Unterstützte Beweisquellen¶
| Beweisquelle | Juntei-Befehl | Am nützlichsten für | Wichtige Einschränkung |
|---|---|---|---|
| Amcache | parse-registry amcache |
Dateiinventar, Pfade, SHA-1, PE-Metadaten, Geräte | Vorhandensein ist keine Ausführung; Herausgeber ist keine Signaturprüfung |
NTFS $MFT |
parse-ntfs mft |
Dateien, gelöschte Datensätze, Pfade, Zeitstempel, ADS | Wiederverwendete Datensätze und Timestomping können in die Irre führen |
NTFS $LogFile |
parse-ntfs logfile |
Redo-/Undo-Metadaten, alte Namen und Zeitstempel, Schreibvorgänge in das USN-Journal | Kurze zirkuläre Aufbewahrung; Metadatenzeiten sind keine Transaktionszeiten; kein Einspielen |
| Prefetch | parse-file prefetch |
Programmausführung, Ausführungszähler, letzte Ausführungszeiten, geladene Dateien | Nur ein begrenzter Verlauf der Ausführungszeiten wird aufbewahrt |
USN-Journal $J |
parse-ntfs usn-journal |
Erstellungen, Löschungen, Umbenennungen, Schreibvorgänge, historische Pfade | Zirkuläres Journal; zeichnet Änderungen auf, keine Dateiinhalte |
Verzeichnisindizes $I30 |
parse-ntfs i30 |
Dateien in einem Verzeichnis; Namen, Zeiten und Größen möglicherweise gelöschter oder umbenannter Dateien, die im Index-Slack verblieben sind | Slack ist unvollständig und sagt nichts darüber aus, wann ein Eintrag entfernt wurde |
NTFS-Bootsektor $Boot |
parse-ntfs boot |
Die von LNK, Jump Lists und Prefetch aufgezeichnete Volume-Seriennummer; Geometrie und Lage der $MFT; Hash des Bootcodes zum Vergleich zwischen Hosts |
Seriennummern können geändert werden oder sich wiederholen; ein abweichender Bootcode ist ein Ansatzpunkt, kein Beweis für ein Bootkit |
NTFS-Sicherheitsbeschreibungen $Secure:$SDS |
parse-ntfs secure-sds |
Besitzer und ACLs von Dateien, über die SID der $MFT; NULL-DACLs und freizügige ACLs |
Besitzer können geändert werden; ACLs sagen, wer zugreifen darf, nicht, wer zugegriffen hat |
| VHDX-Disk-Images | mount, auto-parse --vhdx |
NTFS → CSV / JSON / JSONL | auto-parse: Linux/macOS/Windows (TMP); mount: Linux/FUSE; NTFS ADS: — |
| E01 / Ex01-Disk-Images | mount, auto-parse --e01 |
NTFS → CSV / JSON / JSONL | auto-parse: Linux/macOS/Windows (TMP); mount: Linux/FUSE; NTFS ADS: — |
| SRUM | parse-ese srum |
Netzwerk- und Ressourcennutzung pro App/Benutzer | In der Regel aggregiert; kein Nachweis auf Paket- oder Zielebene |
| Benutzerzugriffsprotokollierung (UAL) | parse-ese ual |
Welche Clientadressen und Konten die Rollen eines Windows Servers (Dateifreigaben, Active Directory, DHCP, IIS) genutzt haben, und an welchen Tagen | Anforderungen werden pro Tag gezählt, nicht einzeln protokolliert; die Adresse kann ein NAT oder Proxy sein; einer „dirty“ Current.mdb fehlen ihre neuesten Änderungen |
| Internet Explorer und Edge Legacy (WebCache) | parse-ese webcache |
Besuchte Seiten und im Datei-Explorer geöffnete lokale Dateien, heruntergeladene Dateien und ihre Herkunft, Cookies, zwischengespeicherte Dateien mit ihren HTTP-Headern | Ein Verlaufseintrag ist eine URL mit ihrem letzten Besuch, nicht jeder einzelne Besuch; gelöschte Einträge werden nicht wiederhergestellt; einer „dirty“ Datenbank fehlen ihre neuesten Änderungen |
| Webbrowser (Chromium- und Firefox-basiert) | parse-sqlite browser |
Besuchte Seiten und wie sie aufgerufen wurden, heruntergeladene Dateien und ihre Herkunft, Cookies, in Webformulare eingegebene Werte; wiederhergestellte gelöschte Besuche, Downloads und Formulareinträge | Ein Besuch kann eine Weiterleitung, ein Frame oder eine von einem anderen Programm geöffnete Seite sein; Cookie-Werte von Chromium sind verschlüsselt; gelöschte Einträge sind verloren, sobald der Browser sie mit Nullen überschreibt oder einen Checkpoint ausführt |
| Outlook (PST, OST, MSG, OFT) | parse-file outlook |
E-Mails mit ihren Absendern, Empfängern, Zeiten und Anhängen; Kontakte, Kalenderelemente und Aufgaben; Ordner, versteckte Einstellungselemente und jede Eigenschaft, wie gespeichert | Die Adresse eines Absenders kann gefälscht sein; Elemente, die in keinem Ordner mehr stehen, werden nicht wiederhergestellt; Offline-Adressbücher, AutoVervollständigen und andere Outlook-Dateien werden noch nicht gelesen |
| LNK-Verknüpfungen | parse-file lnk |
Geöffnete Ziele, Argumente, Volumes, Freigaben, Quellcomputer | Eine Verknüpfung kann erstellt werden, ohne dass das Ziel ausgeführt wird |
| Jump Lists | parse-file jump-lists |
Von Anwendungen geöffnete Elemente, Anheften, Nutzung und eingebettete LNK-Daten | Anwendungsspezifisches Verhalten und anwendungsspezifische Aufbewahrung |
| ShimCache | parse-registry shimcache |
Historische Pfade ausführbarer Dateien und Kompatibilitätsprüfungen | Der Cache wird möglicherweise erst beim Herunterfahren geschrieben; ein Eintrag allein ist keine Ausführung |
| Defender-Quarantäne | parse-file defender-quarantine |
Erkennung, ursprünglicher Pfad, Hashes, Download-Ursprung, wiederhergestellte Bytes | Der Erkennungsname ist ein Produkturteil; die Extraktion ist gefährlich |
| Registry-Hives | parse-registry read |
Konfiguration, Persistenz, gelöschte/eingespielte Werte | Die Schlüsselzeit ist keine Wertzeit; Live-Hives benötigen Transaktionsprotokolle |
| Dienste | parse-registry services |
Persistenz über Dienste/Treiber und Fehleraktionen | Die Konfiguration beweist nicht, dass der Dienst gestartet wurde |
| RecentDocs | parse-registry recent-docs |
Zuletzt geöffnete Dateien und Ordner pro Benutzer | Nur das jüngste Element jeder Liste erhält eine belastbare Öffnungszeit |
| Microsoft Office | parse-registry office |
Von jeder Office-Anwendung geöffnete Dokumente und Ordner mit Zeiten; Dokumente, deren Makros der Benutzer aktiviert hat; Makroeinstellungen und vertrauenswürdige Speicherorte | Das Aktivieren von Makros beweist nicht, dass ein Makro ausgeführt wurde; Pfade in Vertrauensdatensätzen werden so gespeichert, wie Office sie schreibt |
| Dialoge zum Öffnen und Speichern unter | parse-registry open-save-mru |
Über die Standarddialoge geöffnete oder gespeicherte Dateien, nach Erweiterung, sowie die Programme und Ordner, die sie verwendet haben | Nur der jüngste Eintrag jeder Liste ist datiert; Öffnen und Speichern werden nicht unterschieden |
| TaskCache | parse-registry taskcache |
Aktionen geplanter Aufgaben, Metadaten, verborgene Aufgaben | Für einen Ausführungsnachweis mit Aufgaben-XML und Ereignisprotokollen korrelieren |
| Startkonfiguration (BCD) | parse-registry bcd |
Starteinträge; deaktivierte Wiederherstellung, ignorierte Fehler, Testsignierung, deaktivierte Integritätsprüfungen, abgesicherter Modus, jeweils mit dem Zeitpunkt der Einstellung | Der Speicher wird häufig nicht gesichert (EFI-Systempartition, \Boot); Einstellungen werden vererbt |
| Registry-Autostarts | parse-registry persistence |
Run-Schlüssel, Winlogon, IFEO, AppInit-/AppCert-DLLs, LSA-Pakete, COM-Hijacks und andere Autostart-Speicherorte | Konfiguration, kein Ausführungsnachweis; die meisten Einträge sind Windows-Standards |
| Anwendungskompatibilität | parse-registry app-compat |
Kompatibilitätsebenen, vom Programmkompatibilitäts-Assistenten beobachtete Programmausführungen, CIT-Programm- und Modulnutzung, benutzerdefinierte Shim-Datenbanken | Einträge des Programmkompatibilitäts-Assistenten enthalten keine Ausführungszeit; CIT-Daten stammen überwiegend von Windows 7 und 8 |
| FeatureUsage, RecentApps, angeheftete Elemente | parse-registry feature-usage |
Wie oft ein Benutzer zu jeder Anwendung gewechselt ist, sie gestartet oder angeklickt hat; zuletzt verwendete Apps und deren Dateien; an die Taskleiste angeheftete Elemente und Programme im Startmenü | Zähler haben keine Zeiten; Fensterwechsel, keine Starts |
| ShellBags | parse-registry shell-bags |
Ordner, die ein Benutzer im Explorer und in Dialogen geöffnet hat, einschließlich Wechseldatenträgern, Netzwerk, tragbaren Geräten, ZIP-Dateien und gelöschten Ordnern, als vollständige Pfade | Nur das jüngste Element jedes Schlüssels erhält eine belastbare Öffnungszeit; Elementzeiten gehören zum Ordner, nicht zum Besuch |
| BAM und DAM | parse-registry bam |
Der letzte Zeitpunkt, zu dem jeder Benutzer jedes Programm ausgeführt hat, auch von Wechsel- und Netzwerkgeräten | Eine Zeit pro Programm und Benutzer, nur jüngste Aktivität; Gerätepfade statt Laufwerksbuchstaben |
| USB-Geräte | parse-registry usb |
USB-Speicher und andere Geräte, Seriennummern, Installations-/Anschluss-/Entfernungszeiten, Laufwerksbuchstaben, Volume-Namen und -Seriennummern, Benutzer, die sie eingebunden haben | Nur der letzte Anschluss und die letzte Entfernung werden aufbewahrt; Laufwerksbuchstaben werden wiederverwendet |
| MuiCache | parse-registry muicache |
Zwischengespeicherte Programmpfade, Beschreibungen und Unternehmen, die dem Shell-Profil eines Benutzers zugeordnet sind | Keine Zeit pro Programm; das Profil ist nicht notwendigerweise das Prozesskonto, und Metadaten können gefälscht sein |
| UserAssist | parse-registry user-assist |
Programme und Verknüpfungen, die ein Benutzer über den Explorer gestartet hat, mit Ausführungszählern, Fokuszeit und letzter Ausführung | Nur Starts über den Explorer werden gezählt; neue Profile werden mit Standardelementen vorbelegt |
| Netzwerke | parse-registry networks |
Verbundene Netzwerke mit erster/letzter Verbindungszeit, Gateway-MACs, Schnittstellen und DHCP-Leases, Freigaben, Port-Proxys, Routen | Profilzeiten sind lokal und werden mit der aktuellen Zeitzone umgerechnet; Namen wie „Netzwerk 2“ wiederholen sich |
| Sicherheitseinstellungen | parse-registry security-settings |
Defender (und seine Ausschlüsse), UAC, WDigest/LSA-Schutz, RDP, Firewall, SMBv1, PowerShell-Protokollierung und AMSI, Ereignisprotokoll- und Beweiseinstellungen, gekennzeichnet, wo sie den Standard abschwächen | Eine abgeschwächte Einstellung ist kein Beweis für eine Kompromittierung; fehlende Werte (Windows-Standards) werden nicht gemeldet |
| Anwendungsverlauf | parse-registry app-history |
Von einem Benutzer ausgeführte Sysinternals-Werkzeuge, Archiv- und Ordnerverlauf (WinRAR, 7-Zip, WinZip), OneDrive-Konten, zuletzt verwendete Adobe-Dateien, Werte von TeamViewer und CCleaner | Die meisten Listeneinträge haben keine Zeit; nur der jüngste Eintrag jeder Liste ist datiert |
| MRU-Listen | parse-registry mru |
Befehle im Ausführen-Dialog, im Explorer eingegebene Pfade, Explorer-Suchen, im Internet Explorer eingegebene Adressen (mit ihren Zeiten), Paint- und WordPad-Dateien, XP-Suchbegriffe | Abgesehen von eingegebenen Adressen ist nur der jüngste Eintrag jeder Liste datiert; eingegeben heißt nicht ausgeführt |
| Fernzugriff (Benutzerseite) | parse-registry remote-access |
Computer, die ein Benutzer mit Remotedesktop, PuTTY und WinSCP erreicht hat, akzeptierte SSH-Hostschlüssel, zugeordnete Laufwerke und Freigaben | Ein gespeichertes oder eingegebenes Ziel ist keine erfolgreiche Verbindung; Listenschlüssel haben eine gemeinsame Zeit für alle ihre Elemente |
| Installierte Programme | parse-registry installed-programs |
Installierte Programme (systemweit und pro Benutzer), Windows Installer-Produkte, App Paths, WSL-Distributionen und paketierte Apps | Das Installationsdatum stammt vom Installationsprogramm; sauber deinstallierte Programme hinterlassen keinen Eintrag |
| SAM | parse-registry sam |
Lokale Konten, Flags, RIDs, Anmelde-/Kennwortmetadaten | Nur lokale Konten; Werte der letzten Anmeldung sind kein vollständiger Anmeldeverlauf |
| LSA-Secrets | parse-registry lsa-secrets |
Welche Secrets die LSA enthält (Autologon, Dienstkonten, Computerkonto) und wann sie gesetzt wurden; belegte zwischengespeicherte Domänenanmeldungen | Nur Namen und Zeiten, nichts wird entschlüsselt; DefaultPassword existiert auch ohne Autologon |
| Überwachungsrichtlinie | parse-registry auditpol |
Welche Sicherheitsereignisse das System protokollieren sollte und welche fehlenden Ereignisse daher nichts aussagen | Die Richtlinie zum Zeitpunkt des letzten Schreibens des Hives; Änderungen werden durch Ereignis 4719 protokolliert |
| Systeminformationen | parse-registry system-info |
Computer- und Domänennamen, Windows-Version und Installationsdatum, Zeitzone, letztes Herunterfahren, letzter Benutzer, Profile, SIDs | Die Konfiguration zum Zeitpunkt der Sicherung; InstallDate ändert sich mit Funktionsupdates, und Windows 11 bezeichnet sich selbst als Windows 10 |
Arten von Sicherungen¶
Juntei akzeptiert ein einzelnes Artefakt mit -f oder durchsucht eine Sicherung rekursiv mit -d.
Der Verzeichnismodus ist für gängige Triage-Layouts ausgelegt, bei denen jeder Host Pfade wie
C/Windows/System32/config/SYSTEM oder C/Users/alice/NTUSER.DAT enthält.
Lesen Sie Beweise sichern, bevor Sie kopierte Registry- oder ESE-Datenbanken analysieren: Zugehörige Transaktionsprotokolle können für die Rekonstruktion des Zustands, den Windows gesehen hat, unverzichtbar sein.