Fuentes de evidencia compatibles

Fuente de evidencia	Comando de Juntei	Más útil para	Limitación importante
Amcache	parse-registry amcache	Inventario de archivos, rutas, SHA-1, metadatos PE, dispositivos	La presencia no es ejecución; el editor no es una validación de firma
NTFS $MFT	parse-ntfs mft	Archivos, registros eliminados, rutas, marcas de tiempo, ADS	Los registros reutilizados y el timestomping pueden inducir a error
NTFS $LogFile	parse-ntfs logfile	Metadatos de rehacer/deshacer, nombres y marcas de tiempo antiguos, escrituras en el Diario USN	Retención circular corta; las horas de los metadatos no son horas de transacción; sin reproducción
Prefetch	parse-file prefetch	Ejecución de programas, recuento de ejecuciones, horas de ejecución recientes, archivos cargados	Solo se conserva un historial limitado de horas de ejecución
Diario USN $J	parse-ntfs usn-journal	Creaciones, eliminaciones, cambios de nombre, escrituras, rutas históricas	Diario circular; registra cambios, no el contenido de los archivos
Índices de directorios $I30	parse-ntfs i30	Archivos de un directorio; nombres, horas y tamaños de posibles archivos eliminados o renombrados que quedan en el espacio residual del índice	El espacio residual es parcial y no indica nada sobre cuándo se quitó una entrada
Sector de arranque NTFS $Boot	parse-ntfs boot	El número de serie del volumen que registran LNK, Jump Lists y Prefetch; geometría y ubicación de la $MFT; hash del código de arranque para comparar entre hosts	Los números de serie pueden cambiarse o repetirse; un código de arranque distinto es una pista, no la prueba de un bootkit
Descriptores de seguridad NTFS $Secure:$SDS	parse-ntfs secure-sds	Propietarios y ACL de los archivos, según el SID de la $MFT; DACL NULL y ACL permisivas	Los propietarios pueden cambiarse; las ACL indican quién puede acceder, no quién lo hizo
Imágenes de disco VHDX	mount, auto-parse --vhdx	NTFS → CSV / JSON / JSONL	auto-parse: Linux/macOS/Windows (TMP); mount: Linux/FUSE; NTFS ADS: —
Imágenes de disco E01 / Ex01	mount, auto-parse --e01	NTFS → CSV / JSON / JSONL	auto-parse: Linux/macOS/Windows (TMP); mount: Linux/FUSE; NTFS ADS: —
SRUM	parse-ese srum	Uso de red y de recursos por aplicación y usuario	Normalmente agregado; no es una prueba a nivel de paquete o de destino
Registro de acceso de usuarios (UAL)	parse-ese ual	Qué direcciones de cliente y qué cuentas usaron los roles de un Windows Server (recursos compartidos de archivos, Active Directory, DHCP, IIS) y en qué días	Las solicitudes se cuentan por día, no se registran una a una; la dirección puede ser un NAT o un proxy; a un Current.mdb sucio le faltan sus cambios más recientes
Internet Explorer y Edge heredado (WebCache)	parse-ese webcache	Páginas visitadas y archivos locales abiertos en el Explorador de archivos, archivos descargados y su procedencia, cookies, archivos en caché con sus encabezados HTTP	Una entrada del historial es una URL con su última visita, no cada visita; las entradas eliminadas no se recuperan; a una base de datos sucia le faltan sus cambios más recientes
Navegadores web (basados en Chromium y en Firefox)	parse-sqlite browser	Páginas visitadas y cómo se llegó a ellas, archivos descargados y su procedencia, cookies, valores escritos en formularios web; visitas, descargas y entradas de formularios eliminadas recuperadas	Una visita puede ser una redirección, un marco o una página que abrió otro programa; los valores de las cookies de Chromium están cifrados; las entradas eliminadas se pierden en cuanto el navegador las rellena con ceros o ejecuta un punto de control
Outlook (PST, OST, MSG, OFT)	parse-file outlook	Correos electrónicos con sus remitentes, destinatarios, horas y adjuntos; contactos, elementos de calendario y tareas; carpetas, elementos ocultos de configuración y cada propiedad tal como está almacenada	La dirección de un remitente puede estar falsificada; los elementos que ya no están en ninguna carpeta no se recuperan; las libretas de direcciones sin conexión, el autocompletado y otros archivos de Outlook todavía no se leen
Accesos directos LNK	parse-file lnk	Destinos abiertos, argumentos, volúmenes, recursos compartidos, equipo de origen	Un acceso directo puede crearse sin que el destino llegue a ejecutarse
Jump Lists	parse-file jump-lists	Elementos abiertos por aplicaciones, anclaje, uso y datos LNK incrustados	Comportamiento y retención específicos de cada aplicación
ShimCache	parse-registry shimcache	Rutas históricas de ejecutables y comprobaciones de compatibilidad	Es posible que la caché no se vuelque hasta el apagado; una entrada por sí sola no es ejecución
Cuarentena de Defender	parse-file defender-quarantine	Detección, ruta original, hashes, origen de la descarga, bytes recuperados	El nombre de la detección es un veredicto del producto; la extracción es peligrosa
Hives del Registro	parse-registry read	Configuración, persistencia, valores eliminados o reproducidos	La hora de la clave no es la hora de un valor; los hives activos necesitan los registros de transacciones
Servicios	parse-registry services	Persistencia de servicios y controladores, y acciones de error	La configuración no demuestra que el servicio se iniciara
RecentDocs	parse-registry recent-docs	Archivos y carpetas abiertos recientemente por usuario	Solo el elemento más reciente de cada lista obtiene una hora de apertura defendible
Microsoft Office	parse-registry office	Documentos y carpetas que abrió cada aplicación de Office, con sus horas; documentos cuyas macros habilitó el usuario; configuración de macros y ubicaciones de confianza	Habilitar las macros no prueba que se ejecutara una macro; las rutas de los registros de confianza se almacenan tal como las escribe Office
Cuadros de diálogo Abrir y Guardar como	parse-registry open-save-mru	Archivos abiertos o guardados mediante los cuadros de diálogo comunes, por extensión, y los programas y carpetas que los utilizaron	Solo se fecha la entrada más reciente de cada lista; no se distingue entre abrir y guardar
TaskCache	parse-registry taskcache	Acciones de tareas programadas, metadatos, tareas ocultas	Correlacione con el XML de la tarea y los registros de eventos para probar la ejecución
Configuración de arranque (BCD)	parse-registry bcd	Entradas de arranque; recuperación desactivada, errores ignorados, firma de prueba, comprobaciones de integridad desactivadas, modo seguro, con el momento en que se estableció cada uno	A menudo el almacén no se recopila (partición del sistema EFI, \Boot); la configuración se hereda
Inicio automático en el Registro	parse-registry persistence	Claves Run, Winlogon, IFEO, DLL de AppInit/AppCert, paquetes LSA, secuestros de COM y otras ubicaciones de inicio automático	Configuración, no prueba de ejecución; la mayoría de las entradas son valores predeterminados de Windows
Compatibilidad de aplicaciones	parse-registry app-compat	Capas de compatibilidad, programas que el Asistente para la compatibilidad de programas vio ejecutarse, uso de programas y módulos de CIT, bases de datos de shims personalizadas	Las entradas del Asistente para la compatibilidad de programas no tienen hora de ejecución; los datos de CIT proceden sobre todo de Windows 7 y 8
FeatureUsage, RecentApps, elementos anclados	parse-registry feature-usage	Con qué frecuencia un usuario cambió a cada aplicación, la inició o hizo clic en ella; aplicaciones recientes y sus archivos; elementos anclados a la barra de tareas y programas del menú Inicio	Los recuentos no tienen horas; cuentan cambios de ventana, no inicios
ShellBags	parse-registry shell-bags	Carpetas que un usuario abrió en el Explorador y en cuadros de diálogo, incluidas las extraíbles, de red, de dispositivos portátiles, ZIP y eliminadas, como rutas completas	Solo el elemento más reciente de cada clave obtiene una hora de apertura defendible; las horas de los elementos son las de la carpeta, no las de la visita
BAM y DAM	parse-registry bam	La última vez que cada usuario ejecutó cada programa, incluso desde dispositivos extraíbles y de red	Una hora por programa y usuario, solo actividad reciente; rutas de dispositivo, no letras de unidad
Dispositivos USB	parse-registry usb	Almacenamiento USB y otros dispositivos, números de serie, horas de instalación, llegada y extracción, letras de unidad, nombres y números de serie de volumen, usuarios que los montaron	Solo se conservan la última llegada y la última extracción; las letras de unidad se reutilizan
MuiCache	parse-registry muicache	Rutas, descripciones y compañías de programas en caché asociadas al perfil de shell de un usuario	Sin hora por programa; el perfil no es necesariamente la cuenta del proceso y los metadatos pueden falsificarse
UserAssist	parse-registry user-assist	Programas y accesos directos que un usuario inició desde el Explorador, con recuentos de ejecución, tiempo en primer plano y última ejecución	Solo se cuentan los inicios desde el Explorador; los perfiles nuevos se inicializan con elementos predeterminados
Redes	parse-registry networks	Redes a las que se unió el equipo con las horas de primera y última conexión, MAC de las puertas de enlace, interfaces y concesiones DHCP, recursos compartidos, proxies de puertos, rutas	Las horas de los perfiles son locales y se convierten con la zona horaria actual; nombres como "Network 2" se repiten
Configuración de seguridad	parse-registry security-settings	Defender (y sus exclusiones), UAC, protección de WDigest/LSA, RDP, firewall, SMBv1, registro de PowerShell y AMSI, configuración del registro de eventos y de las evidencias, marcados cuando debilitan la configuración predeterminada	Un ajuste debilitado no es prueba de compromiso; los valores ausentes (los predeterminados de Windows) no se notifican
Historial de aplicaciones	parse-registry app-history	Herramientas de Sysinternals que ejecutó un usuario, historial de archivos comprimidos y carpetas (WinRAR, 7-Zip, WinZip), cuentas de OneDrive, archivos recientes de Adobe, valores de TeamViewer y CCleaner	La mayoría de las entradas de las listas no tienen hora; solo se fecha la entrada más reciente de cada lista
Listas MRU	parse-registry mru	Comandos del cuadro de diálogo Ejecutar, rutas escritas en el Explorador, búsquedas del Explorador, direcciones escritas en Internet Explorer (con sus horas), archivos de Paint y WordPad, términos de búsqueda de XP	Solo se fecha la entrada más reciente de cada lista, salvo las direcciones escritas; escrito no significa ejecutado
Acceso remoto (lado del usuario)	parse-registry remote-access	Equipos a los que accedió un usuario con Escritorio remoto, PuTTY y WinSCP, claves de host SSH aceptadas, unidades asignadas y recursos compartidos	Un destino guardado o escrito no es una conexión correcta; las claves de lista tienen una sola hora para todos sus elementos
Programas instalados	parse-registry installed-programs	Programas instalados (para todo el equipo y por usuario), productos de Windows Installer, App Paths, distribuciones de WSL y aplicaciones empaquetadas	La fecha de instalación es la del instalador; los programas desinstalados correctamente no dejan ninguna entrada
SAM	parse-registry sam	Cuentas locales, indicadores, RID, metadatos de inicio de sesión y contraseña	Solo cuentas locales; los valores de último inicio de sesión no son un historial completo de inicios de sesión
Secretos LSA	parse-registry lsa-secrets	Qué secretos guarda LSA (inicio de sesión automático, cuentas de servicio, cuenta de equipo) y cuándo se establecieron; inicios de sesión de dominio en caché en uso	Solo nombres y horas, no se descifra nada; DefaultPassword existe sin inicio de sesión automático
Directiva de auditoría	parse-registry auditpol	Qué eventos de seguridad estaba configurado el sistema para registrar y, por tanto, qué eventos ausentes no significan nada	La directiva vigente cuando se escribió el hive por última vez; los cambios se registran con el evento 4719
Información del sistema	parse-registry system-info	Nombres del equipo y del dominio, versión y fecha de instalación de Windows, zona horaria, último apagado, último usuario, perfiles, SID	La configuración en el momento de la recopilación; InstallDate cambia con las actualizaciones de características, y Windows 11 se identifica como Windows 10

Tipos de recopilación

Juntei acepta un único artefacto con -f o busca de forma recursiva en una recopilación con -d. El modo de directorio está diseñado para las estructuras de triaje habituales en las que cada host contiene rutas como C/Windows/System32/config/SYSTEM o C/Users/alice/NTUSER.DAT.

Consulte Recopilación de evidencias antes de analizar copias de hives del Registro o bases de datos ESE: los registros de transacciones relacionados pueden ser imprescindibles para reconstruir el estado que veía Windows.