အကြောင်းအရာသို့ ကရန်

ပင်မစာမျက်နှာ

Juntei၊ ဒစ်ဂျစ်တယ် မှုခင်းဆေးပညာ၏ နတ်ဘုရားမ

Juntei သည် event log မဟုတ်သော Windows မှုခင်းဆိုင်ရာ အထောက်အထားများအတွက် Yamato Security ၏ cross-platform parser ဖြစ်သည်။ ၎င်းသည် စုဆောင်းထားသော အထောက်အထားများကို တသမတ်တည်းရှိသော CSV၊ JSON နှင့် JSONL record များအဖြစ် ပြောင်းလဲပေးပြီး စုံစမ်းစစ်ဆေးသူတစ်ဦး မှားယွင်းသော ကောက်ချက်များကို ရှောင်ရှားရန် လိုအပ်သည့် အခြေအနေကို ထိန်းသိမ်းထားသည်။

ဤနေရာမှ စတင်ပါ အထောက်အထားများကို လေ့လာပါ ညွှန်ကြားချက် ကိုးကားချက် GitHub

မူရင်းအထောက်အထားမှ ခိုင်လုံသော ကောက်ချက်ဆီသို့

Juntei က အထောက်အထားတစ်ခု မှတ်တမ်းတင်ထားသည့်အရာကို ပြောပြနိုင်သည်။ ဤ site က ထို record သည် မည်သည်ကို သက်သေပြပြီး မည်သည်ကို သက်သေမပြ ကြောင်း ရှင်းပြသည်။ Windows DFIR ကို တစ်ကြိမ်မျှ မလုပ်ဖူးသေးလျှင်ပင် အထောက်အထား စာမျက်နှာတစ်ခုမှ စတင်ပါ။ လမ်းညွှန်တစ်ခုစီတွင် ၎င်း၏ ရည်ရွယ်ချက်၊ disk ပေါ်ရှိ တည်နေရာ၊ ထိန်းသိမ်းထားမှုနှင့် စုဆောင်းခြင်းဆိုင်ရာ သတိပြုရန်များ၊ ခွဲခြမ်းစိတ်ဖြာရန် ညွှန်ကြားချက်၊ ထုတ်ယူမှု field များ၊ အဓိပ္ပာယ်ဖော်ပုံ၊ ချိတ်ဆက်စစ်ဆေးမှုများနှင့် ပိုမိုနက်ရှိုင်းစွာ ဖတ်ရှုရန်များ ပါဝင်သည်။

  • ဖိုင်စနစ် သမိုင်းကြောင်း

    ဖိုင်တည်ရှိမှု၊ အမည်များ၊ ရွှေ့ပြောင်းမှု၊ ဖျက်ခြင်း၊ metadata ပြောင်းလဲမှုများနှင့် alternate data stream များကို ပြန်လည်တည်ဆောက်ရန် $MFT နှင့် USN Journal ကို အသုံးပြုပါ။

  • ပရိုဂရမ်ဆိုင်ရာ အထောက်အထား

    Prefetch သည် လုပ်ဆောင်ခဲ့ခြင်း (execution) ကို ခိုင်မာစွာ ထောက်ခံနိုင်သည်။ Amcache နှင့် ShimCache က inventory၊ path၊ hash၊ လိုက်ဖက်မှုနှင့် သမိုင်းဆိုင်ရာ အခြေအနေများကို ဖြည့်စွက်ပေးသော်လည်း ဂရုတစိုက် အဓိပ္ပာယ်ဖော်ရန် လိုအပ်သည်။

  • အသုံးပြုသူ လှုပ်ရှားမှု

    LNK ဖိုင်များ၊ Jump Lists၊ RecentDocs နှင့် SRUM တို့သည် ဖွင့်ခဲ့သော item များ၊ အပလီကေးရှင်း လှုပ်ရှားမှု၊ removable သို့မဟုတ် network တည်နေရာများ၊ အရင်းအမြစ် အသုံးပြုမှုနှင့် အသုံးပြုသူ၏ သမိုင်းဆိုင်ရာ အခြေအနေကို ဖော်ပြသည်။

  • လုံခြုံရေးဆိုင်ရာ အထောက်အထား

    Defender quarantine သည် ခြိမ်းခြောက်မှု အမည်များ၊ မူလ path များ၊ download မူရင်းနေရာများ၊ hash များ၊ ပိုင်ရှင်များကို ထိန်းသိမ်းထားနိုင်ပြီး သီးခြားခွဲထားသော ခွဲခြမ်းစိတ်ဖြာမှုအတွက် quarantine လုပ်ထားသော byte များကိုပင် ဘေးကင်းစွာ ပြန်လည်ရယူနိုင်သည်။

  • Registry အခြေအနေ

    ခွဲဝေထားသော (allocated) နှင့် ပြန်လည်ရယူနိုင်သော registry ဒေတာကို ဖတ်ပါ၊ transaction log များကို replay လုပ်ပါ၊ ဝန်ဆောင်မှုများ၊ scheduled task များ၊ စက်တွင်းအကောင့်များနှင့် recent-document အခြေအနေကို စစ်ဆေးပါ။

  • ချိတ်ဆက်စစ်ဆေးပါ၊ ခန့်မှန်းမနေပါနှင့်

    မည်သည့် အထောက်အထားတစ်ခုတည်းကမျှ ဇာတ်လမ်းတစ်ခုလုံးကို မပြောပြနိုင်ပါ။ လမ်းညွှန်များက သီးခြားလွတ်လပ်သော source များကို အထောက်အထားဖြင့် ကျောထောက်နောက်ခံပြုထားသော timeline တစ်ခုအဖြစ် ပေါင်းစပ်ပုံကို ပြသသည်။

မှုခင်းဆိုင်ရာ ထုတ်ယူမှုသည် အထောက်အထားဖြစ်ပြီး စီရင်ချက်မဟုတ်ပါ

သံသယဖြစ်ဖွယ်ပုံရသော path တစ်ခုသည် သဲလွန်စတစ်ခုသာ ဖြစ်သည်။ Timestamp တစ်ခုသည် လုပ်ဆောင်ခဲ့ခြင်းထက် ဖိုင်၏ metadata ကို ဖော်ပြနေနိုင်သည်။ Record တစ်ခု မရှိခြင်းက လုပ်ဆောင်ချက်တစ်ခု မဖြစ်ပွားခဲ့ကြောင်း သက်သေမပြပါ။ မူရင်း အထောက်အထားကို ထိန်းသိမ်းပါ၊ tool ဗားရှင်းများနှင့် ညွှန်ကြားချက်များကို မှတ်တမ်းတင်ပါ၊ အရေးကြီးသော ကောက်ချက်များကို ထပ်မံအတည်ပြုပါ။