ညွှန်ကြားချက်စာရင်း

Parser တစ်ခုချင်းစီကို ၎င်းတို့၏ source အမျိုးအစားအလိုက် အုပ်စုဖွဲ့ထားသည်။ ၎င်းတို့ကို လေ့လာရန် juntei --help၊ juntei <SOURCE> --help သို့မဟုတ် juntei <SOURCE> <ARTIFACT> --help ကို run ပါ-

juntei parse-ntfs --help
juntei parse-registry amcache --help
juntei parse-file prefetch -d evidence/ -o prefetch.csv

ကွန်ပျူတာများစွာပါဝင်သော Windows အထောက်အထား စုဆောင်းမှုအတွက် juntei auto-parse -d <EVIDENCE> -o <OUTPUT> ကို အသုံးပြုပါ။ ၎င်းသည် အုပ်စုဖွဲ့ထားသော တူညီသည့် ညွှန်ကြားချက်များကို ခေါ်ယူပြီး ရလဒ်များနှင့် log များကို ကွန်ပျူတာနှင့် စုံစမ်းစစ်ဆေးရေး category အလိုက် စီစဉ်ပေးသည်။

Parse လုပ်ထားသော artifact များအားလုံးကို ခြုံငုံသည့် timeline အတွက် juntei super-timeline -d <PARSED> -o SuperTimeline.csv ကို အသုံးပြုပါ။ ၎င်းသည် timestamp များကို event များအဖြစ် ချဲ့ထွင်ပြီး ၎င်းတို့၏ အဓိပ္ပာယ်ကို label တပ်ပေးသည်။ Output ကို မူလအားဖြင့် စီမထားပါ။ အချိန်အစဉ်လိုက် စီရန်နှင့် ထပ်နေသည်များ ပေါင်းစည်းရန် --sort ကို ထည့်ပါ။ auto-parse -j သည် native record များကို ဆက်လက် ထိန်းသိမ်းထားသည်။

Disk image များ

ညွှန်ကြားချက်	Input	အသေးစိတ် လမ်းညွှန်
mount	VHDX / E01 / Ex01 disk image	Disk image များကို mount လုပ်ခြင်း

ESE ညွှန်ကြားချက်များ

ညွှန်ကြားချက်	Input အထောက်အထား	အသေးစိတ် လမ်းညွှန်
parse-ese srum	ESE SRUDB.dat	SRUM
parse-ese ual	ESE Current.mdb, {GUID}.mdb, SystemIdentity.mdb	အသုံးပြုသူ ဝင်ရောက်မှု မှတ်တမ်း (UAL)
parse-ese webcache	ESE WebCacheV01.dat	Internet Explorer နှင့် legacy Edge

ဖိုင် ညွှန်ကြားချက်များ

ညွှန်ကြားချက်	Input အထောက်အထား	အသေးစိတ် လမ်းညွှန်
parse-file defender-quarantine	Defender quarantine tree သို့မဟုတ် entry	Defender သီးခြားခွဲထားသော ဒေတာ
parse-file jump-lists	*.automaticDestinations-ms, *.customDestinations-ms	Jump Lists
parse-file lnk	*.lnk	LNK ဖြတ်လမ်းများ
parse-file outlook	*.pst, *.ost, *.msg, *.oft	Outlook
parse-file prefetch	*.pf	Prefetch

NTFS ညွှန်ကြားချက်များ

ညွှန်ကြားချက်	Input အထောက်အထား	အသေးစိတ် လမ်းညွှန်
parse-ntfs boot	$Boot သို့မဟုတ် NTFS volume image	Boot sector ($Boot)
parse-ntfs i30	$I30 ($INDEX_ALLOCATION) သို့မဟုတ် disk image	ဖိုင်တွဲ အညွှန်းများ ($I30)
parse-ntfs logfile	NTFS $LogFile	NTFS အပြောင်းအလဲမှတ်တမ်း
parse-ntfs mft	NTFS $MFT	ပင်မဖိုင်ဇယား
parse-ntfs secure-sds	$Secure:$SDS ($Secure_$SDS)	လုံခြုံရေးဖော်ပြချက်များ ($Secure:$SDS)
parse-ntfs usn-journal	$UsnJrnl:$J	USN ဂျာနယ်

Registry ညွှန်ကြားချက်များ

ညွှန်ကြားချက်	Input အထောက်အထား	အသေးစိတ် လမ်းညွှန်
parse-registry amcache	Amcache.hve	Amcache
parse-registry networks	SOFTWARE, SYSTEM	ကွန်ရက်များ
parse-registry lsa-secrets	SECURITY	LSA လျှို့ဝှက်ဒေတာ
parse-registry bcd	BCD (နှင့် BCD-Template)	Boot ပြင်ဆင်မှု ဒေတာ (BCD)
parse-registry app-compat	SOFTWARE, NTUSER.DAT	အပလီကေးရှင်း လိုက်ဖက်မှု
parse-registry auditpol	SECURITY	စစ်ဆေးမှတ်တမ်း မူဝါဒ
parse-registry office	NTUSER.DAT	Microsoft Office
parse-registry feature-usage	NTUSER.DAT	FeatureUsage၊ RecentApps နှင့် Taskbar တွင် ပင်ထိုးထားသော အရာများ
parse-registry app-history	NTUSER.DAT	အပလီကေးရှင်း မှတ်တမ်း
parse-registry mru	NTUSER.DAT	နောက်ဆုံးအသုံးပြုထားသော စာရင်းများ
parse-registry bam	SYSTEM (အသုံးပြုသူအမည်များအတွက် SAM, SOFTWARE နှင့်အတူ)	BAM / DAM
parse-registry muicache	UsrClass.dat (Windows XP တွင် NTUSER.DAT)	MuiCache
parse-registry installed-programs	SOFTWARE, NTUSER.DAT	ထည့်သွင်းထားသော ပရိုဂရမ်များ
parse-registry open-save-mru	NTUSER.DAT	ဖွင့်ရန်နှင့် အမည်သစ်ဖြင့် သိမ်းရန် dialog များ
parse-registry persistence	SOFTWARE, SYSTEM, NTUSER.DAT, UsrClass.dat	Registry အလိုအလျောက် စတင်မှု
parse-registry read	မည်သည့် primary registry hive မဆို	Registry hive များ
parse-registry recent-docs	NTUSER.DAT	RecentDocs
parse-registry remote-access	NTUSER.DAT (အသုံးပြုသူ SID များအတွက် SOFTWARE နှင့်အတူ)	အဝေးမှ ဝင်ရောက်မှု (အသုံးပြုသူဘက်)
parse-registry sam	SAM	SAM စက်တွင်းအကောင့်များ
parse-registry security-settings	SOFTWARE, SYSTEM, NTUSER.DAT	လုံခြုံရေးဆက်တင်များ
parse-registry services	SYSTEM	Windows ဝန်ဆောင်မှုများ
parse-registry shimcache	SYSTEM သို့မဟုတ် export လုပ်ထားသော AppCompatCache တန်ဖိုး	ShimCache
parse-registry system-info	စနစ်တစ်ခု၏ SYSTEM, SOFTWARE, SAM, SECURITY	စနစ်အချက်အလက်
parse-registry taskcache	SOFTWARE	Task Scheduler cache
parse-registry usb	SYSTEM၊ SOFTWARE နှင့် NTUSER.DAT နှင့်အတူ	USB စက်ပစ္စည်းများ
parse-registry user-assist	NTUSER.DAT	UserAssist
parse-registry shell-bags	UsrClass.dat, NTUSER.DAT	ShellBags

SQLite ညွှန်ကြားချက်များ

ညွှန်ကြားချက်	Input အထောက်အထား	အသေးစိတ် လမ်းညွှန်
parse-sqlite browser	History, Cookies, Web Data, places.sqlite, cookies.sqlite, formhistory.sqlite	ဝဘ် ဘရောက်ဇာများ

Source အမျိုးအစားများနှင့် format ပြောင်းလဲမှုများ

အုပ်စုများသည် Juntei လက်ရှိ ပံ့ပိုးထားသော format များကို ဖော်ပြသည်။ parse-registry amcache သည် Amcache.hve ကို ဖတ်သည်။ ၎င်းသည် SQLite Amcache inventory ဒေတာဘေ့စ်များကို ပံ့ပိုးသည်ဟု မဆိုလိုပါ။ အခြား storage format အတွက် ပံ့ပိုးမှုကို သီးခြားလွတ်လပ်စွာ ထပ်ထည့်နိုင်ရန် artifact parser crate များကို သီးခြားစီ ထားရှိသည်။

ယခင် flat parser အမည်များကို အထက်ပါ source-and-artifact path များဖြင့် အစားထိုးထားသည်။ ရှိပြီးသား parser option များကို artifact အမည်နောက်တွင် ဆက်ထားပါ။ auto-parse နှင့် ရှိပြီးသား registry subcommand များသည် ၎င်းတို့၏ အမည်များကို ဆက်လက် ထိန်းသိမ်းထားသည်။

Persistence Hunter

juntei persistence-hunter သည် source format များစွာကို ဖြတ်ကျော်၍ ရှာဖွေသောကြောင့် ထိပ်တန်းအဆင့် ခွဲခြမ်းစိတ်ဖြာရေး ညွှန်ကြားချက် ဖြစ်သည်။ ၎င်းသည် parse-registry persistence မှ ပြင်ဆင်မှု စာရင်းအပြည့်အစုံကို စစ်ဆေးမှု 131 ခု၊ allow/block အမျိုးအစားခွဲခြင်း၊ payload metadata၊ coverage နှင့် timestamp ချိတ်ဆက်စစ်ဆေးမှုတို့ဖြင့် ဖြည့်စွက်ပေးသည်။

ထိပ်တန်းအဆင့် အသုံးပြုပုံ

Usage: juntei <COMMAND>

Commands:
  auto-parse          Discover and parse Windows evidence
  help                Print this message or the help of the given subcommand(s)
  mount               Mount a VHDX or E01 disk image read-only (FUSE)
  parse-ese           Parse ESE databases
  parse-file          Parse file artifacts
  parse-ntfs          Parse NTFS artifacts
  parse-registry      Parse registry hives
  parse-sqlite        Parse SQLite databases
  persistence-hunter  Hunt offline Windows persistence

Options:
  -h, --help     Print help
  -V, --version  Print version

Source စာမျက်နှာများသည် ညွှန်ကြားချက် အသုံးပြုပုံကို ပြန်လည်ဖော်ပြပြီး ဥပမာတိုများ ပေးသည်။ အထောက်အထား လမ်းညွှန်များသည် အထောက်အထား၊ ထုတ်ယူမှု field များ၊ ကန့်သတ်ချက်များနှင့် စုံစမ်းစစ်ဆေးမှု ဗျူဟာကို ရှင်းပြသည်။