Beranda
Juntei adalah parser lintas platform dari Yamato Security untuk artefak forensik Windows yang bukan log peristiwa. Juntei mengubah bukti yang dikumpulkan menjadi catatan CSV, JSON, dan JSONL yang konsisten sambil mempertahankan konteks yang dibutuhkan investigator untuk menghindari kesimpulan yang keliru.
Dari artefak mentah menuju kesimpulan yang dapat dipertanggungjawabkan¶
Juntei dapat memberi tahu Anda apa yang dicatat oleh sebuah artefak; situs ini menjelaskan apa yang dibuktikan dan tidak dibuktikan oleh catatan tersebut. Mulailah dari halaman artefak meskipun Anda belum pernah melakukan DFIR Windows sebelumnya. Setiap panduan mencakup tujuannya, lokasi di disk, catatan mengenai retensi dan pengumpulan, perintah penguraian, field keluaran, interpretasi, korelasi, dan bacaan lebih mendalam.
-
Riwayat sistem berkas
Gunakan
$MFTdan Jurnal USN untuk merekonstruksi keberadaan berkas, nama, perpindahan, penghapusan, perubahan metadata, dan alternate data stream. -
Bukti program
Prefetch dapat memberikan dukungan kuat atas eksekusi. Amcache dan ShimCache menambahkan konteks inventaris, path, hash, kompatibilitas, dan historis—tetapi memerlukan interpretasi yang cermat.
-
Aktivitas pengguna
Berkas LNK, Jump Lists, RecentDocs, dan SRUM mengungkap item yang dibuka, aktivitas aplikasi, lokasi lepas pasang atau jaringan, penggunaan sumber daya, dan konteks historis pengguna.
-
Bukti keamanan
Karantina Defender dapat mempertahankan label ancaman, path asli, asal unduhan, hash, pemilik, dan bahkan memulihkan byte yang dikarantina secara aman untuk analisis di lingkungan terisolasi.
-
Status registry
Baca data registry yang teralokasi maupun yang dapat dipulihkan, putar ulang log transaksi, dan periksa layanan, tugas terjadwal, akun lokal, serta status dokumen terbaru.
-
Korelasikan, jangan menebak
Tidak ada satu artefak pun yang menceritakan keseluruhan kisah. Panduan-panduan ini menunjukkan cara menggabungkan sumber-sumber independen menjadi timeline yang didukung bukti.
Keluaran forensik adalah bukti, bukan putusan
Path yang tampak mencurigakan adalah petunjuk. Sebuah timestamp mungkin mendeskripsikan metadata berkas, bukan eksekusi. Catatan yang tidak ada tidak membuktikan bahwa suatu tindakan tidak terjadi. Pertahankan bukti sumber, catat versi alat dan perintah yang digunakan, serta korroborasi kesimpulan-kesimpulan penting.