Panduan artefak¶
Windows menyimpan jejak yang saling tumpang tindih di sistem berkas, registry, database kompatibilitas, riwayat antarmuka pengguna, pencatatan penggunaan sumber daya, dan produk keamanan. Juntei mengurai sumber-sumber ini, tetapi investigator tetap harus menginterpretasikan makna dari setiap sumber.
Memilih artefak berdasarkan pertanyaan¶
| Pertanyaan investigasi | Mulai di sini | Dukung dengan |
|---|---|---|
| Apakah executable ini berjalan? | Prefetch | ShimCache, SRUM, log peristiwa |
| Apakah berkas ini pernah ada? | Amcache, $MFT | Jurnal USN, $I30, ShimCache |
| Kapan sebuah berkas dibuat, diubah namanya, atau dihapus? | Jurnal USN | $MFT, $I30, karantina Defender |
| Nama atau timestamp apa yang ada sebelum perubahan metadata? | $LogFile | $MFT, Jurnal USN, $I30 |
| Siapa pemilik sebuah berkas, dan siapa yang boleh mengubahnya? | $Secure:$SDS dengan $MFT | SAM, log peristiwa Security |
| Di volume mana target sebuah pintasan atau berkas Prefetch berada? | $Boot | LNK, Prefetch, perangkat USB |
| Apa yang dibuka oleh pengguna? | Jump Lists, LNK, RecentDocs | SRUM, Prefetch |
| Apakah sebuah program mentransfer data dalam jumlah besar? | SRUM | Telemetri firewall, proxy, DNS, paket, atau EDR |
| Situs web mana yang dikunjungi pengguna, dan apa yang diunduhnya? | Browser web, Internet Explorer dan Edge lama | Log proxy dan DNS, $MFT dan Jurnal USN, Defender, SRUM |
| Dengan siapa pengguna bertukar e-mail, dan apa yang dilampirkan? | Outlook | Log server dan gateway e-mail, $MFT dan Jurnal USN, Defender, LNK dan Jump Lists |
| Klien dan akun mana yang menggunakan server ini, dan pada hari apa saja? | Pencatatan Akses Pengguna (UAL) | Log peristiwa Security, log SMB dan RDP, log firewall |
| Apakah persistensi dikonfigurasi? | Layanan, TaskCache, Registry | Log peristiwa, Prefetch, $MFT |
| Apa yang dihapus oleh Defender? | Karantina Defender | Log peristiwa, $MFT, Jurnal USN |
| Apakah akun lokal ditambahkan atau diubah? | SAM | Log peristiwa Security dan riwayat transaksi registry |
Baca peringatan sebelum field¶
Setiap halaman artefak mengikuti urutan yang sama:
- Apa itu artefak tersebut dan pertanyaan apa yang dapat dijawabnya.
- Di mana menemukannya dan bagaimana pengumpulan memengaruhinya.
- Apa yang dibuktikannya—dan apa yang tidak dibuktikannya.
- Cara mengurainya dengan Juntei.
- Cara membaca setiap field keluaran.
- Cara mengorelasikannya dengan bukti independen.
- Detail lebih lanjut untuk riset tingkat rendah.
Jangan menyamakan temuan parser dengan keberbahayaan
Temuan Juntei mengidentifikasi pola yang layak ditinjau, seperti nama binary sistem di luar
System32. Installer, administrator, lapisan kompatibilitas, dan pembaruan perangkat lunak dapat menghasilkan
record yang tidak biasa. Validasi dengan konteks dan bukti independen.