Zum Inhalt

Danksagungen

Juntei existiert, weil die DFIR- und Open-Source-Communitys Parser, Formatforschung, Referenzausgaben, Spezifikationen und Testbeweismaterial veröffentlicht haben. Die unten aufgeführten Projekte haben die Implementierung, die Validierung, die Benennung von Feldern oder die erwartete Analystenausgabe beeinflusst. Eine Nennung bedeutet nicht, dass ihr Code in Juntei eingebettet ist; die jeweilige Lizenz entnehmen Sie bitte dem einzelnen Projekt.

Von Yamato Security gepflegte Parser-Grundlagen

Juntei-Bereich Gepflegter Parser Upstream/Grundlage
Amcache ys-amcache-parser Security Ronin amcache-forensic
$MFT ys-ntfs-parser (Crate mft) Omer Ben-Amram mft
Prefetch ys-prefetch-parser ForensicRS frnsc-prefetch
USN-Journal ys-ntfs-parser (Crate usn) Sootmark usn
NTFS $LogFile ys-ntfs-parser (Crate logfile) Sootmark ntfslog
Verzeichnisindizes ($I30) ys-ntfs-parser (Crate mft, Modul i30) Unten genannte Forschung zu Index-Slack
NTFS $Boot, $Secure:$SDS ys-ntfs-parser (Crates boot und secure) Microsofts MS-DTYP und die unten genannte NTFS-Forschung
SRUM, UAL / ESE ys-srum-parser Sootmark srum und ese
Webbrowser / SQLite ys-browser-parser Sootmark browser, sqlite und plist
LNK ys-lnk-parser Sootmark shell
Jump Lists ys-jump-lists-parser Arbeiten von Sootmark shell zu Compound Files und Jump Lists
ShimCache ys-shimcache-parser Security Ronin shimcache-forensic
Defender ys-defender-history-parser Sootmark defender
VHDX-Disk-Images (mount, auto-parse --vhdx) ys-vhdx-parser (Security Ronin vhdx-core) und ntfs-core, bereitgestellt mit fuser Microsofts MS-VHDX
E01 / Ex01 (mount, auto-parse --e01) ys-e01-parser ewf-image (Apache-2.0); libewf (EWF1/EWF2)
Registry ys-registry-parser Unten genannte Forschung zum Registry-Format und zur Wiederherstellung

Referenzwerkzeuge und unabhängige Validierung

  • PyrsistenceSniper von Hexastrike lieferte den Katalog der Persistenzprüfungen, die Standard-Allowlist, den LOLBAS-Snapshot und das Referenzverhalten für den nativen Rust-Befehl persistence-hunter. Seine MIT-Lizenz und sein Copyright-Vermerk sind in THIRD_PARTY_NOTICES/PyrsistenceSniper-LICENSE.txt erhalten. Das ursprüngliche PersistenceSniper inspirierte das Python-Projekt; die vollständige Herkunft finden Sie in den Danksagungen zur Persistenz.

  • Maxim Suhanovs regf-Spezifikation und yarp prägten die Registry-Strukturen, das Wiedereinspielen von Transaktionsprotokollen und die Wiederherstellung gelöschter Datensätze; sein dfir_ntfs war die Referenz für INDX-Datensätze und das Carving aus Index-Slack.

  • Harel Segevs INDXRipper ist eine weitere Referenz für das Carving von Dateinamen aus Index-Slack.
  • dfir_ntfs, Joakim Schichts LogFileParser und Stroz Friedbergs ntfs-linker prägten die Validierung und Interpretation von $LogFile; Velocidex' go-ntfs lieferte öffentliches NTFS-Testbeweismaterial.
  • Die Projekte von Joachim Metz / libyal – libregf, libfsntfs, libscca, libfwsi und libesedb – bieten detaillierte Formatforschung und unabhängige Parsing-Referenzen.
  • Fox-ITs dissect.esedb, dissect.ntfs und dissect.target lieferten unabhängige Interpretationen von SRUM, UAL, $Secure:$SDS, SAM und Defender, die während der Validierung verwendet wurden.
  • fsstat aus The Sleuth Kit war die Referenz für NTFS-Bootsektoren von Volumes, die mit mkntfs erstellt wurden.
  • Einige Werkzeuge von Eric Zimmerman haben Feldnamen und Erwartungen von Untersuchenden etabliert, die für Vergleiche herangezogen wurden.
  • regipy, python-registry, Notatin und artemis lieferten Registry-Implementierungen, Tests oder Beispielinterpretationen.
  • LnkParse3, AbdulRhmanAlfaifis lnk_parser und jumplist_parser sowie JLECmd lieferten unabhängiges LNK-/Jump-List-Verhalten und öffentliche Testfälle.
  • Security Ronins prefetch-forensic und das Projekt forensicnomicon prägten Junteis besonders aussagekräftige Beobachtungen zu Prefetch/Amcache/ShimCache.
  • defender-dump und dissect.target bieten separate Implementierungen zum Verständnis der Strukturen der Defender-Quarantäne und eines sicheren Extraktionsverhaltens.
  • Plaso, Chainsaw und Velociraptor lieferten Parservergleiche, Testbeweismaterial oder sammlungsorientiertes Referenzverhalten für mehrere Artefakte.
  • Hindsight von Obsidian Forensics und die SQLiteHunter-Definitionen von Velocidex dienten als Referenz für Browserverlauf, Downloads, Cookies und Formularverlauf.

Spezifikationen und Forschung

Wir danken Microsoft für die Veröffentlichung der Open Specifications zu Shell Links, Compound Binary Files, NTFS-/SAM-Protokollen, Registry-, Dienst- und Aufgabenstrukturen sowie der API-Dokumentation. Ebenso danken wir den Autorinnen und Autoren der forensischen Forschung zu AppCompatCache, Amcache, SRUM, Prefetch, Registry und NTFS, die diese Artefakte für Praktiker verständlich gemacht hat.

Testbeweismaterial

Öffentliches Beweismaterial aus Andrew Rathbuns DFIR Artifact Museum, NIST CFReDS, Plaso, Regipy, Artemis, Testrepositorys von Parsern und weiteren ordnungsgemäß lizenzierten Sammlungen ermöglicht Regressionstests mit echten Windows-Daten. Juntei hält Hinweise zu Urheberschaft und Lizenz neben den enthaltenen Testdateien vor.

Mitwirkende

Wir danken allen, die an Juntei und den Parsern von Yamato Security mitgewirkt, Reviews durchgeführt oder Issues gemeldet haben, sowie allen Benutzerinnen und Benutzern, die Grenzfälle beigesteuert haben. Die aktuellen Mitwirkenden listet GitHub auf der Seite der Juntei-Mitwirkenden auf.

Lizenz

Juntei wird unter der Reciprocal Public License 1.5 (RPL-1.5) veröffentlicht; das Copyright liegt bei Shirofune Security Co., Ltd. Der Quellcode wurde vor Version 1.0.0 unter der AGPLv3 veröffentlicht. Die Lizenzen der Crates sowie des sonstigen Drittanbietercodes und der Drittanbieterdaten, mit denen es erstellt wird, finden Sie in THIRD_PARTY_NOTICES.