アーティファクトガイド¶
Windows は、ファイル システム、レジストリ、互換性データベース、ユーザー インターフェイス履歴、リソース アカウンティング、およびセキュリティ製品に重複するトレースを保存します。 Juntei はこれらのソースを解析しますが、調査者は依然として各ソースの意味を解釈する必要があります。
質問によってアーティファクトを選択してください¶
| 調査質問 | ここから始めましょう | と裏付ける |
|---|---|---|
| この実行可能ファイルは実行されましたか? | Prefetch | ShimCache、SRUM、イベント ログ |
| このファイルは存在したことがありますか? | Amcache, $MFT | USN ジャーナル、$I30、ShimCache |
| ファイルが作成、名前変更、または削除されたのはいつですか? | USN ジャーナル | $MFT、$I30、Defender 隔離 |
| メタデータが変更される前に存在していた名前またはタイムスタンプは何ですか? | $LogFile | $MFT、USN ジャーナル、$I30 |
| ファイルの所有者は誰ですか?また、ファイルを変更できるのは誰ですか? | $Secure:$SDS と $MFT | SAM、セキュリティ イベント ログ |
| ショートカットまたは Prefetch ファイルのターゲットはどのボリュームにありましたか? | $Boot | LNK、Prefetch、USB デバイス |
| ユーザーは何を開きましたか? | Jump Lists, LNK, RecentDocs | SRUM, Prefetch |
| プログラムが大量のデータを転送しましたか? | SRUM | ファイアウォール、プロキシ、DNS、パケットまたは EDR テレメトリ |
| ユーザーはどの Web サイトを閲覧し、何をダウンロードしましたか? | Web ブラウザ、Internet Explorer と従来の Edge | プロキシと DNS のログ、$MFT と USN ジャーナル、Defender、SRUM |
| ユーザーは誰と電子メールをやり取りし、何が添付されていましたか? | Outlook | メール サーバーとゲートウェイのログ、$MFT と USN ジャーナル、Defender、LNK と Jump Lists |
| このサーバーを利用したのはどのクライアントとアカウントで、それはどの日ですか? | ユーザーアクセスログ (UAL) | セキュリティ イベント ログ、SMB と RDP のログ、ファイアウォール ログ |
| 永続性が設定されましたか? | サービス、TaskCache、レジストリ | イベントログ、Prefetch、$MFT |
| Defender は何を削除しましたか? | Defender 隔離 | イベント ログ、$MFT、USN ジャーナル |
| ローカルアカウントは追加または変更されましたか? | SAM | セキュリティ イベント ログとレジストリ トランザクション履歴 |
フィールドの前に警告を読む¶
すべてのアーティファクト ページは同じシーケンスに従います。
- それが何であるか、またどのような質問に答えられるか。
- どこで見つかるか、また収集がどのように影響するか。
- 証明されるものと証明されないもの
- Juntei で解析する方法。
- すべての出力フィールドを読み取る方法。
- 独立した証拠と関連付ける方法。
- さらに詳細なは低レベルの研究用です。
パーサーの検出結果を悪意のあるものと同一視しないでください
Juntei の検出結果では、System32 の外にあるシステム バイナリ名など、確認する価値のあるパターンが特定されます。インストーラー、管理者、互換性レイヤー、およびソフトウェア更新により、異常なレコードが生成される場合があります。コンテキストと独立した証拠に基づいて検証します。