Juntei について¶

Juntei は、メモリセーフな Rust で開発された Windows フォレンジックアーティファクトの解析ツールです。 Hayabusa を補完するもので、Hayabusa が Windows のイベントログを解析するのに対し、Juntei はファイルシステム、レジストリ、実行履歴、ユーザーの活動、リソース使用、セキュリティ製品などに残るアーティファクトを解析します。

同じバイナリを Windows、macOS、Linux で実行できます。アーティファクトごとに別のプログラムを使わず、統一されたインターフェースで収集済みの Windows 証拠やディスクイメージを調査できます。

設計目標¶

根拠を確認できる解析: 生の値を保持し、データを黙って補うことなく、破損を報告します。
誰にとっても使いやすく: 初心者には既定の使い方を分かりやすく、経験豊富な分析者には豊富な機能とカスタマイズを提供します。
スタンドアロンバイナリ: 実行にランタイムライブラリを必要とせず、そのまま使用できます。
高速: 大量のメモリを必要とせず、最速のパーサーを目指します。
クロスプラットフォーム: Windows の調査用端末がなくても、Windows の証拠を解析できます。
自動化: 表計算やタイムラインツール向けに CSV、jq、スクリプト、データレイク向けに JSON・JSONL を出力します。
安全な失敗処理: 不正な形式のレコードは報告し、可能な場合は読み飛ばして処理を続けます。
実装の出所を明示: 各機能の基になったオープンソースパーサーと、比較検証に使用したツールを示します。

Juntei が行わないこと¶

Juntei は、稼働中のディスクの取得や証拠保全そのものを行うツールではありません。マウントするディスクイメージも VHDX / E01 / Ex01 イメージのみで、読み取り専用でマウントします。すべてのアーティファクトを自動的に一つのインシデントの説明にまとめるものでもありません。提供された証拠を解析し、調査や他の証拠との関連付けに適したレコードを出力します。

Juntei が証拠の分析まで代わりに行うわけではありません。分析には DFIR の専門家が必要です。

ライセンス¶

Juntei は Reciprocal Public License 1.5 （RPL-1.5）で公開されており、著作権は Shirofune Security Co., Ltd. が保有しています。バージョン 1.0.0 より前のソースコードは AGPLv3 で公開されていました。使用するクレート、サードパーティのコードとデータのライセンスは、 THIRD_PARTY_NOTICES にあります。実装の基になったプロジェクトと比較検証に使用したツールは、謝辞にまとめています。