Guia de artefatos¶
O Windows preserva vestígios sobrepostos no sistema de arquivos, no Registro, em bancos de dados de compatibilidade, no histórico da interface do usuário, na contabilização de recursos e em produtos de segurança. O Juntei analisa essas fontes, mas o investigador ainda precisa interpretar o que cada fonte significa.
Escolha um artefato pela pergunta¶
| Pergunta da investigação | Comece por aqui | Corrobore com |
|---|---|---|
| Este executável foi executado? | Prefetch | ShimCache, SRUM, logs de eventos |
| Este arquivo chegou a existir? | Amcache, $MFT | Diário USN, $I30, ShimCache |
| Quando um arquivo foi criado, renomeado ou excluído? | Diário USN | $MFT, $I30, quarentena do Defender |
| Que nome ou carimbo de data/hora existia antes de uma alteração de metadados? | $LogFile | $MFT, Diário USN, $I30 |
| Quem é o proprietário de um arquivo, e quem pode alterá-lo? | $Secure:$SDS com $MFT | SAM, logs de eventos Security |
| Em qual volume estava o destino de um atalho ou de um arquivo Prefetch? | $Boot | LNK, Prefetch, dispositivos USB |
| O que um usuário abriu? | Jump Lists, LNK, RecentDocs | SRUM, Prefetch |
| Um programa transferiu uma grande quantidade de dados? | SRUM | Telemetria de firewall, proxy, DNS, pacotes ou EDR |
| Quais sites um usuário visitou, e o que ele baixou? | Navegadores web, Internet Explorer e Edge legado | Logs de proxy e DNS, $MFT e Diário USN, Defender, SRUM |
| Com quem um usuário trocou e-mails, e o que estava anexado? | Outlook | Logs de servidores e gateways de e-mail, $MFT e Diário USN, Defender, LNK e Jump Lists |
| Quais clientes e contas usaram este servidor, e em quais dias? | Registro de acesso do usuário (UAL) | Logs de eventos Security, logs de SMB e RDP, logs de firewall |
| Foi configurada persistência? | Serviços, TaskCache, Registro | Logs de eventos, Prefetch, $MFT |
| O que o Defender removeu? | Quarentena do Defender | Logs de eventos, $MFT, Diário USN |
| Contas locais foram adicionadas ou alteradas? | SAM | Logs de eventos Security e histórico de transações do Registro |
Leia os avisos antes dos campos¶
Toda página de artefato segue a mesma sequência:
- O que é e quais perguntas ele pode responder.
- Onde encontrá-lo e como a coleta o afeta.
- O que ele prova — e o que não prova.
- Como analisá-lo com o Juntei.
- Como ler cada campo de saída.
- Como correlacioná-lo com evidências independentes.
- Mais detalhes para pesquisa de baixo nível.
Não equipare um achado do analisador a atividade maliciosa
Os achados do Juntei identificam padrões que merecem revisão, como o nome de um binário do sistema fora de
System32. Instaladores, administradores, camadas de compatibilidade e atualizações de software podem produzir
registros incomuns. Valide com contexto e evidências independentes.