विषय पर बढ़ें

आभार

Juntei इसलिए अस्तित्व में है क्योंकि DFIR और open-source समुदायों ने parser, फ़ॉर्मैट शोध, संदर्भ आउटपुट, specification और परीक्षण साक्ष्य प्रकाशित किए। नीचे दिए गए projects ने implementation, सत्यापन, field naming या विश्लेषक के अपेक्षित आउटपुट को दिशा दी। सूची में होने का अर्थ यह नहीं है कि उनका code Juntei में शामिल है; प्रत्येक project की license के लिए उसी project को देखें।

Yamato Security द्वारा अनुरक्षित parser आधार

Juntei क्षेत्र अनुरक्षित parser Upstream/आधार
Amcache ys-amcache-parser Security Ronin amcache-forensic
$MFT ys-ntfs-parser (mft crate) Omer Ben-Amram mft
Prefetch ys-prefetch-parser ForensicRS frnsc-prefetch
USN जर्नल ys-ntfs-parser (usn crate) Sootmark usn
NTFS $LogFile ys-ntfs-parser (logfile crate) Sootmark ntfslog
डायरेक्टरी इंडेक्स ($I30) ys-ntfs-parser (mft crate, i30 module) नीचे श्रेय दिया गया index-slack शोध
NTFS $Boot, $Secure:$SDS ys-ntfs-parser (boot और secure crates) Microsoft का MS-DTYP और नीचे श्रेय दिया गया NTFS शोध
SRUM, UAL / ESE ys-srum-parser Sootmark srum और ese
वेब ब्राउज़र / SQLite ys-browser-parser Sootmark browser, sqlite और plist
LNK ys-lnk-parser Sootmark shell
Jump Lists ys-jump-lists-parser Sootmark shell का compound-file और Jump List कार्य
ShimCache ys-shimcache-parser Security Ronin shimcache-forensic
Defender ys-defender-history-parser Sootmark defender
VHDX डिस्क इमेज (mount, auto-parse --vhdx) ys-vhdx-parser (Security Ronin vhdx-core) और ntfs-core, जिन्हें fuser के ज़रिए serve किया जाता है Microsoft का MS-VHDX
E01 / Ex01 (mount, auto-parse --e01) ys-e01-parser ewf-image (Apache-2.0); libewf (EWF1/EWF2)
रेजिस्ट्री ys-registry-parser नीचे श्रेय दिया गया registry-format और recovery शोध

संदर्भ tools और स्वतंत्र सत्यापन

  • Hexastrike के PyrsistenceSniper ने native Rust persistence-hunter command के लिए persistence check catalogue, default allowlist, LOLBAS snapshot और संदर्भ व्यवहार प्रदान किया। इसकी MIT license और copyright notice THIRD_PARTY_NOTICES/PyrsistenceSniper-LICENSE.txt में सुरक्षित रखी गई हैं। मूल PersistenceSniper ने इस Python project को प्रेरित किया; पूरी वंश-परंपरा के लिए पर्सिस्टेंस आभार देखें।

  • Maxim Suhanov के regf specification और yarp ने registry संरचनाओं, transaction-log replay और हटाए गए record की recovery को दिशा दी; उनका dfir_ntfs INDX records और index-slack carving के लिए संदर्भ था।

  • Harel Segev का INDXRipper index slack से फ़ाइल नाम carve करने के लिए एक अतिरिक्त संदर्भ है।
  • dfir_ntfs, Joakim Schicht के LogFileParser और Stroz Friedberg के ntfs-linker ने $LogFile के सत्यापन और व्याख्या को दिशा दी; Velocidex के go-ntfs ने सार्वजनिक NTFS परीक्षण साक्ष्य प्रदान किए।
  • Joachim Metz / libyal projects libregf, libfsntfs, libscca, libfwsi और libesedb विस्तृत फ़ॉर्मैट शोध और स्वतंत्र parsing संदर्भ प्रदान करते हैं।
  • Fox-IT के dissect.esedb, dissect.ntfs और dissect.target ने सत्यापन के दौरान उपयोग की गई SRUM, UAL, $Secure:$SDS, SAM और Defender की स्वतंत्र व्याख्याएँ प्रदान कीं।
  • The Sleuth Kit का fsstat उन volumes के NTFS boot sectors के लिए संदर्भ था जो mkntfs से बनाए गए थे।
  • Eric Zimmerman के कुछ tools ने तुलना में उपयोग किए गए field नाम और परीक्षक की अपेक्षाएँ स्थापित कीं।
  • regipy, python-registry, Notatin और artemis ने registry implementations, परीक्षण या नमूना व्याख्याएँ प्रदान कीं।
  • LnkParse3, AbdulRhmanAlfaifi के lnk_parser और jumplist_parser, तथा JLECmd ने स्वतंत्र LNK/Jump List व्यवहार और सार्वजनिक test cases प्रदान किए।
  • Security Ronin के prefetch-forensic और forensicnomicon project ने Juntei के उच्च-मूल्य वाले Prefetch/Amcache/ShimCache observations को दिशा दी।
  • defender-dump और dissect.target, Defender quarantine संरचनाओं और सुरक्षित extraction व्यवहार को समझने के लिए अलग implementations प्रदान करते हैं।
  • Plaso, Chainsaw और Velociraptor ने कई आर्टिफ़ैक्ट में parser तुलना, परीक्षण साक्ष्य या संग्रह-केंद्रित संदर्भ व्यवहार प्रदान किया।
  • Obsidian Forensics का Hindsight और Velocidex की SQLiteHunter definitions browser history, downloads, cookies और form history के लिए संदर्भ रहीं।

Specification और शोध

हम Shell Links, Compound Binary Files, NTFS/SAM protocols, registry/service/task संरचनाओं और API documentation के लिए Open Specifications प्रकाशित करने हेतु Microsoft का धन्यवाद करते हैं। हम AppCompatCache, Amcache, SRUM, Prefetch, registry और NTFS forensic शोध के उन लेखकों का भी धन्यवाद करते हैं जिन्होंने इन आर्टिफ़ैक्ट को practitioners के लिए समझने योग्य बनाया।

परीक्षण साक्ष्य

Andrew Rathbun के DFIR Artifact Museum, NIST CFReDS, Plaso, Regipy, Artemis, parser test repositories और अन्य उचित रूप से licensed संग्रहों के सार्वजनिक साक्ष्य वास्तविक Windows डेटा के विरुद्ध regression testing को संभव बनाते हैं। Juntei शामिल की गई test files के साथ attribution/license notes रखता है।

योगदानकर्ता

Juntei और Yamato Security parser के प्रत्येक योगदानकर्ता, reviewer, issue reporter और उस उपयोगकर्ता का धन्यवाद जिसने edge cases उपलब्ध कराए। वर्तमान योगदानकर्ताओं की सूची GitHub पर Juntei contributors page पर उपलब्ध है।

License

Juntei को Reciprocal Public License 1.5 (RPL-1.5) के अंतर्गत जारी किया गया है और इसका copyright Shirofune Security Co., Ltd. के पास है। संस्करण 1.0.0 से पहले इसका source code AGPLv3 के अंतर्गत प्रकाशित किया गया था। जिन crates तथा अन्य third-party code और डेटा से यह बनाया गया है, उनकी licenses THIRD_PARTY_NOTICES में हैं।