コマンド一覧¶

個々のパーサーはソースタイプごとにグループ化されています。 juntei --help、juntei <SOURCE> --help、または juntei <SOURCE> <ARTIFACT> --help を実行してそれらを調べます。

juntei parse-ntfs --help
juntei parse-registry amcache --help
juntei parse-file prefetch -d evidence/ -o prefetch.csv

マルチコンピューター Windows 証拠収集の場合は、juntei auto-parse -d <EVIDENCE> -o <OUTPUT> を使用します。同じグループ化されたコマンドを呼び出し、結果とログをコンピュータおよび調査カテゴリごとに整理します。

juntei super-timeline -d <PARSED> -o SuperTimeline.csv は、解析済みアーティファクトの各時刻を意味付きイベントに展開します。デフォルトでは並べ替えず、--sort を指定すると時系列に並べ替えて重複を統合します。auto-parse -j は引き続きネイティブレコードを保持します。

ディスクイメージ ¶

コマンド	入力	詳細ガイド
`mount`	VHDX / E01 / Ex01 ディスクイメージ	ディスクイメージのマウント

ESE コマンド ¶

コマンド	入力アーティファクト	詳細ガイド
`parse-ese srum`	ESE `SRUDB.dat`	SRUM
`parse-ese ual`	ESE `Current.mdb`、`{GUID}.mdb`、`SystemIdentity.mdb`	ユーザーアクセスログ (UAL)
`parse-ese webcache`	ESE `WebCacheV01.dat`	Internet Explorer と従来の Edge

ファイルコマンド ¶

コマンド	入力アーティファクト	詳細ガイド
`parse-file defender-quarantine`	Defender 隔離ツリーまたはエントリ	Defender 隔離
`parse-file jump-lists`	`.automaticDestinations-ms`, `.customDestinations-ms`	Jump Lists
`parse-file lnk`	`*.lnk`	LNK ショートカット
`parse-file outlook`	`.pst`, `.ost`, `.msg`, `.oft`	Outlook
`parse-file prefetch`	`*.pf`	Prefetch

NTFS コマンド ¶

コマンド	入力アーティファクト	詳細ガイド
`parse-ntfs boot`	`$Boot`、または NTFS ボリュームイメージ	ブートセクター ($Boot)
`parse-ntfs i30`	`$I30` (`$INDEX_ALLOCATION`)、またはディスクイメージ	ディレクトリインデックス ($I30)
`parse-ntfs logfile`	NTFS `$LogFile`	NTFS トランザクションログ
`parse-ntfs mft`	NTFS `$MFT`	マスターファイルテーブル
`parse-ntfs secure-sds`	`$Secure:$SDS` (`$Secure_$SDS`)	セキュリティ記述子 ($Secure:$SDS)
`parse-ntfs usn-journal`	`$UsnJrnl:$J`	USN ジャーナル

レジストリコマンド ¶

コマンド	入力アーティファクト	詳細ガイド
`parse-registry amcache`	`Amcache.hve`	Amcache
`parse-registry networks`	`SOFTWARE`, `SYSTEM`	ネットワーク
`parse-registry lsa-secrets`	`SECURITY`	LSA 秘密
`parse-registry bcd`	`BCD` (および `BCD-Template`)	ブート構成データ (BCD)
`parse-registry app-compat`	`SOFTWARE`, `NTUSER.DAT`	アプリケーションの互換性
`parse-registry auditpol`	`SECURITY`	監査ポリシー
`parse-registry office`	`NTUSER.DAT`	Microsoft オフィス
`parse-registry feature-usage`	`NTUSER.DAT`	FeatureUsage、RecentApps およびタスクバーピン
`parse-registry app-history`	`NTUSER.DAT`	アプリケーション履歴
`parse-registry mru`	`NTUSER.DAT`	最近使用したリスト
`parse-registry bam`	`SYSTEM` (ユーザー名には `SAM`、`SOFTWARE` を使用)	BAM および DAM
`parse-registry muicache`	`UsrClass.dat` (Windows XP 上の `NTUSER.DAT`)	MuiCache
`parse-registry installed-programs`	`SOFTWARE`, `NTUSER.DAT`	インストールされたプログラム
`parse-registry open-save-mru`	`NTUSER.DAT`	ダイアログを開いて名前を付けて保存
`parse-registry persistence`	`SOFTWARE`, `SYSTEM`, `NTUSER.DAT`, `UsrClass.dat`	レジストリの自動起動
`parse-registry read`	任意のプライマリレジストリハイブ	レジストリハイブ
`parse-registry recent-docs`	`NTUSER.DAT`	RecentDocs
`parse-registry remote-access`	`NTUSER.DAT` (ユーザー SID には `SOFTWARE`)	リモートアクセス (ユーザー側)
`parse-registry sam`	`SAM`	SAM ローカルアカウント
`parse-registry security-settings`	`SOFTWARE`, `SYSTEM`, `NTUSER.DAT`	セキュリティ設定
`parse-registry services`	`SYSTEM`	Windows サービス
`parse-registry shimcache`	`SYSTEM` またはエクスポートされた AppCompatCache 値	ShimCache
`parse-registry system-info`	1 つのシステムの `SYSTEM`、`SOFTWARE`、`SAM`、`SECURITY`	システム情報
`parse-registry taskcache`	`SOFTWARE`	Tタスクスケジューラキャッシュ
`parse-registry usb`	`SYSTEM`、`SOFTWARE` および `NTUSER.DAT` を含む	USB デバイス
`parse-registry user-assist`	`NTUSER.DAT`	UserAssist
`parse-registry shell-bags`	`UsrClass.dat`, `NTUSER.DAT`	ShellBags

SQLite コマンド ¶

コマンド	入力アーティファクト	詳細ガイド
`parse-sqlite browser`	`History`, `Cookies`, `Web Data`, `places.sqlite`, `cookies.sqlite`, `formhistory.sqlite`	Web ブラウザ

ソースの種類とフォーマットの変更¶

グループは、Juntei が現在サポートしている形式を説明します。 parse-registry amcache は Amcache.hve を読み取ります。 SQLite Amcache インベントリデータベースのサポートを意味するものではありません。アーティファクトパーサークレートは分離されたままであるため、別のストレージ形式のサポートを個別に追加できます。

以前のフラットパーサー名は、上記のソースとアーティファクトのパスに置き換えられました。アーティファクト名の後に既存のパーサーオプションを保持します。 auto-parse および既存のレジストリサブコマンドの名前は維持されます。

Persistence Hunter ¶

juntei persistence-hunter は複数のソース形式をハントするため、トップレベルの分析コマンドです。これは、parse-registry persistence の完全な構成インベントリを 131 チェック、許可/ブロック分類、ペイロードメタデータ、カバレッジ、およびタイムスタンプ相関で補完します。

トップレベルの使用法¶

Usage: juntei <COMMAND>

Commands:
  auto-parse          Discover and parse Windows evidence
  help                Print this message or the help of the given subcommand(s)
  mount               Mount a VHDX or E01 disk image read-only (FUSE)
  parse-ese           Parse ESE databases
  parse-file          Parse file artifacts
  parse-ntfs          Parse NTFS artifacts
  parse-registry      Parse registry hives
  parse-sqlite        Parse SQLite databases
  persistence-hunter  Hunt offline Windows persistence

Options:
  -h, --help     Print help
  -V, --version  Print version

ソースページではコマンドの使用法を再現し、短い例を示しています。アーティファクトガイドでは、証拠、出力フィールド、制限、および調査戦略について説明します。

コマンド一覧¶

ディスクイメージ¶

ESE コマンド¶

ファイルコマンド¶

NTFS コマンド¶

レジストリコマンド¶

SQLite コマンド¶