Accueil
Juntei est le parseur multiplateforme de Yamato Security pour les artefacts forensiques Windows qui ne sont pas des journaux d'événements. Il convertit les preuves collectées en enregistrements CSV, JSON et JSONL cohérents, tout en préservant le contexte dont un enquêteur a besoin pour éviter les conclusions erronées.
De l'artefact brut à une conclusion défendable¶
Juntei peut vous indiquer ce qu'enregistre un artefact ; ce site explique ce que cet enregistrement prouve et ne prouve pas. Commencez par une page d'artefact, même si vous n'avez jamais pratiqué le DFIR Windows. Chaque guide en présente la finalité, l'emplacement sur disque, les réserves liées à la rétention et à la collecte, la commande d'analyse, les champs de sortie, l'interprétation, les corrélations et des lectures approfondies.
-
Historique du système de fichiers
Utilisez la
$MFTet le journal USN pour reconstituer l'existence des fichiers, leurs noms, leurs déplacements, leur suppression, les modifications de métadonnées et les flux de données alternatifs. -
Preuves relatives aux programmes
Prefetch peut fortement étayer une exécution. Amcache et ShimCache apportent un inventaire, des chemins, des empreintes, des informations de compatibilité et un contexte historique, mais exigent une interprétation prudente.
-
Activité des utilisateurs
Les fichiers LNK, les Jump Lists, RecentDocs et SRUM révèlent les éléments ouverts, l'activité des applications, les emplacements amovibles ou réseau, l'utilisation des ressources et le contexte historique de l'utilisateur.
-
Preuves liées à la sécurité
La quarantaine Defender peut conserver les libellés de menaces, les chemins d'origine, les origines des téléchargements, les empreintes, les propriétaires, et même permettre de récupérer en toute sécurité les octets mis en quarantaine pour une analyse isolée.
-
État du Registre
Lisez les données de Registre allouées et récupérables, rejouez les journaux de transactions, et examinez les services, les tâches planifiées, les comptes locaux et l'état des documents récents.
-
Corréler, ne pas deviner
Aucun artefact ne raconte à lui seul toute l'histoire. Les guides montrent comment combiner des sources indépendantes en une chronologie étayée par des preuves.
Une sortie forensique est une preuve, pas un verdict
Un chemin qui paraît suspect est une piste. Un horodatage peut décrire les métadonnées d'un fichier plutôt que son exécution. L'absence d'un enregistrement ne prouve pas qu'une action n'a pas eu lieu. Préservez les preuves sources, consignez les versions des outils et les commandes, et corroborez les conclusions importantes.