم التسلسلي لوحدة التخزين الذي تسجله LNK وJump Lists وPrefetch؛ والبنية الهندسية وموقع $MFT؛ وتجزئة شيفرة الإقلاع للمقارنة عبر المضيفات	يمكن تغيير الأرقام التسلسلية أو تكرارها؛ وشيفرة الإقلاع المختلفة خيط للتحقيق، لا دليل على وجود bootkit
واصفات أمان NTFS ‏$Secure:$SDS	parse-ntfs secure-sds	مالكو الملفات وقوائم ACL الخاصة بها، عبر SID في $MFT؛ وNULL DACL وقوائم ACL المتساهلة	يمكن تغيير المالكين؛ وتبيّن قوائم ACL من يحق له الوصول، لا من وصل فعلًا
صور أقراص VHDX ‏	mount، auto-parse --vhdx	NTFS → CSV / JSON / JSONL	auto-parse: Linux/macOS/Windows (TMP); mount: Linux/FUSE; NTFS ADS: —
صور أقراص E01 / Ex01 ‏	mount، auto-parse --e01	NTFS → CSV / JSON / JSONL	auto-parse: Linux/macOS/Windows (TMP); mount: Linux/FUSE; NTFS ADS: —
SRUM	parse-ese srum	استخدام الشبكة والموارد لكل تطبيق/مستخدم	مُجمَّعة عادةً؛ ليست دليلًا على مستوى الحزم أو الوجهات
تسجيل وصول المستخدمين (UAL)	parse-ese ual	عناوين العملاء والحسابات التي استخدمت أدوار Windows Server (مشاركات الملفات، وActive Directory، وDHCP، وIIS)، وفي أي أيام	تُعدّ الطلبات يوميًا ولا تُسجَّل واحدًا واحدًا؛ وقد يكون العنوان NAT أو وكيلًا؛ ويفتقد Current.mdb غير المتسق أحدث تغييراته
Internet Explorer وEdge القديم (WebCache)	parse-ese webcache	الصفحات التي زارها المستخدم والملفات المحلية التي فُتحت في مستكشف الملفات، والملفات التي نزّلها ومصدرها، وملفات تعريف الارتباط، والملفات المخزنة مؤقتًا مع رؤوس HTTP الخاصة بها	إدخال سجل التصفح عنوان URL مع آخر زيارة له، لا كل زيارة؛ ولا تُستعاد الإدخالات المحذوفة؛ وتفتقد قاعدة البيانات غير المتسقة أحدث تغييراتها
متصفحات الويب (المبنية على Chromium وFirefox)	parse-sqlite browser	الصفحات التي زارها المستخدم وكيفية الوصول إليها، والملفات التي نزّلها ومصدرها، وملفات تعريف الارتباط، والقيم المكتوبة في نماذج الويب؛ مع استعادة الزيارات والتنزيلات وإدخالات النماذج المحذوفة	قد تكون الزيارة إعادة توجيه، أو إطارًا، أو صفحة فتحها برنامج آخر؛ وقيم ملفات تعريف الارتباط في Chromium مشفرة؛ وتختفي الإدخالات المحذوفة بمجرد أن يصفّرها المتصفح أو ينفذ نقطة تحقق (checkpoint)
Outlook ‏(PST وOST وMSG وOFT)	parse-file outlook	رسائل البريد الإلكتروني مع مرسليها ومستلميها وأوقاتها ومرفقاتها؛ وجهات الاتصال وعناصر التقويم والمهام؛ والمجلدات، وعناصر الإعدادات المخفية، وكل خاصية كما خُزّنت	يمكن تزوير عنوان المرسل؛ ولا تُستعاد العناصر التي لم تعد في أي مجلد؛ ولا تُقرأ بعدُ دفاتر العناوين غير المتصلة والإكمال التلقائي وملفات Outlook الأخرى
اختصارات LNK	parse-file lnk	الأهداف المفتوحة، والوسيطات، ووحدات التخزين، والمشاركات، والجهاز المصدر	يمكن إنشاء اختصار دون أن يعمل الهدف
Jump Lists	parse-file jump-lists	العناصر التي فتحتها التطبيقات، والتثبيت، والاستخدام، وبيانات LNK المضمّنة	سلوك واحتفاظ خاصان بكل تطبيق
ShimCache	parse-registry shimcache	المسارات التاريخية للملفات التنفيذية وفحوص التوافق	قد لا تُكتب ذاكرة التخزين المؤقت إلى القرص حتى إيقاف التشغيل؛ والإدخال وحده ليس تنفيذًا
حجر Defender	parse-file defender-quarantine	الاكتشاف، والمسار الأصلي، والتجزئات، ومصدر التنزيل، والبايتات المستردة	اسم الاكتشاف حكم من المنتج؛ والاستخراج خطِر
خلايا سجل Windows	parse-registry read	التكوين، والاستمرارية، والقيم المحذوفة/المعاد تطبيقها	وقت المفتاح ليس وقت القيمة؛ والخلايا الحية تحتاج إلى سجلات المعاملات
الخدمات	parse-registry services	استمرارية الخدمات/برامج التشغيل وإجراءات الفشل	لا يثبت التكوين أن الخدمة بدأت
RecentDocs	parse-registry recent-docs	الملفات والمجلدات المفتوحة مؤخرًا لكل مستخدم	لا يحصل على وقت فتح قابل للدفاع عنه إلا أحدث عنصر في كل قائمة
Microsoft Office	parse-registry office	المستندات والمجلدات التي فتحها كل تطبيق من تطبيقات Office، مع الأوقات؛ والمستندات التي فعّل المستخدم وحدات الماكرو فيها؛ وإعدادات الماكرو والمواقع الموثوقة	تفعيل وحدات الماكرو ليس دليلًا على تشغيل ماكرو؛ وتُخزَّن مسارات سجلات الثقة كما يكتبها Office
مربعات حوار الفتح والحفظ باسم	parse-registry open-save-mru	الملفات المفتوحة أو المحفوظة عبر مربعات الحوار المشتركة، بحسب الامتداد، والبرامج والمجلدات التي استخدمتها	لا يؤرَّخ إلا أحدث إدخال في كل قائمة؛ ولا يُميَّز بين الفتح والحفظ
TaskCache	parse-registry taskcache	إجراءات المهام المجدولة، والبيانات الوصفية، والمهام المخفية	اربطه بملف XML الخاص بالمهمة وسجلات الأحداث لإثبات التشغيل
تكوين الإقلاع (BCD)	parse-registry bcd	إدخالات الإقلاع؛ وإيقاف الاسترداد، وتجاهل حالات الفشل، والتوقيع الاختباري، وإيقاف فحوص السلامة، والوضع الآمن، مع وقت ضبط كل منها	غالبًا لا يُجمع المخزن (قسم نظام EFI، \Boot)؛ والإعدادات موروثة
التشغيل التلقائي عبر سجل Windows	parse-registry persistence	مفاتيح Run، وWinlogon، وIFEO، وملفات AppInit/AppCert DLL، وحزم LSA، واختطاف COM، ومواقع التشغيل التلقائي الأخرى	تكوين، لا دليل على التنفيذ؛ ومعظم الإدخالات قيم Windows الافتراضية
توافق التطبيقات	parse-registry app-compat	طبقات التوافق، والبرامج التي رآها Program Compatibility Assistant تعمل، واستخدام برامج CIT ووحداتها، وقواعد بيانات shim المخصصة	لا تحمل إدخالات Program Compatibility Assistant وقت تشغيل؛ وبيانات CIT في معظمها من Windows 7 و8
FeatureUsage وRecentApps والعناصر المثبتة	parse-registry feature-usage	عدد مرات انتقال المستخدم إلى كل تطبيق أو تشغيله أو النقر عليه؛ والتطبيقات الأخيرة وملفاتها؛ والعناصر المثبتة في شريط المهام وبرامج قائمة "ابدأ"	ليس للأعداد أوقات؛ وهي عمليات تبديل بين النوافذ، لا عمليات بدء
ShellBags	parse-registry shell-bags	المجلدات التي فتحها المستخدم في Explorer ومربعات الحوار، بما فيها المجلدات القابلة للإزالة والشبكية والخاصة بالأجهزة المحمولة وملفات ZIP والمحذوفة، بمسارات كاملة	لا يحصل على وقت فتح قابل للدفاع عنه إلا أحدث عنصر في كل مفتاح؛ وأوقات العناصر هي أوقات المجلد، لا أوقات الزيارة
BAM / DAM	parse-registry bam	آخر مرة شغّل فيها كل مستخدم كل برنامج، بما في ذلك من الأجهزة القابلة للإزالة والشبكية	وقت واحد لكل برنامج ومستخدم، للنشاط الحديث فقط؛ ومسارات أجهزة، لا أحرف محركات أقراص
أجهزة USB	parse-registry usb	أجهزة تخزين USB والأجهزة الأخرى، والأرقام التسلسلية، وأوقات التثبيت/الوصول/الإزالة، وأحرف محركات الأقراص، وأسماء وحدات التخزين وأرقامها التسلسلية، والمستخدمون الذين وصّلوها (mount)	لا يُحتفظ إلا بآخر وصول وآخر إزالة؛ وتُعاد أحرف محركات الأقراص استخدامًا
MuiCache	parse-registry muicache	مسارات البرامج المخزنة مؤقتًا وأوصافها وشركاتها المرتبطة بملف تعريف الواجهة الخاص بالمستخدم	لا وقت لكل برنامج؛ وملف التعريف ليس بالضرورة حساب العملية، ويمكن تزوير البيانات الوصفية
UserAssist	parse-registry user-assist	البرامج والاختصارات التي بدأها المستخدم من Explorer، مع عدد مرات التشغيل ووقت التركيز وآخر تشغيل	لا تُعدّ إلا عمليات البدء من Explorer؛ وتُزوَّد ملفات التعريف الجديدة بعناصر افتراضية
الشبكات	parse-registry networks	الشبكات التي انضم إليها الجهاز مع أوقات أول/آخر اتصال، وعناوين MAC للبوابات، والواجهات وعقود إيجار DHCP، والمشاركات، ووكلاء المنافذ (port proxies)، والمسارات	أوقات ملفات التعريف محلية، تُحوَّل بالمنطقة الزمنية الحالية؛ وتتكرر أسماء مثل "Network 2"
إعدادات الأمان	parse-registry security-settings	Defender (واستثناءاته)، وUAC، وحماية WDigest/LSA، وRDP، وجدار الحماية، وSMBv1، وتسجيل PowerShell وAMSI، وإعدادات سجل الأحداث والأدلة، مع تعليم ما يُضعف منها الوضع الافتراضي	الإعداد المُضعَف ليس دليلًا على الاختراق؛ ولا يُبلَّغ عن القيم المفقودة (قيم Windows الافتراضية)
سجل التطبيقات	parse-registry app-history	أدوات Sysinternals التي شغّلها المستخدم، وسجل الأرشيفات والمجلدات (WinRAR، 7-Zip، WinZip)، وحسابات OneDrive، والملفات الأخيرة في Adobe، وقيم TeamViewer وCCleaner	معظم إدخالات القوائم بلا وقت؛ ولا يؤرَّخ إلا أحدث إدخال في كل قائمة
قوائم MRU	parse-registry mru	أوامر مربع الحوار "تشغيل" (Run)، والمسارات المكتوبة في Explorer، وعمليات البحث في Explorer، والعناوين المكتوبة في Internet Explorer (مع أوقاتها)، وملفات Paint وWordPad، ومصطلحات البحث في XP	لا يؤرَّخ إلا أحدث إدخال في كل قائمة، باستثناء العناوين المكتوبة؛ والمكتوب ليس منفَّذًا
الوصول عن بُعد (جهة المستخدم)	parse-registry remote-access	أجهزة الكمبيوتر التي وصل إليها المستخدم باستخدام Remote Desktop وPuTTY وWinSCP، ومفاتيح مضيف SSH المقبولة، ومحركات الأقراص المعيّنة والمشاركات	الهدف المحفوظ أو المكتوب ليس اتصالًا ناجحًا؛ ولمفاتيح القوائم وقت واحد لكل عناصرها
البرامج المثبتة	parse-registry installed-programs	البرامج المثبتة (على مستوى الجهاز ولكل مستخدم)، ومنتجات Windows Installer، وApp Paths، وتوزيعات WSL، والتطبيقات المحزّمة	تاريخ التثبيت هو تاريخ المثبّت؛ والبرامج التي أُلغي تثبيتها بشكل نظيف لا تترك إدخالًا
SAM	parse-registry sam	الحسابات المحلية، والعلامات، ومعرّفات RID، والبيانات الوصفية لتسجيل الدخول/كلمات المرور	الحسابات المحلية فقط؛ وقيم آخر تسجيل دخول ليست سجلًا كاملًا لتسجيلات الدخول
أسرار LSA	parse-registry lsa-secrets	الأسرار التي تحتفظ بها LSA (تسجيل الدخول التلقائي، وحسابات الخدمات، وحساب الجهاز) ووقت ضبطها؛ وعمليات تسجيل الدخول المخزنة مؤقتًا للمجال المستخدمة	الأسماء والأوقات فقط، دون فك تشفير أي شيء؛ ويوجد DefaultPassword حتى دون تسجيل دخول تلقائي
نهج التدقيق	parse-registry auditpol	أحداث الأمان التي ضُبط النظام لتسجيلها، ومن ثم الأحداث المفقودة التي لا تدل على شيء	النهج عند آخر كتابة للخلية؛ ويسجّل الحدث 4719 التغييرات
معلومات النظام	parse-registry system-info	أسماء الكمبيوتر والمجال، وإصدار Windows وتاريخ تثبيته، والمنطقة الزمنية، وآخر إيقاف تشغيل، وآخر مستخدم، وملفات التعريف، ومعرّفات SID	التكوين وقت الجمع؛ ويتغير InstallDate مع ترقيات الميزات، ويسمّي Windows 11 نفسه Windows 10

أنواع المجموعات

يقبل Juntei أثرًا رقميًا واحدًا باستخدام -f أو يبحث في مجموعة بشكل تكراري باستخدام -d. وقد صُمّم وضع المجلد لتخطيطات الفرز الأولي (triage) الشائعة حيث يحتوي كل مضيف على مسارات مثل C/Windows/System32/config/SYSTEM أو C/Users/alice/NTUSER.DAT.

راجع جمع الأدلة قبل تحليل خلايا سجل Windows أو قواعد بيانات ESE المنسوخة: فقد تكون سجلات المعاملات المرتبطة بها ضرورية لإعادة بناء الحالة التي رآها Windows.