Guía de artefactos¶
Windows conserva rastros que se solapan en el sistema de archivos, el Registro, las bases de datos de compatibilidad, el historial de la interfaz de usuario, la contabilidad de recursos y los productos de seguridad. Juntei analiza estas fuentes, pero el investigador sigue teniendo que interpretar lo que significa cada una.
Elegir un artefacto según la pregunta¶
| Pregunta de la investigación | Empiece aquí | Corrobore con |
|---|---|---|
| ¿Se ejecutó este ejecutable? | Prefetch | ShimCache, SRUM, registros de eventos |
| ¿Estuvo presente alguna vez este archivo? | Amcache, $MFT | Diario USN, $I30, ShimCache |
| ¿Cuándo se creó, renombró o eliminó un archivo? | Diario USN | $MFT, $I30, cuarentena de Defender |
| ¿Qué nombre o marca de tiempo existía antes de un cambio de metadatos? | $LogFile | $MFT, Diario USN, $I30 |
| ¿Quién es el propietario de un archivo y quién puede modificarlo? | $Secure:$SDS con $MFT | SAM, registros de eventos Security |
| ¿En qué volumen estaba el destino de un acceso directo o de un archivo Prefetch? | $Boot | LNK, Prefetch, dispositivos USB |
| ¿Qué abrió un usuario? | Jump Lists, LNK, RecentDocs | SRUM, Prefetch |
| ¿Transfirió un programa una gran cantidad de datos? | SRUM | Telemetría de cortafuegos, proxy, DNS, paquetes o EDR |
| ¿Qué sitios web visitó un usuario y qué descargó? | Navegadores web, Internet Explorer y Edge heredado | Registros de proxy y DNS, $MFT y Diario USN, Defender, SRUM |
| ¿Con quién intercambió correos electrónicos un usuario y qué se adjuntó? | Outlook | Registros de servidores y pasarelas de correo, $MFT y Diario USN, Defender, LNK y Jump Lists |
| ¿Qué clientes y cuentas usaron este servidor, y en qué días? | Registro de acceso de usuarios (UAL) | Registros de eventos Security, registros de SMB y RDP, registros del cortafuegos |
| ¿Se configuró persistencia? | Servicios, TaskCache, Registro | Registros de eventos, Prefetch, $MFT |
| ¿Qué eliminó Defender? | Cuarentena de Defender | Registros de eventos, $MFT, Diario USN |
| ¿Se añadieron o modificaron cuentas locales? | SAM | Registros de eventos Security e historial de transacciones del Registro |
Leer las advertencias antes que los campos¶
Todas las páginas de artefactos siguen la misma secuencia:
- Qué es y a qué preguntas puede responder.
- Dónde encontrarlo y cómo le afecta la recopilación.
- Qué demuestra y qué no demuestra.
- Cómo analizarlo con Juntei.
- Cómo interpretar cada campo de salida.
- Cómo correlacionarlo con evidencias independientes.
- Más información para la investigación a bajo nivel.
No equipare un hallazgo del analizador con malicia
Los hallazgos de Juntei identifican patrones que merece la pena revisar, como un nombre de binario del sistema fuera de
System32. Los instaladores, los administradores, las capas de compatibilidad y las actualizaciones de software pueden generar
registros inusuales. Valídelos con contexto y evidencias independientes.