Guide des artefacts¶
Windows conserve des traces qui se recoupent dans le système de fichiers, le Registre, les bases de données de compatibilité, l'historique de l'interface utilisateur, la comptabilisation des ressources et les produits de sécurité. Juntei analyse ces sources, mais l'enquêteur doit toujours interpréter ce que signifie chacune d'elles.
Choisir un artefact selon la question¶
| Question d'investigation | Commencer par | Corroborer avec |
|---|---|---|
| Cet exécutable a-t-il été exécuté ? | Prefetch | ShimCache, SRUM, journaux d'événements |
| Ce fichier a-t-il jamais été présent ? | Amcache, $MFT | Journal USN, $I30, ShimCache |
| Quand un fichier a-t-il été créé, renommé ou supprimé ? | Journal USN | $MFT, $I30, quarantaine Defender |
| Quel nom ou quel horodatage existait avant une modification des métadonnées ? | $LogFile | $MFT, Journal USN, $I30 |
| Qui est propriétaire d'un fichier, et qui peut le modifier ? | $Secure:$SDS avec $MFT | SAM, journaux d'événements Security |
| Sur quel volume se trouvait la cible d'un raccourci ou d'un fichier Prefetch ? | $Boot | LNK, Prefetch, Périphériques USB |
| Qu'a ouvert un utilisateur ? | Jump Lists, LNK, RecentDocs | SRUM, Prefetch |
| Un programme a-t-il transféré une grande quantité de données ? | SRUM | Télémétrie du pare-feu, du proxy, DNS, des paquets ou de l'EDR |
| Quels sites web un utilisateur a-t-il visités, et qu'a-t-il téléchargé ? | Navigateurs web, Internet Explorer et l'ancien Edge | Journaux du proxy et DNS, $MFT et journal USN, Defender, SRUM |
| Avec qui un utilisateur a-t-il échangé des e-mails, et qu'est-ce qui y était joint ? | Outlook | Journaux des serveurs et passerelles de messagerie, $MFT et journal USN, Defender, LNK et Jump Lists |
| Quels clients et quels comptes ont utilisé ce serveur, et quels jours ? | Journalisation des accès utilisateur (UAL) | Journaux d'événements Security, journaux SMB et RDP, journaux du pare-feu |
| Une persistance a-t-elle été configurée ? | Services, TaskCache, Registre | Journaux d'événements, Prefetch, $MFT |
| Qu'a supprimé Defender ? | Quarantaine Defender | Journaux d'événements, $MFT, journal USN |
| Des comptes locaux ont-ils été ajoutés ou modifiés ? | SAM | Journaux d'événements Security et historique des transactions du Registre |
Lire les avertissements avant les champs¶
Chaque page d'artefact suit la même séquence :
- Ce qu'il est et à quelles questions il peut répondre.
- Où le trouver et comment la collecte l'affecte.
- Ce qu'il prouve — et ce qu'il ne prouve pas.
- Comment l'analyser avec Juntei.
- Comment lire chaque champ de sortie.
- Comment le corréler avec des preuves indépendantes.
- Plus de détails pour la recherche de bas niveau.
N'assimilez pas une constatation du parseur à de la malveillance
Les constatations de Juntei identifient des motifs qui méritent un examen, comme un nom de binaire système en dehors de
System32. Les programmes d'installation, les administrateurs, les couches de compatibilité et les mises à jour logicielles peuvent produire
des enregistrements inhabituels. Validez à l'aide du contexte et de preuves indépendantes.