होम
Juntei Yamato Security का cross-platform parser है, जो उन Windows forensic artifacts के लिए है जो event logs नहीं हैं। यह एकत्र किए गए साक्ष्य को सुसंगत CSV, JSON और JSONL records में बदलता है, और वह संदर्भ सुरक्षित रखता है जिसकी जाँचकर्ता को ग़लत निष्कर्षों से बचने के लिए आवश्यकता होती है।
कच्चे artifact से बचाव-योग्य निष्कर्ष तक¶
Juntei आपको बता सकता है कि कोई artifact क्या दर्ज करता है; यह site समझाती है कि वह record क्या सिद्ध करता है और क्या सिद्ध नहीं करता। भले ही आपने पहले कभी Windows DFIR न किया हो, किसी artifact page से शुरुआत करें। हर मार्गदर्शिका उसका उद्देश्य, disk पर स्थान, retention और collection से जुड़ी सावधानियाँ, parsing command, output fields, व्याख्या, correlations और आगे पढ़ने की सामग्री को कवर करती है।
-
File-system इतिहास
फ़ाइल के अस्तित्व, नामों, स्थानांतरण, deletion, metadata बदलावों और alternate data streams का पुनर्निर्माण करने के लिए
$MFTऔर USN Journal का उपयोग करें। -
Program साक्ष्य
Prefetch निष्पादन का मज़बूती से समर्थन कर सकता है। Amcache और ShimCache inventory, path, hash, compatibility और ऐतिहासिक संदर्भ जोड़ते हैं—लेकिन सावधानीपूर्वक व्याख्या की माँग करते हैं।
-
उपयोगकर्ता गतिविधि
LNK फ़ाइलें, Jump Lists, RecentDocs और SRUM खोले गए items, application गतिविधि, removable या network स्थान, resource उपयोग और ऐतिहासिक उपयोगकर्ता संदर्भ उजागर करते हैं।
-
सुरक्षा साक्ष्य
Defender क्वारंटीन threat labels, मूल paths, download origins, hashes, owners सुरक्षित रख सकता है, और isolated विश्लेषण के लिए quarantine किए गए bytes को सुरक्षित रूप से recover भी कर सकता है।
-
Registry स्थिति
Allocated और recover किए जा सकने वाले registry data पढ़ें, transaction logs replay करें, और services, scheduled tasks, local accounts और recent-document स्थिति की जाँच करें।
-
Correlate करें, अनुमान न लगाएँ
कोई भी अकेला artifact पूरी कहानी नहीं बताता। मार्गदर्शिकाएँ दिखाती हैं कि स्वतंत्र स्रोतों को साक्ष्य-आधारित timeline में कैसे जोड़ा जाए।
Forensic output साक्ष्य है, निर्णय नहीं
संदिग्ध दिखने वाला path एक सुराग है। Timestamp निष्पादन के बजाय फ़ाइल के metadata का वर्णन कर सकता है। लापता record यह सिद्ध नहीं करता कि कोई action नहीं हुई। स्रोत साक्ष्य सुरक्षित रखें, tool versions और commands दर्ज करें, और महत्वपूर्ण निष्कर्षों की पुष्टि करें।