ပံ့ပိုးထားသော အထောက်အထားအမျိုးအစားများ

အထောက်အထား source	Juntei ညွှန်ကြားချက်	အသုံးအဝင်ဆုံး	အရေးကြီးသော ကန့်သတ်ချက်
Amcache	parse-registry amcache	ဖိုင် inventory၊ path များ၊ SHA-1၊ PE metadata၊ စက်ပစ္စည်းများ	တည်ရှိမှုသည် လုပ်ဆောင်ခဲ့ခြင်း မဟုတ်ပါ။ publisher သည် signature မှန်ကန်မှု စစ်ဆေးခြင်း မဟုတ်ပါ
NTFS $MFT	parse-ntfs mft	ဖိုင်များ၊ ဖျက်ထားသော record များ၊ path များ၊ timestamp များ၊ ADS	ပြန်လည်အသုံးပြုထားသော record များနှင့် timestomping က လမ်းလွဲစေနိုင်သည်
NTFS $LogFile	parse-ntfs logfile	Redo/undo metadata၊ အမည်ဟောင်းများနှင့် timestamp ဟောင်းများ၊ USN Journal သို့ ရေးသားမှုများ	ထိန်းသိမ်းထားမှု တိုတောင်းပြီး စက်ဝိုင်းပုံစံ ပြန်ရေးသည်။ metadata အချိန်များသည် transaction အချိန်များ မဟုတ်ပါ။ replay မလုပ်ပါ
Prefetch	parse-file prefetch	ပရိုဂရမ် လုပ်ဆောင်ခဲ့ခြင်း၊ run အကြိမ်ရေ၊ မကြာသေးမီက run ချိန်များ၊ load လုပ်ခဲ့သော ဖိုင်များ	ကန့်သတ်ထားသော run-time သမိုင်းကြောင်းကိုသာ ထိန်းသိမ်းထားသည်
USN Journal $J	parse-ntfs usn-journal	ဖန်တီးမှု၊ ဖျက်ခြင်း၊ အမည်ပြောင်းခြင်း၊ ရေးသားမှုများ၊ သမိုင်းဆိုင်ရာ path များ	စက်ဝိုင်းပုံစံ journal။ ပြောင်းလဲမှုများကို မှတ်တမ်းတင်ပြီး ဖိုင်အကြောင်းအရာ မဟုတ်ပါ
ဖိုင်တွဲ အညွှန်းများ $I30	parse-ntfs i30	ဖိုင်တွဲတစ်ခုရှိ ဖိုင်များ။ index slack တွင် ကျန်ရစ်ခဲ့သော ဖျက်ခဲ့ သို့မဟုတ် အမည်ပြောင်းခဲ့နိုင်သည့် ဖိုင်များ၏ အမည်၊ အချိန်နှင့် အရွယ်အစားများ	Slack သည် တစ်စိတ်တစ်ပိုင်းသာဖြစ်ပြီး entry ကို မည်သည့်အချိန်တွင် ဖယ်ရှားခဲ့သည်ကို ဘာမျှ မပြောပါ
NTFS boot sector $Boot	parse-ntfs boot	LNK၊ Jump Lists နှင့် Prefetch မှတ်တမ်းတင်သော volume serial number၊ geometry နှင့် $MFT တည်နေရာ၊ host များတစ်လျှောက် နှိုင်းယှဉ်ရန် boot code hash	Serial number များကို ပြောင်းလဲနိုင်သလို ထပ်တူဖြစ်နိုင်သည်။ ကွဲပြားသော boot code သည် သဲလွန်စတစ်ခုသာဖြစ်ပြီး bootkit ၏ သက်သေ မဟုတ်ပါ
NTFS security descriptor များ $Secure:$SDS	parse-ntfs secure-sds	$MFT ၏ SID အလိုက် ဖိုင်များ၏ ပိုင်ရှင်နှင့် ACL များ၊ NULL DACL များနှင့် ခွင့်ပြုချက်ကျယ်ပြန့်သော ACL များ	ပိုင်ရှင်များကို ပြောင်းလဲနိုင်သည်။ ACL များသည် မည်သူ ဝင်ရောက်ခွင့်ရှိသည်ကို ပြောပြီး မည်သူ ဝင်ရောက်ခဲ့သည်ကို မပြောပါ
VHDX disk image များ	mount, auto-parse --vhdx	NTFS → CSV / JSON / JSONL	auto-parse: Linux/macOS/Windows (TMP); mount: Linux/FUSE; NTFS ADS: —
E01 / Ex01 disk image များ	mount, auto-parse --e01	NTFS → CSV / JSON / JSONL	auto-parse: Linux/macOS/Windows (TMP); mount: Linux/FUSE; NTFS ADS: —
SRUM	parse-ese srum	အပလီကေးရှင်း/အသုံးပြုသူ အလိုက် network နှင့် အရင်းအမြစ် အသုံးပြုမှု	အများအားဖြင့် စုစည်းထားသည်။ packet သို့မဟုတ် destination အဆင့် သက်သေ မဟုတ်ပါ
အသုံးပြုသူ ဝင်ရောက်မှု မှတ်တမ်း (UAL)	parse-ese ual	Windows Server ၏ role များ (file share များ၊ Active Directory၊ DHCP၊ IIS) ကို မည်သည့် client address များနှင့် account များက မည်သည့်နေ့များတွင် အသုံးပြုခဲ့သည်	Request များကို နေ့အလိုက် ရေတွက်ပြီး တစ်ခုချင်း log မလုပ်ပါ။ address သည် NAT သို့မဟုတ် proxy ဖြစ်နိုင်သည်။ dirty Current.mdb တွင် ၎င်း၏ နောက်ဆုံး ပြောင်းလဲမှုများ ပျောက်နေသည်
Internet Explorer နှင့် legacy Edge (WebCache)	parse-ese webcache	ကြည့်ရှုခဲ့သော စာမျက်နှာများနှင့် File Explorer တွင် ဖွင့်ခဲ့သော local ဖိုင်များ၊ download လုပ်ခဲ့သော ဖိုင်များနှင့် ၎င်းတို့ လာရာနေရာ၊ cookie များ၊ HTTP header များပါသော cache လုပ်ထားသည့် ဖိုင်များ	History entry တစ်ခုသည် visit တစ်ခုချင်းစီ မဟုတ်ဘဲ ၎င်း၏ နောက်ဆုံး visit ပါသော URL တစ်ခု ဖြစ်သည်။ ဖျက်ထားသော entry များကို ပြန်လည်မရယူပါ။ dirty database တွင် ၎င်း၏ နောက်ဆုံး ပြောင်းလဲမှုများ ပျောက်နေသည်
Outlook (PST, OST, MSG, OFT)	parse-file outlook	ပေးပို့သူများ၊ လက်ခံသူများ၊ အချိန်များနှင့် ပူးတွဲဖိုင်များ ပါဝင်သော e-mail။ contact များ၊ ပြက္ခဒိန် item များနှင့် task များ။ ဖိုင်တွဲများ၊ ဝှက်ထားသော setting item များနှင့် သိမ်းဆည်းထားသည့်အတိုင်း property တိုင်း	ပေးပို့သူ၏ လိပ်စာကို အတုလုပ်နိုင်သည်။ မည်သည့် ဖိုင်တွဲတွင်မျှ မရှိတော့သော item များကို ပြန်လည်မရယူပါ။ offline address book များ၊ autocomplete နှင့် အခြား Outlook ဖိုင်များကို မဖတ်ရသေးပါ
ဝဘ် ဘရောက်ဇာများ (Chromium-based နှင့် Firefox-based)	parse-sqlite browser	ကြည့်ရှုခဲ့သော စာမျက်နှာများနှင့် ရောက်ရှိခဲ့ပုံ၊ download လုပ်ခဲ့သော ဖိုင်များနှင့် ၎င်းတို့ လာရာနေရာ၊ cookie များ၊ web form များတွင် ရိုက်ထည့်ခဲ့သော value များ။ ဖျက်ထားသော visit များ၊ download များနှင့် form entry များကို ပြန်လည်ရယူသည်	Visit တစ်ခုသည် redirect၊ frame သို့မဟုတ် အခြား program က ဖွင့်ခဲ့သော စာမျက်နှာ ဖြစ်နိုင်သည်။ Chromium cookie value များကို encrypt လုပ်ထားသည်။ ဘရောက်ဇာက သုညဖြင့် ဖြည့်လိုက်သည် သို့မဟုတ် checkpoint လုပ်လိုက်သည်နှင့် ဖျက်ထားသော entry များ ပျောက်သွားသည်
LNK ဖြတ်လမ်းများ	parse-file lnk	ဖွင့်ခဲ့သော ပစ်မှတ်များ၊ argument များ၊ volume များ၊ share များ၊ source စက်	ပစ်မှတ် run ခြင်းမရှိဘဲ ဖြတ်လမ်းကို ဖန်တီးနိုင်သည်
Jump Lists	parse-file jump-lists	အပလီကေးရှင်းက ဖွင့်ခဲ့သော item များ၊ pin ထိုးခြင်း၊ အသုံးပြုမှုနှင့် ထည့်သွင်းထားသော LNK ဒေတာ	အပလီကေးရှင်းအလိုက် ကွဲပြားသော အပြုအမူနှင့် ထိန်းသိမ်းထားမှု
ShimCache	parse-registry shimcache	သမိုင်းဆိုင်ရာ executable path များနှင့် လိုက်ဖက်မှု စစ်ဆေးချက်များ	Shutdown မတိုင်မီ cache ကို flush မလုပ်နိုင်ပါ။ entry တစ်ခုတည်းသည် လုပ်ဆောင်ခဲ့ခြင်း မဟုတ်ပါ
Defender quarantine	parse-file defender-quarantine	Detection၊ မူလ path၊ hash များ၊ download မူရင်းနေရာ၊ ပြန်လည်ရယူထားသော byte များ	Detection အမည်သည် ထုတ်ကုန်၏ စီရင်ချက်ဖြစ်သည်။ ထုတ်ယူခြင်းသည် အန္တရာယ်ရှိသည်
Registry hive များ	parse-registry read	ပြင်ဆင်သတ်မှတ်ချက်၊ အမြဲတမ်းဝင်ရောက်နိုင်မှု၊ ဖျက်ထားသော/replay လုပ်ထားသော value များ	Key အချိန်သည် value အချိန် မဟုတ်ပါ။ live hive များအတွက် transaction log များ လိုအပ်သည်
ဝန်ဆောင်မှုများ	parse-registry services	ဝန်ဆောင်မှု/driver အမြဲတမ်းဝင်ရောက်နိုင်မှုနှင့် failure action များ	ပြင်ဆင်သတ်မှတ်ချက်က ဝန်ဆောင်မှု စတင်ခဲ့ကြောင်း သက်သေမပြပါ
RecentDocs	parse-registry recent-docs	အသုံးပြုသူအလိုက် မကြာသေးမီက ဖွင့်ခဲ့သော ဖိုင်များနှင့် ဖိုင်တွဲများ	စာရင်းတစ်ခုစီရှိ နောက်ဆုံး item သာ ခိုင်လုံသော ဖွင့်ချိန်ကို ရရှိသည်
Microsoft Office	parse-registry office	Office အပလီကေးရှင်းတစ်ခုစီက ဖွင့်ခဲ့သော စာရွက်စာတမ်းများနှင့် ဖိုင်တွဲများ (အချိန်များနှင့်အတူ)၊ အသုံးပြုသူက macro ကို ဖွင့်ခွင့်ပြုခဲ့သော စာရွက်စာတမ်းများ၊ macro ဆက်တင်များနှင့် ယုံကြည်ရသော တည်နေရာများ	Macro ကို ဖွင့်ခွင့်ပြုခြင်းသည် macro run ခဲ့ကြောင်း သက်သေ မဟုတ်ပါ။ trust-record path များကို Office ရေးသားသည့်အတိုင်း သိမ်းဆည်းထားသည်
ဖွင့်ရန်နှင့် အမည်သစ်ဖြင့် သိမ်းရန် dialog များ	parse-registry open-save-mru	ဘုံ dialog များမှတစ်ဆင့် ဖွင့်ခဲ့သော သို့မဟုတ် သိမ်းခဲ့သော ဖိုင်များ (extension အလိုက်) နှင့် ၎င်းတို့ကို အသုံးပြုခဲ့သော ပရိုဂရမ်များနှင့် ဖိုင်တွဲများ	စာရင်းတစ်ခုစီ၏ နောက်ဆုံး entry ကိုသာ ရက်စွဲသတ်မှတ်ထားသည်။ ဖွင့်ခြင်းနှင့် သိမ်းခြင်းကို ခွဲခြား၍ မရပါ
TaskCache	parse-registry taskcache	Scheduled-task action များ၊ metadata၊ ဝှက်ထားသော task များ	Runtime သက်သေအတွက် task XML နှင့် event log များနှင့် ချိတ်ဆက်စစ်ဆေးပါ
Boot ပြင်ဆင်မှု (BCD)	parse-registry bcd	Boot entry များ၊ recovery ပိတ်ထားခြင်း၊ failure များကို လျစ်လျူရှုခြင်း၊ test signing၊ integrity စစ်ဆေးမှု ပိတ်ထားခြင်း၊ safe mode နှင့် တစ်ခုချင်းစီကို သတ်မှတ်ခဲ့သည့်အချိန်	Store ကို မကြာခဏ မစုဆောင်းကြပါ (EFI system partition၊ \Boot)။ ဆက်တင်များကို အမွေဆက်ခံသည်
Registry အလိုအလျောက် စတင်မှု	parse-registry persistence	Run key များ၊ Winlogon၊ IFEO၊ AppInit/AppCert DLL များ၊ LSA package များ၊ COM hijack များနှင့် အခြား autostart တည်နေရာများ	ပြင်ဆင်သတ်မှတ်ချက်သာဖြစ်ပြီး လုပ်ဆောင်ခဲ့ခြင်း၏ သက်သေ မဟုတ်ပါ။ entry အများစုသည် Windows ၏ မူလသတ်မှတ်ချက်များ ဖြစ်သည်
အပလီကေးရှင်း လိုက်ဖက်မှု	parse-registry app-compat	လိုက်ဖက်မှု layer များ၊ Program Compatibility Assistant က run နေသည်ကို တွေ့ခဲ့သော ပရိုဂရမ်များ၊ CIT ပရိုဂရမ်နှင့် module အသုံးပြုမှု၊ စိတ်ကြိုက် shim database များ	Program Compatibility Assistant entry များတွင် run ချိန် မပါဝင်ပါ။ CIT ဒေတာ အများစုသည် Windows 7 နှင့် 8 မှ ဖြစ်သည်
FeatureUsage၊ RecentApps၊ pin များ	parse-registry feature-usage	အသုံးပြုသူက အပလီကေးရှင်းတစ်ခုစီသို့ ပြောင်းခဲ့၊ စတင်ဖွင့်ခဲ့ သို့မဟုတ် နှိပ်ခဲ့သည့် အကြိမ်ရေ၊ မကြာသေးမီက app များနှင့် ၎င်းတို့၏ ဖိုင်များ၊ taskbar pin များနှင့် Start menu ပရိုဂရမ်များ	အရေအတွက်များတွင် အချိန် မပါဝင်ပါ။ window ပြောင်းခြင်းများဖြစ်ပြီး စတင်ခြင်းများ မဟုတ်ပါ
ShellBags	parse-registry shell-bags	Removable၊ network၊ portable-device၊ ZIP နှင့် ဖျက်ထားသော ဖိုင်တွဲများ အပါအဝင် အသုံးပြုသူက Explorer နှင့် dialog များတွင် ဖွင့်ခဲ့သော ဖိုင်တွဲများကို path အပြည့်အစုံဖြင့်	Key တစ်ခုစီရှိ နောက်ဆုံး item သာ ခိုင်လုံသော ဖွင့်ချိန်ကို ရရှိသည်။ item အချိန်များသည် ဖိုင်တွဲ၏ အချိန်ဖြစ်ပြီး ဝင်ရောက်ကြည့်ရှုချိန် မဟုတ်ပါ
BAM / DAM	parse-registry bam	Removable နှင့် network စက်ပစ္စည်းများမှ အပါအဝင် အသုံးပြုသူတစ်ဦးချင်းစီက ပရိုဂရမ်တစ်ခုစီကို နောက်ဆုံး run ခဲ့သည့်အချိန်	ပရိုဂရမ်နှင့် အသုံးပြုသူ တစ်တွဲလျှင် အချိန်တစ်ခု၊ မကြာသေးမီက လှုပ်ရှားမှုသာ။ drive letter များမဟုတ်ဘဲ device path များ
USB စက်ပစ္စည်းများ	parse-registry usb	USB storage နှင့် အခြားစက်ပစ္စည်းများ၊ serial number များ၊ ထည့်သွင်း/ချိတ်ဆက်/ဖြုတ်ခဲ့သည့်အချိန်များ၊ drive letter များ၊ volume အမည်များနှင့် serial များ၊ ၎င်းတို့ကို mount လုပ်ခဲ့သော အသုံးပြုသူများ	နောက်ဆုံး ချိတ်ဆက်မှုနှင့် ဖြုတ်မှုကိုသာ ထိန်းသိမ်းထားသည်။ drive letter များကို ပြန်လည်အသုံးပြုသည်
MuiCache	parse-registry muicache	အသုံးပြုသူ၏ shell profile နှင့် ဆက်စပ်သော cache လုပ်ထားသည့် ပရိုဂရမ် path များ၊ ဖော်ပြချက်များနှင့် ကုမ္ပဏီများ	ပရိုဂရမ်အလိုက် အချိန်မရှိပါ။ profile သည် process အကောင့် ဖြစ်ချင်မှ ဖြစ်မည်ဖြစ်ပြီး metadata ကို အတုလုပ်နိုင်သည်
UserAssist	parse-registry user-assist	အသုံးပြုသူက Explorer မှ စတင်ခဲ့သော ပရိုဂရမ်များနှင့် ဖြတ်လမ်းများ၊ run အကြိမ်ရေ၊ focus အချိန်နှင့် နောက်ဆုံး run ချိန်	Explorer မှ စတင်မှုများကိုသာ ရေတွက်သည်။ profile အသစ်များတွင် မူလ item များကို ကြိုတင်ထည့်ထားသည်
ကွန်ရက်များ	parse-registry networks	ပထမ/နောက်ဆုံး ချိတ်ဆက်ချိန်များပါသော ချိတ်ဆက်ခဲ့သည့် network များ၊ gateway MAC များ၊ interface များနှင့် DHCP lease များ၊ share များ၊ port proxy များ၊ route များ	Profile အချိန်များသည် local ဖြစ်ပြီး လက်ရှိ time zone ဖြင့် ပြောင်းလဲထားသည်။ "Network 2" ကဲ့သို့သော အမည်များ ထပ်နေသည်
လုံခြုံရေးဆက်တင်များ	parse-registry security-settings	Defender (နှင့် ၎င်း၏ exclusion များ)၊ UAC၊ WDigest/LSA protection၊ RDP၊ firewall၊ SMBv1၊ PowerShell logging နှင့် AMSI၊ event log နှင့် အထောက်အထားဆိုင်ရာ ဆက်တင်များ၊ မူလသတ်မှတ်ချက်ထက် အားနည်းစေသည့်နေရာတွင် အမှတ်အသားပြုထားသည်	အားနည်းစေထားသော ဆက်တင်သည် ချိုးဖောက်ခံရမှု၏ သက်သေ မဟုတ်ပါ။ ပျောက်နေသော value များ (Windows ၏ မူလသတ်မှတ်ချက်များ) ကို အစီရင်ခံမည် မဟုတ်ပါ
အပလီကေးရှင်း မှတ်တမ်း	parse-registry app-history	အသုံးပြုသူ run ခဲ့သော Sysinternals tool များ၊ archive နှင့် ဖိုင်တွဲ မှတ်တမ်း (WinRAR၊ 7-Zip၊ WinZip)၊ OneDrive အကောင့်များ၊ Adobe မကြာသေးမီက ဖိုင်များ၊ TeamViewer နှင့် CCleaner value များ	စာရင်း entry အများစုတွင် အချိန်မရှိပါ။ စာရင်းတစ်ခုစီ၏ နောက်ဆုံး entry ကိုသာ ရက်စွဲသတ်မှတ်ထားသည်
MRU စာရင်းများ	parse-registry mru	Run dialog ညွှန်ကြားချက်များ၊ ရိုက်ထည့်ခဲ့သော Explorer path များ၊ Explorer ရှာဖွေမှုများ၊ ရိုက်ထည့်ခဲ့သော Internet Explorer လိပ်စာများ (၎င်းတို့၏ အချိန်များနှင့်အတူ)၊ Paint နှင့် WordPad ဖိုင်များ၊ XP ရှာဖွေစကားလုံးများ	ရိုက်ထည့်ခဲ့သော လိပ်စာများမှအပ စာရင်းတစ်ခုစီ၏ နောက်ဆုံး entry ကိုသာ ရက်စွဲသတ်မှတ်ထားသည်။ ရိုက်ထည့်ခြင်းသည် လုပ်ဆောင်ခြင်း မဟုတ်ပါ
အဝေးမှ ဝင်ရောက်မှု (အသုံးပြုသူဘက်)	parse-registry remote-access	အသုံးပြုသူက Remote Desktop၊ PuTTY နှင့် WinSCP ဖြင့် ချိတ်ဆက်ခဲ့သော ကွန်ပျူတာများ၊ လက်ခံခဲ့သော SSH host key များ၊ map လုပ်ထားသော drive များနှင့် share များ	သိမ်းထားသော သို့မဟုတ် ရိုက်ထည့်ခဲ့သော ပစ်မှတ်သည် အောင်မြင်သော ချိတ်ဆက်မှု မဟုတ်ပါ။ စာရင်း key များတွင် ၎င်းတို့၏ item အားလုံးအတွက် အချိန်တစ်ခုသာ ရှိသည်
ထည့်သွင်းထားသော ပရိုဂရမ်များ	parse-registry installed-programs	ထည့်သွင်းထားသော ပရိုဂရမ်များ (စက်တစ်ခုလုံးနှင့် အသုံးပြုသူအလိုက်)၊ Windows Installer ထုတ်ကုန်များ၊ App Paths၊ WSL distribution များနှင့် packaged app များ	ထည့်သွင်းသည့်ရက်စွဲသည် installer ၏ ရက်စွဲဖြစ်သည်။ သန့်ရှင်းစွာ uninstall လုပ်ထားသော ပရိုဂရမ်များသည် entry မကျန်ရစ်ပါ
SAM	parse-registry sam	စက်တွင်းအကောင့်များ၊ flag များ၊ RID များ၊ logon/password metadata	စက်တွင်းအကောင့်များသာ။ last-logon value များသည် ပြည့်စုံသော logon သမိုင်းကြောင်း မဟုတ်ပါ
LSA လျှို့ဝှက်ဒေတာ	parse-registry lsa-secrets	LSA ထိန်းထားသော လျှို့ဝှက်ဒေတာများ (autologon၊ ဝန်ဆောင်မှုအကောင့်များ၊ machine account) နှင့် ၎င်းတို့ကို သတ်မှတ်ခဲ့သည့်အချိန်၊ အသုံးပြုနေသော cache လုပ်ထားသည့် domain logon များ	အမည်များနှင့် အချိန်များသာ၊ မည်သည်ကိုမျှ decrypt မလုပ်ပါ။ DefaultPassword သည် autologon မရှိဘဲ တည်ရှိနိုင်သည်
စစ်ဆေးမှတ်တမ်း မူဝါဒ	parse-registry auditpol	စနစ်က မည်သည့် security event များကို log လုပ်ရန် သတ်မှတ်ထားသည်နှင့် ထို့ကြောင့် မည်သည့် ပျောက်နေသော event များက ဘာမျှ မပြောနိုင်ကြောင်း	Hive ကို နောက်ဆုံးရေးသားခဲ့ချိန်ရှိ မူဝါဒ။ ပြောင်းလဲမှုများကို event 4719 ဖြင့် log လုပ်သည်
စနစ်အချက်အလက်	parse-registry system-info	ကွန်ပျူတာနှင့် domain အမည်များ၊ Windows ဗားရှင်းနှင့် ထည့်သွင်းသည့်ရက်စွဲ၊ time zone၊ နောက်ဆုံး shutdown၊ နောက်ဆုံး အသုံးပြုသူ၊ profile များ၊ SID များ	စုဆောင်းချိန်ရှိ ပြင်ဆင်သတ်မှတ်ချက်။ InstallDate သည် feature upgrade များနှင့်အတူ ပြောင်းလဲပြီး Windows 11 သည် ၎င်းကိုယ်ကို Windows 10 ဟု ခေါ်သည်

စုဆောင်းမှု အမျိုးအစားများ

Juntei သည် -f ဖြင့် အထောက်အထားတစ်ခုတည်းကို လက်ခံသည်၊ သို့မဟုတ် -d ဖြင့် စုဆောင်းမှုတစ်ခုကို recursive ရှာဖွေသည်။ Directory mode ကို host တစ်ခုစီတွင် C/Windows/System32/config/SYSTEM သို့မဟုတ် C/Users/alice/NTUSER.DAT ကဲ့သို့သော path များ ပါဝင်သည့် ဘုံ triage layout များအတွက် ဒီဇိုင်းထုတ်ထားသည်။

ကူးယူထားသော registry သို့မဟုတ် ESE database များကို ခွဲခြမ်းစိတ်ဖြာခြင်းမပြုမီ အထောက်အထား စုဆောင်းခြင်း ကို ကြည့်ပါ- Windows မြင်ခဲ့သော အခြေအနေကို ပြန်လည်တည်ဆောက်ရန် ဆက်စပ် transaction log များသည် မရှိမဖြစ် လိုအပ်နိုင်သည်။