Artefaktleitfaden¶
Windows bewahrt sich überschneidende Spuren im Dateisystem, in der Registry, in Kompatibilitätsdatenbanken, im Verlauf der Benutzeroberfläche, in der Ressourcenerfassung und in Sicherheitsprodukten. Juntei parst diese Quellen, doch die Ermittlerin oder der Ermittler muss weiterhin interpretieren, was jede Quelle bedeutet.
Artefakt nach Fragestellung wählen¶
| Fragestellung der Untersuchung | Hier beginnen | Untermauern mit |
|---|---|---|
| Wurde diese ausführbare Datei ausgeführt? | Prefetch | ShimCache, SRUM, Ereignisprotokolle |
| War diese Datei jemals vorhanden? | Amcache, $MFT | USN-Journal, $I30, ShimCache |
| Wann wurde eine Datei erstellt, umbenannt oder gelöscht? | USN-Journal | $MFT, $I30, Defender-Quarantäne |
| Welcher Name oder Zeitstempel existierte vor einer Metadatenänderung? | $LogFile | $MFT, USN-Journal, $I30 |
| Wem gehört eine Datei, und wer darf sie ändern? | $Secure:$SDS mit $MFT | SAM, Security-Ereignisprotokolle |
| Auf welchem Volume befand sich das Ziel einer Verknüpfung oder Prefetch-Datei? | $Boot | LNK, Prefetch, USB-Geräte |
| Was hat ein Benutzer geöffnet? | Jump Lists, LNK, RecentDocs | SRUM, Prefetch |
| Hat ein Programm eine große Datenmenge übertragen? | SRUM | Telemetrie von Firewall, Proxy, DNS, Paketmitschnitten oder EDR |
| Welche Websites hat ein Benutzer besucht, und was hat er heruntergeladen? | Webbrowser, Internet Explorer und Edge Legacy | Proxy- und DNS-Protokolle, $MFT und USN-Journal, Defender, SRUM |
| Mit wem hat ein Benutzer E-Mails ausgetauscht, und was war angehängt? | Outlook | Protokolle von Mailservern und Gateways, $MFT und USN-Journal, Defender, LNK und Jump Lists |
| Welche Clients und Konten haben diesen Server genutzt, und an welchen Tagen? | Benutzerzugriffsprotokollierung (UAL) | Security-Ereignisprotokolle, SMB- und RDP-Protokolle, Firewall-Protokolle |
| Wurde Persistenz eingerichtet? | Dienste, TaskCache, Registry | Ereignisprotokolle, Prefetch, $MFT |
| Was hat Defender entfernt? | Defender-Quarantäne | Ereignisprotokolle, $MFT, USN-Journal |
| Wurden lokale Konten hinzugefügt oder geändert? | SAM | Security-Ereignisprotokolle und Transaktionsverlauf der Registry |
Warnungen vor den Feldern lesen¶
Jede Artefaktseite folgt demselben Ablauf:
- Was es ist und welche Fragen es beantworten kann.
- Wo es zu finden ist und wie sich die Sicherung darauf auswirkt.
- Was es beweist – und was nicht.
- Wie es mit Juntei geparst wird.
- Wie jedes Ausgabefeld zu lesen ist.
- Wie es mit unabhängigen Beweisen korreliert wird.
- Weitere Informationen für tiefergehende Recherche.
Setzen Sie einen Parserbefund nicht mit Bösartigkeit gleich
Befunde von Juntei kennzeichnen Muster, die eine Prüfung wert sind, etwa den Namen einer Systembinärdatei außerhalb von
System32. Installationsprogramme, Administratoren, Kompatibilitätsebenen und Softwareupdates können
ungewöhnliche Datensätze erzeugen. Validieren Sie anhand des Kontexts und unabhängiger Beweise.