Sources de preuve prises en charge

Source de preuve	Commande Juntei	Particulièrement utile pour	Limitation importante
Amcache	parse-registry amcache	Inventaire des fichiers, chemins, SHA-1, métadonnées PE, périphériques	La présence n'est pas l'exécution ; l'éditeur n'est pas une validation de signature
$MFT NTFS	parse-ntfs mft	Fichiers, enregistrements supprimés, chemins, horodatages, ADS	Les enregistrements réutilisés et le timestomping peuvent induire en erreur
$LogFile NTFS	parse-ntfs logfile	Métadonnées redo/undo, anciens noms et horodatages, écritures dans le journal USN	Rétention circulaire courte ; les heures des métadonnées ne sont pas des heures de transaction ; pas de rejeu
Prefetch	parse-file prefetch	Exécution de programmes, nombre d'exécutions, heures d'exécution récentes, fichiers chargés	Seul un historique limité des heures d'exécution est conservé
Journal USN $J	parse-ntfs usn-journal	Créations, suppressions, renommages, écritures, chemins historiques	Journal circulaire ; enregistre des modifications, pas le contenu des fichiers
Index de répertoires $I30	parse-ntfs i30	Fichiers d'un répertoire ; noms, heures et tailles de fichiers éventuellement supprimés ou renommés restés dans le slack de l'index	Le slack est partiel et n'indique pas quand une entrée a été supprimée
Secteur de démarrage NTFS $Boot	parse-ntfs boot	Numéro de série du volume enregistré par LNK, les Jump Lists et Prefetch ; géométrie et emplacement de la $MFT ; empreinte du code de démarrage à comparer entre hôtes	Les numéros de série peuvent être modifiés ou répétés ; un code de démarrage différent est une piste, et non la preuve d'un bootkit
Descripteurs de sécurité NTFS $Secure:$SDS	parse-ntfs secure-sds	Propriétaires et ACL des fichiers, via le SID de la $MFT ; DACL NULL et ACL permissives	Les propriétaires peuvent être modifiés ; les ACL indiquent qui peut accéder, et non qui a accédé
Images disque VHDX	mount, auto-parse --vhdx	NTFS → CSV / JSON / JSONL	auto-parse: Linux/macOS/Windows (TMP); mount: Linux/FUSE; NTFS ADS: —
Images disque E01 / Ex01	mount, auto-parse --e01	NTFS → CSV / JSON / JSONL	auto-parse: Linux/macOS/Windows (TMP); mount: Linux/FUSE; NTFS ADS: —
SRUM	parse-ese srum	Utilisation du réseau et des ressources par application/utilisateur	Généralement agrégé ; ne prouve rien au niveau des paquets ou des destinations
Journalisation des accès utilisateur (UAL)	parse-ese ual	Quelles adresses de clients et quels comptes ont utilisé les rôles d'un Windows Server (partages de fichiers, Active Directory, DHCP, IIS), et quels jours	Les requêtes sont comptées par jour, et non journalisées une à une ; l'adresse peut être celle d'un NAT ou d'un proxy ; un Current.mdb « dirty » ne contient pas ses modifications les plus récentes
Internet Explorer et l'ancien Edge (WebCache)	parse-ese webcache	Pages visitées et fichiers locaux ouverts dans l'Explorateur de fichiers, fichiers téléchargés et leur provenance, cookies, fichiers mis en cache avec leurs en-têtes HTTP	Une entrée d'historique est une URL avec sa dernière visite, et non chaque visite ; les entrées supprimées ne sont pas récupérées ; une base de données « dirty » ne contient pas ses modifications les plus récentes
Navigateurs web (basés sur Chromium et sur Firefox)	parse-sqlite browser	Pages visitées et manière dont on y est arrivé, fichiers téléchargés et leur provenance, cookies, valeurs saisies dans des formulaires web ; visites, téléchargements et entrées de formulaires supprimés récupérés	Une visite peut être une redirection, un cadre ou une page ouverte par un autre programme ; les valeurs des cookies de Chromium sont chiffrées ; les entrées supprimées sont perdues dès que le navigateur les met à zéro ou effectue un point de contrôle
Outlook (PST, OST, MSG, OFT)	parse-file outlook	E-mails avec leurs expéditeurs, destinataires, heures et pièces jointes ; contacts, éléments de calendrier et tâches ; dossiers, éléments de paramètres masqués et chaque propriété telle qu'elle est stockée	L'adresse d'un expéditeur peut être falsifiée ; les éléments qui ne sont plus dans aucun dossier ne sont pas récupérés ; les carnets d'adresses en mode hors connexion, la saisie semi-automatique et d'autres fichiers d'Outlook ne sont pas encore lus
Raccourcis LNK	parse-file lnk	Cibles ouvertes, arguments, volumes, partages, machine source	Un raccourci peut être créé sans que la cible ne s'exécute
Jump Lists	parse-file jump-lists	Éléments ouverts par les applications, éléments épinglés, utilisation et données LNK intégrées	Comportement et rétention propres à chaque application
ShimCache	parse-registry shimcache	Chemins d'exécutables historiques et vérifications de compatibilité	Le cache peut ne pas être écrit sur disque avant l'arrêt ; une entrée seule ne prouve pas l'exécution
Quarantaine Defender	parse-file defender-quarantine	Détection, chemin d'origine, empreintes, origine du téléchargement, octets récupérés	Le nom de détection est un verdict du produit ; l'extraction est dangereuse
Ruches du Registre	parse-registry read	Configuration, persistance, valeurs supprimées/rejouées	L'heure d'une clé n'est pas l'heure d'une valeur ; les ruches à chaud nécessitent les journaux de transactions
Services	parse-registry services	Persistance par services/pilotes et actions en cas d'échec	La configuration ne prouve pas que le service a démarré
RecentDocs	parse-registry recent-docs	Fichiers et dossiers récemment ouverts, par utilisateur	Seul l'élément le plus récent de chaque liste reçoit une heure d'ouverture défendable
Microsoft Office	parse-registry office	Documents et dossiers ouverts par chaque application Office, avec leurs heures ; documents dont l'utilisateur a activé les macros ; paramètres des macros et emplacements approuvés	L'activation des macros ne prouve pas qu'une macro s'est exécutée ; les chemins des enregistrements d'approbation sont stockés tels qu'Office les écrit
Boîtes de dialogue Ouvrir et Enregistrer sous	parse-registry open-save-mru	Fichiers ouverts ou enregistrés via les boîtes de dialogue communes, par extension, et programmes et dossiers qui les ont utilisées	Seule l'entrée la plus récente de chaque liste est datée ; l'ouverture et l'enregistrement ne sont pas distingués
TaskCache	parse-registry taskcache	Actions des tâches planifiées, métadonnées, tâches masquées	Corrélez avec le XML des tâches et les journaux d'événements pour prouver l'exécution
Configuration de démarrage (BCD)	parse-registry bcd	Entrées de démarrage ; récupération désactivée, échecs ignorés, signature de test, contrôles d'intégrité désactivés, mode sans échec, avec la date de définition de chacun	Le magasin n'est souvent pas collecté (partition système EFI, \Boot) ; les paramètres sont hérités
Démarrages automatiques du Registre	parse-registry persistence	Clés Run, Winlogon, IFEO, DLL AppInit/AppCert, packages LSA, détournements COM et autres emplacements de démarrage automatique	Configuration, et non preuve d'exécution ; la plupart des entrées sont des valeurs par défaut de Windows
Compatibilité des applications	parse-registry app-compat	Couches de compatibilité, programmes que l'Assistant Compatibilité des programmes a vus s'exécuter, utilisation des programmes et modules CIT, bases de données de shims personnalisées	Les entrées de l'Assistant Compatibilité des programmes ne portent aucune heure d'exécution ; les données CIT proviennent surtout de Windows 7 et 8
FeatureUsage, RecentApps, éléments épinglés	parse-registry feature-usage	Fréquence à laquelle un utilisateur a basculé vers chaque application, l'a lancée ou a cliqué dessus ; applications récentes et leurs fichiers ; éléments épinglés à la barre des tâches et programmes du menu Démarrer	Les compteurs n'ont pas d'heures ; il s'agit de changements de fenêtre, et non de démarrages
ShellBags	parse-registry shell-bags	Dossiers ouverts par un utilisateur dans l'Explorateur et les boîtes de dialogue, y compris amovibles, réseau, appareils portables, ZIP et supprimés, sous forme de chemins complets	Seul l'élément le plus récent de chaque clé reçoit une heure d'ouverture défendable ; les heures des éléments sont celles du dossier, et non de la visite
BAM / DAM	parse-registry bam	Dernière exécution de chaque programme par chaque utilisateur, y compris depuis des périphériques amovibles et réseau	Une seule heure par programme et par utilisateur, activité récente uniquement ; chemins de périphériques, et non lettres de lecteur
Périphériques USB	parse-registry usb	Stockage USB et autres périphériques, numéros de série, heures d'installation/de connexion/de retrait, lettres de lecteur, noms et numéros de série des volumes, utilisateurs qui les ont montés	Seules la dernière connexion et le dernier retrait sont conservés ; les lettres de lecteur sont réutilisées
MuiCache	parse-registry muicache	Chemins, descriptions et sociétés des programmes mis en cache, associés au profil shell d'un utilisateur	Pas d'heure par programme ; le profil n'est pas nécessairement le compte du processus, et les métadonnées peuvent être falsifiées
UserAssist	parse-registry user-assist	Programmes et raccourcis démarrés par un utilisateur depuis l'Explorateur, avec le nombre d'exécutions, le temps de focus et la dernière exécution	Seuls les démarrages depuis l'Explorateur sont comptés ; les nouveaux profils sont initialisés avec des éléments par défaut
Réseaux	parse-registry networks	Réseaux rejoints avec heures de première/dernière connexion, adresses MAC des passerelles, interfaces et baux DHCP, partages, proxys de ports, routes	Les heures des profils sont locales, converties avec le fuseau horaire actuel ; des noms comme « Network 2 » se répètent
Paramètres de sécurité	parse-registry security-settings	Defender (et ses exclusions), UAC, WDigest/protection LSA, RDP, pare-feu, SMBv1, journalisation PowerShell et AMSI, paramètres du journal des événements et des preuves, signalés lorsqu'ils affaiblissent la configuration par défaut	Un paramètre affaibli n'est pas une preuve de compromission ; les valeurs manquantes (valeurs par défaut de Windows) ne sont pas signalées
Historique des applications	parse-registry app-history	Outils Sysinternals exécutés par un utilisateur, historique des archives et des dossiers (WinRAR, 7-Zip, WinZip), comptes OneDrive, fichiers récents Adobe, valeurs TeamViewer et CCleaner	La plupart des entrées de liste n'ont pas d'heure ; seule l'entrée la plus récente de chaque liste est datée
Listes MRU	parse-registry mru	Commandes de la boîte de dialogue Exécuter, chemins saisis dans l'Explorateur, recherches dans l'Explorateur, adresses saisies dans Internet Explorer (avec leurs heures), fichiers Paint et WordPad, termes de recherche XP	Seule l'entrée la plus récente de chaque liste est datée, hormis les adresses saisies ; saisi ne signifie pas exécuté
Accès à distance (côté utilisateur)	parse-registry remote-access	Ordinateurs auxquels un utilisateur a accédé avec le Bureau à distance, PuTTY et WinSCP, clés d'hôte SSH acceptées, lecteurs mappés et partages	Une cible enregistrée ou saisie n'est pas une connexion réussie ; les clés de liste ont une seule heure pour tous leurs éléments
Programmes installés	parse-registry installed-programs	Programmes installés (pour toute la machine et par utilisateur), produits Windows Installer, App Paths, distributions WSL et applications empaquetées	La date d'installation est celle du programme d'installation ; les programmes désinstallés proprement ne laissent aucune entrée
SAM	parse-registry sam	Comptes locaux, indicateurs, RID, métadonnées d'ouverture de session/de mot de passe	Comptes locaux uniquement ; les valeurs de dernière ouverture de session ne constituent pas un historique complet des ouvertures de session
Secrets LSA	parse-registry lsa-secrets	Secrets détenus par LSA (ouverture de session automatique, comptes de service, compte d'ordinateur) et date de leur définition ; ouvertures de session de domaine mises en cache utilisées	Noms et heures uniquement, rien n'est déchiffré ; DefaultPassword existe même sans ouverture de session automatique
Stratégie d’audit	parse-registry auditpol	Événements de sécurité que le système était configuré pour journaliser, et donc événements dont l'absence ne signifie rien	Stratégie en vigueur lors de la dernière écriture de la ruche ; les modifications sont journalisées par l'événement 4719
Informations système	parse-registry system-info	Noms de l'ordinateur et du domaine, version et date d'installation de Windows, fuseau horaire, dernier arrêt, dernier utilisateur, profils, SID	Configuration au moment de la collecte ; InstallDate change avec les mises à niveau de fonctionnalités, et Windows 11 se présente comme Windows 10

Types de collecte

Juntei accepte un artefact unique avec -f ou parcourt récursivement une collecte avec -d. Le mode répertoire est conçu pour les structures de triage courantes, dans lesquelles chaque hôte contient des chemins tels que C/Windows/System32/config/SYSTEM ou C/Users/alice/NTUSER.DAT.

Consultez Collecte des preuves avant d'analyser des copies de bases de données du Registre ou ESE : les journaux de transactions associés peuvent être essentiels pour reconstituer l'état observé par Windows.