ホーム

デジタルフォレンジックの女神 Juntei

Juntei は、Yamato Security が開発する、イベントログ以外の Windows フォレンジックアーティファクトを解析するクロスプラットフォームツールです。収集した証拠を一貫した CSV・JSON・JSONL レコードに変換し、調査員が誤った結論を避けるために必要な情報を保持します。

はじめるアーティファクトを学ぶコマンドリファレンス GitHub

生のアーティファクトから根拠のある結論へ¶

Juntei はアーティファクトに何が記録されているかを示します。このサイトでは、その記録から何を証明でき、何を証明できないかを解説します。Windows DFIR の経験がなくても、まずアーティファクトのページから読んでみてください。各ガイドでは、用途、保存場所、記録の保持や収集時の注意点、解析コマンド、出力フィールド、解釈、他の証拠との関連付け、参考資料を説明します。

ファイルシステムの履歴

$MFT と USN ジャーナルから、ファイルの存在、名前、移動、削除、メタデータの変更、代替データストリームを調べます。
プログラムに関する証拠

Prefetch は実行を裏付ける強い証拠になり得ます。Amcache と ShimCache は、インベントリ、パス、ハッシュ、互換性、過去の状況を補いますが、慎重な解釈が必要です。
ユーザーの活動

LNK、Jump Lists、RecentDocs、SRUM から、開いた項目、アプリの活動、リムーバブルドライブやネットワーク上の場所、リソース使用、過去のユーザーの状況を調べます。
セキュリティに関する証拠

Defender の隔離データには、検出名、元のパス、ダウンロード元、ハッシュ、所有者が残る場合があります。隔離された内容を安全に復元し、隔離環境で調べることもできます。
レジストリの状態

使用中・復元可能なレジストリデータを読み、トランザクションログを再生し、サービス、スケジュールタスク、ローカルアカウント、最近使った文書の状態を調べます。
推測ではなく、証拠を関連付ける

単一のアーティファクトだけで全容は分かりません。このガイドでは、独立した情報源を組み合わせ、証拠に基づくタイムラインを作る方法を紹介します。

フォレンジックの出力は証拠であり、判定結果ではありません

不審なパスは、調査の手掛かりです。タイムスタンプは、実行ではなくファイルのメタデータを示す場合があります。記録がないことは、操作が行われなかった証明にはなりません。元の証拠を保存し、ツールのバージョンとコマンドを記録して、重要な結論は別の証拠でも裏付けてください。