Startseite
Juntei ist der plattformübergreifende Parser von Yamato Security für Windows-Forensikartefakte, die keine Ereignisprotokolle sind. Er wandelt gesicherte Beweise in einheitliche CSV-, JSON- und JSONL-Datensätze um und bewahrt dabei den Kontext, den Ermittelnde benötigen, um Fehlschlüsse zu vermeiden.
Vom Rohartefakt zur belastbaren Schlussfolgerung¶
Juntei kann Ihnen sagen, was ein Artefakt aufzeichnet; diese Website erklärt, was dieser Datensatz beweist und was nicht. Beginnen Sie mit einer Artefaktseite, auch wenn Sie noch nie Windows-DFIR durchgeführt haben. Jeder Leitfaden behandelt Zweck, Speicherort auf dem Datenträger, Hinweise zu Aufbewahrung und Sicherung, Parsing-Befehl, Ausgabefelder, Interpretation, Korrelationen und weiterführende Literatur.
-
Dateisystemverlauf
Nutzen Sie
$MFTund das USN-Journal, um Existenz, Namen, Verschiebung und Löschung von Dateien, Metadatenänderungen sowie alternative Datenströme zu rekonstruieren. -
Programmnachweise
Prefetch kann eine Ausführung stark belegen. Amcache und ShimCache liefern zusätzlich Inventar-, Pfad-, Hash-, Kompatibilitäts- und historischen Kontext – erfordern aber eine sorgfältige Interpretation.
-
Benutzeraktivität
LNK-Dateien, Jump Lists, RecentDocs und SRUM zeigen geöffnete Elemente, Anwendungsaktivität, Wechseldatenträger- oder Netzwerkspeicherorte, Ressourcennutzung und historischen Benutzerkontext.
-
Sicherheitsnachweise
Die Defender-Quarantäne kann Bedrohungsbezeichnungen, ursprüngliche Pfade, Download-Quellen, Hashes und Besitzer bewahren und sogar die Bytes unter Quarantäne gestellter Dateien sicher für eine isolierte Analyse wiederherstellen.
-
Registry-Zustand
Lesen Sie zugeordnete und wiederherstellbare Registry-Daten, spielen Sie Transaktionsprotokolle ein und untersuchen Sie Dienste, geplante Aufgaben, lokale Konten und den Zustand zuletzt verwendeter Dokumente.
-
Korrelieren statt raten
Kein einzelnes Artefakt erzählt die ganze Geschichte. Die Leitfäden zeigen, wie Sie unabhängige Quellen zu einer beweisgestützten Zeitleiste kombinieren.
Forensische Ausgabe ist ein Beweismittel, kein Urteil
Ein verdächtig wirkender Pfad ist ein Hinweis. Ein Zeitstempel kann die Metadaten einer Datei beschreiben statt einer Ausführung. Ein fehlender Datensatz beweist nicht, dass eine Aktion nicht stattgefunden hat. Bewahren Sie die Quellbeweise, dokumentieren Sie Tool-Versionen und Befehle und untermauern Sie wichtige Schlussfolgerungen.