Lewati ke isi

Investigasi pertama

Alur kerja ini mengasumsikan Anda menerima hasil pengumpulan triase offline di evidence/.

1. Pertahankan sumber

Bekerjalah dari salinan yang telah diverifikasi. Catat hash, waktu pengumpulan, zona waktu, host, volume, dan alat pengumpulan. Juntei membaca bukti, tetapi opsi seperti ekstraksi resident stream atau karantina membuat berkas keluaran baru; arahkan berkas-berkas tersebut ke direktori analisis yang terpisah.

2. Inventarisasi apa yang Anda miliki

Cari path yang tercantum di Pengumpulan bukti. Artefak yang hilang adalah hal yang wajar. Jangan berasumsi bahwa hasil pengumpulan berisi log transaksi hanya karena berisi hive registry.

3. Jalankan ringkasan terlebih dahulu

Banyak perintah mencetak ringkasan singkat ketika tidak ada berkas keluaran yang diminta:

juntei parse-file prefetch -d evidence/
juntei parse-registry shimcache -d evidence/
juntei parse-file defender-quarantine -d evidence/

Baca peringatan kerusakan, database dirty, dan log yang belum diterapkan sebelum memercayai record.

Untuk mengurai setiap artefak yang didukung dalam hasil pengumpulan dari banyak komputer dalam satu operasi, gunakan:

juntei auto-parse -d evidence/ -o analysis/

Lihat Analisis otomatis hasil pengumpulan untuk penemuan host, paralelisme, tata letak keluaran, dan JSONL gabungan untuk ingestion SIEM.

4. Simpan keluaran terstruktur

mkdir -p analysis
juntei parse-file prefetch -d evidence/ -T -o analysis/prefetch.csv
juntei parse-ntfs mft -d evidence/ -o analysis/mft
juntei parse-ntfs usn-journal -d evidence/ -o analysis/usn
juntei parse-registry services -d evidence/ -o analysis/services.jsonl -t jsonl

Utamakan JSONL untuk scripting dan nilai bersarang, dan CSV untuk spreadsheet atau penampil timeline.

5. Lakukan pivot dari pengenal yang andal

Mulailah dengan nama berkas, path lengkap, SHA-1/SHA-256, SID pengguna, entri/sequence MFT, GUID tugas, nama layanan, atau jendela timestamp. Normalisasi huruf besar/kecil hanya untuk field yang diperlakukan Windows secara tidak peka huruf besar/kecil.

juntei parse-file prefetch -d evidence/ -t jsonl \
  | jq 'select(.ExecutableName? | ascii_downcase == "suspicious.exe")'

6. Korelasikan

Gunakan Investigasi lintas artefak. Urutan yang praktis adalah:

  1. Prefetch untuk eksekusi dan waktu eksekusi terbaru.
  2. $MFT dan Jurnal USN untuk pembuatan, path, penggantian nama, dan penghapusan.
  3. Amcache dan ShimCache untuk keberadaan historis dan metadata.
  4. LNK, Jump Lists, RecentDocs, dan SRUM untuk konteks pengguna/aplikasi.
  5. Layanan registry dan TaskCache untuk persistensi.
  6. Karantina Defender untuk deteksi, penghapusan, asal, dan hash.

7. Dokumentasikan reprodusibilitas

Catat path sumber, hash sumber, versi Juntei, perintah yang persis, hash keluaran, zona waktu sistem, dan setiap pemfilteran yang dilakukan kemudian. Jangan pernah mengedit keluaran bukti yang dihasilkan secara diam-diam.