裏付けられた証拠¶

証拠の出典	Juntei コマンド	最も役立つのは、	重要な制限事項
Amcache	`parse-registry amcache`	ファイルインベントリ、パス、SHA-1、PE メタデータ、デバイス	存在することは実行ではありません。発行元は署名を検証していません
NTFS `$MFT`	`parse-ntfs mft`	ファイル、削除されたレコード、パス、タイムスタンプ、ADS	レコードの再利用とタイムストンピングは誤解を招く可能性がある
NTFS `$LogFile`	`parse-ntfs logfile`	メタデータ、古い名前とタイムスタンプをやり直し/元に戻し、USN ジャーナルに書き込みます。	短い円形保持。メタデータ時間はトランザクション時間ではありません。リプレイなし
Prefetch	`parse-file prefetch`	プログラムの実行、実行回数、最近の実行時間、ロードされたファイル	限られた実行時履歴のみが保持されます
USN ジャーナル `$J`	`parse-ntfs usn-journal`	履歴パスの作成、削除、名前変更、書き込み	回覧ジャーナル。ファイルの内容ではなく、変更を記録します
ディレクトリインデックス `$I30`	`parse-ntfs i30`	ディレクトリ内のファイル。インデックススラックに残された削除または名前変更された可能性のあるファイルの名前、時刻、サイズ	Slack は部分的であり、エントリがいつ削除されたかについては何も述べていません
NTFS ブートセクタ `$Boot`	`parse-ntfs boot`	ボリュームシリアル番号 LNK、Jump Lists、および Prefetch レコード。ジオメトリと `$MFT` の場所。ホスト間で比較するためのブートコードハッシュ	シリアル番号は変更または繰り返すことができます。異なるブートコードは手がかりであり、ブートキットの証拠ではありません
NTFS セキュリティ記述子 `$Secure:$SDS`	`parse-ntfs secure-sds`	ファイルの所有者と ACL (`$MFT` または `SID` による)。 NULL DACL と寛容 ACL	所有者は変更できます。 ACL には、誰がアクセスしたかではなく、誰がアクセスできるかが記載されています
VHDX ディスクイメージ	`mount`、`auto-parse --vhdx`	NTFS → CSV / JSON / JSONL	`auto-parse`：Linux/macOS/Windows、一時コピーが必要。`mount`：Linux/FUSE。名前付き NTFS ストリームの抽出は未対応
E01 / Ex01 ディスクイメージ	`mount`、`auto-parse --e01`	NTFS → CSV / JSON / JSONL	`auto-parse`：Linux/macOS/Windows、一時コピーが必要。`mount`：Linux/FUSE。名前付き NTFS ストリームの抽出は未対応
SRUM	`parse-ese srum`	アプリ/ユーザーごとのネットワークとリソースの使用	通常は集約されます。パケットまたは宛先レベルの証明ではない
ユーザーアクセスログ (UAL)	`parse-ese ual`	Windows Server の役割 (ファイル共有、Active Directory、DHCP、IIS) を、どのクライアントのアドレスとアカウントがどの日に利用したか	要求は日ごとに集計され、1 件ずつは記録されない。アドレスが NAT やプロキシのものである場合がある。ダーティな `Current.mdb` には最新の変更が含まれない
Internet Explorer と従来の Edge (WebCache)	`parse-ese webcache`	閲覧したページとエクスプローラーで開いたローカルファイル、ダウンロードしたファイルとその入手元、Cookie、HTTP ヘッダーを含むキャッシュされたファイル	履歴エントリは最後の閲覧を記録した URL であり、個々の閲覧ではない。削除済みエントリは復元されない。ダーティなデータベースには最新の変更が含まれない
Web ブラウザ (Chromium 系および Firefox 系)	`parse-sqlite browser`	閲覧したページとその経緯、ダウンロードしたファイルとその入手元、Cookie、Web フォームに入力された値。削除された閲覧履歴、ダウンロード、フォーム入力の復元	閲覧記録はリダイレクト、フレーム、他のプログラムが開いたページの場合がある。Chromium の Cookie の値は暗号化されている。削除済みエントリは、ブラウザが領域をゼロで消去するかチェックポイントを行うと失われる
Outlook (PST、OST、MSG、OFT)	`parse-file outlook`	送信者、受信者、時刻、添付ファイルを含む電子メール。連絡先、予定表アイテム、タスク。フォルダー、非表示の設定アイテム、保存されているとおりのすべてのプロパティ	送信者のアドレスは偽装できる。どのフォルダーにも含まれなくなったアイテムは復元されない。オフラインアドレス帳、オートコンプリート、その他の Outlook ファイルはまだ読み取られない
LNK のショートカット	`parse-file lnk`	オープンされたターゲット、引数、ボリューム、共有、ソースマシン	ターゲットを実行していなくてもショートカットを作成できます
Jump Lists	`parse-file jump-lists`	アプリケーションで開かれたアイテム、固定、使用法、および埋め込まれた LNK データ	アプリケーション固有の動作と保持
ShimCache	`parse-registry shimcache`	過去の実行可能パスと互換性チェック	キャッシュはシャットダウンするまでフラッシュされない場合があります。エントリーだけでは実行されません
Defender 隔離	`parse-file defender-quarantine`	検出、元のパス、ハッシュ、ダウンロード元、回復されたバイト	検出名は製品の判定となります。抽出は危険です
レジストリハイブ	`parse-registry read`	構成、永続性、削除/再生された値	重要な時間は価値のある時間ではありません。生きている巣箱にはトランザクションログが必要です
サービス	`parse-registry services`	サービス/ドライバーの永続性と障害時のアクション	設定ではサービスが開始されたことが証明されない
RecentDocs	`parse-registry recent-docs`	ユーザーごとに最近開いたファイルとフォルダー	各リストの最新のアイテムのみが防御可能なオープンタイムを取得します。
Microsoft オフィス	`parse-registry office`	各 Office アプリケーションが開いたドキュメントとフォルダーと回数。ユーザーがマクロを有効にしたドキュメント。マクロ設定と信頼できる場所	マクロを有効にしても、マクロが実行されたことを証明するものではありません。信頼レコードパスは、Office が書き込むときに保存されます。
「開く」および「名前を付けて保存」ダイアログ	`parse-registry open-save-mru`	コモンダイアログを通じて開かれたまたは保存されたファイル (拡張子別)、およびそれらを使用したプログラムとフォルダー	各リストの最新のエントリのみに日付が付けられます。開いたものと保存したものは区別されません
TaskCache	`parse-registry taskcache`	スケジュールされたタスクのアクション、メタデータ、非表示のタスク	実行時の証明のためにタスク XML およびイベントログと関連付けます。
ブート構成 (BCD)	`parse-registry bcd`	ブートエントリ。リカバリはオフ、失敗は無視、テスト署名、整合性チェックはオフ、セーフモード、それぞれがいつ設定されたか	ストアは収集されないことがよくあります (EFI システムパーティション、`\Boot`)。設定は引き継がれます
レジストリの自動起動	`parse-registry persistence`	実行キー、Winlogon、IFEO、AppInit/AppCert DLL、LSA パッケージ、COM ハイジャック、およびその他の自動起動場所	実行の証明ではなく構成。ほとんどのエントリは Windows のデフォルトです
アプリケーションの互換性	`parse-registry app-compat`	互換性レイヤー、プログラム互換性アシスタントが実行を確認したプログラム、CIT プログラムとモジュールの使用、カスタムシムデータベース	プログラム互換性アシスタントのエントリには実行時間が含まれません。 CIT データは主に Windows 7 および 8 からのものです
FeatureUsage、RecentApps、ピン	`parse-registry feature-usage`	ユーザーが各アプリケーションに切り替え、起動またはクリックした頻度。最近のアプリとそのファイル。タスクバーピンとスタートメニュープログラム	カウントには時間はありません。ウィンドウが切り替わるが、起動しない
ShellBags	`parse-registry shell-bags`	ユーザーがエクスプローラーおよびダイアログで開いたフォルダー (リムーバブル、ネットワーク、ポータブルデバイス、ZIP、および削除されたフォルダーを含む) (フルパスとして)	各キーの最新の項目のみが防御可能なオープンタイムを取得します。アイテムの時間は、訪問時間ではなくフォルダ時間です
BAM および DAM	`parse-registry bam`	各ユーザーが最後に各プログラムを実行した時刻 (リムーバブルデバイスやネットワークデバイスからのものも含む)	プログラムおよびユーザーごとに 1 回、最近のアクティビティのみ。ドライブ文字ではなくデバイスパス
USB デバイス	`parse-registry usb`	USB ストレージおよびその他のデバイス、シリアル番号、インストール/到着/削除時間、ドライブ文字、ボリューム名とシリアル、それらをマウントしたユーザー	最後の到着と削除のみが保持されます。ドライブ文字は再利用されます
MuiCache	`parse-registry muicache`	ユーザーのシェルプロファイルに関連付けられたキャッシュされたプログラムパス、説明、および会社	プログラムあたりの時間はありません。プロファイルは必ずしもプロセスアカウントであるとは限らず、メタデータは偽造される可能性があります
UserAssist	`parse-registry user-assist`	ユーザーがエクスプローラーから開始したプログラムとショートカット、実行回数、フォーカス時間、最後の実行情報	Explorer の起動のみがカウントされます。新しいプロファイルにはデフォルトの項目がシードされます
ネットワーク	`parse-registry networks`	最初/最後の接続時間、ゲートウェイ MAC、インターフェイス、および DHCP リース、共有、ポートプロキシ、ルートで参加したネットワーク	プロファイル時間はローカル時間であり、現在のタイムゾーンで変換されます。「ネットワーク 2」のような名前を繰り返す
セキュリティ設定	`parse-registry security-settings`	Defender (およびその除外)、UAC、WDigest/LSA 保護、RDP、ファイアウォール、SMBv1、PowerShell ログおよび AMSI、イベントログおよび証拠の設定、デフォルトを弱める箇所にフラグが付けられます	弱めの設定は妥協の証拠ではありません。欠損値 (Windows ののデフォルト) は報告されません
アプリケーション履歴	`parse-registry app-history`	ユーザーが実行した Sysinternals ツール、アーカイブとフォルダーの履歴 (WinRAR、7-Zip、WinZip)、OneDrive アカウント、Adobe の最近のファイル、TeamViewer、および CCleaner の値	ほとんどのリストエントリには時間がありません。各リストの最新のエントリのみに日付が付けられます
MRU リスト	`parse-registry mru`	実行ダイアログコマンド、入力された Explorer パス、Explorer 検索、入力された Internet Explorer アドレス (時刻付き)、ペイントおよび WordPad ファイル、XP 検索用語	入力されたアドレスは別として、各リストの最新のエントリのみに日付が付けられます。入力されたものは実行されません
リモートアクセス（ユーザー側）	`parse-registry remote-access`	ユーザーがリモートデスクトップ、PuTTY、および WinSCP を使用してアクセスし、SSH ホストキー、マップされたドライブおよび共有を受け入れたコンピューター	保存または入力されたターゲットは接続に成功しません。リストキーはすべての項目に対して 1 回の時間を持ちます
インストールされているプログラム	`parse-registry installed-programs`	インストールされたプログラム (マシン全体およびユーザーごと)、Windows インストーラー製品、アプリパス、WSL ディストリビューション、およびパッケージ化されたアプリ	インストール日はインストーラの日付です。完全にアンインストールされたプログラムはエントリを残さない
SAM	`parse-registry sam`	ローカルアカウント、フラグ、RID、ログオン/パスワードメタデータ	ローカルアカウントのみ。最終ログオン値は完全なログオン履歴ではありません
LSA シークレット	`parse-registry lsa-secrets`	LSA が保持するシークレット (自動ログオン、サービスアカウント、マシンアカウント) とそれらがいつ設定されたか。キャッシュされたドメインログオンが使用中です	名前と時刻のみで、何も復号化されていません。 `DefaultPassword` は自動ログオンなしで存在します
監査ポリシー	`parse-registry auditpol`	システムがログに記録するように設定されているセキュリティイベントと、欠落しているイベントは何の意味も持たないのはどれか	ハイブが最後に書き込まれたときのポリシー。変更はイベント 4719 によってログに記録されます
システム情報	`parse-registry system-info`	コンピューター名とドメイン名、Windows のバージョンとインストール日、タイムゾーン、最後のシャットダウン、最後のユーザー、プロファイル、SID	収集時の構成。 `InstallDate` は機能アップグレードに伴って移動し、Windows 11 は自身を Windows 10 と呼びます

コレクションの種類¶

Juntei は、-f で単一のアーティファクトを受け入れるか、-d でコレクションを再帰的に検索します。ディレクトリモードは、各ホストに C/Windows/System32/config/SYSTEM や C/Users/alice/NTUSER.DAT などのパスが含まれる一般的な問題切り分けレイアウト用に設計されています。

コピーされたレジストリまたは ESE データベースを分析する前に、証拠の収集を参照してください。Windows が見た状態を再構築するには、関連するトランザクションログが不可欠である可能性があります。