Fontes de evidência compatíveis

Fonte de evidência	Comando do Juntei	Mais útil para	Limitação importante
Amcache	parse-registry amcache	Inventário de arquivos, caminhos, SHA-1, metadados PE, dispositivos	Presença não é execução; o editor não é validação de assinatura
NTFS $MFT	parse-ntfs mft	Arquivos, registros excluídos, caminhos, horários, ADS	Registros reutilizados e timestomping podem induzir a erro
NTFS $LogFile	parse-ntfs logfile	Metadados de redo/undo, nomes e horários antigos, gravações no Diário USN	Retenção circular curta; horários de metadados não são horários de transação; sem reprodução
Prefetch	parse-file prefetch	Execução de programas, contagem de execuções, horários de execuções recentes, arquivos carregados	Apenas um histórico limitado de horários de execução é mantido
Diário USN $J	parse-ntfs usn-journal	Criações, exclusões, renomeações, gravações, caminhos históricos	Diário circular; registra alterações, não o conteúdo dos arquivos
Índices de diretórios $I30	parse-ntfs i30	Arquivos em um diretório; nomes, horários e tamanhos de possíveis arquivos excluídos ou renomeados deixados no slack do índice	O slack é parcial e não diz nada sobre quando uma entrada foi removida
Setor de inicialização NTFS $Boot	parse-ntfs boot	O número de série do volume registrado por LNK, Jump Lists e Prefetch; geometria e localização do $MFT; hash do código de inicialização para comparar entre hosts	Números de série podem ser alterados ou repetidos; um código de inicialização diferente é uma pista, não prova de um bootkit
Descritores de segurança NTFS $Secure:$SDS	parse-ntfs secure-sds	Proprietários e ACLs de arquivos, pelo SID do $MFT; DACLs NULL e ACLs permissivas	Proprietários podem ser alterados; as ACLs dizem quem pode acessar, não quem acessou
Imagens de disco VHDX	mount, auto-parse --vhdx	NTFS → CSV / JSON / JSONL	auto-parse: Linux/macOS/Windows (TMP); mount: Linux/FUSE; NTFS ADS: —
Imagens de disco E01 / Ex01	mount, auto-parse --e01	NTFS → CSV / JSON / JSONL	auto-parse: Linux/macOS/Windows (TMP); mount: Linux/FUSE; NTFS ADS: —
SRUM	parse-ese srum	Uso de rede e de recursos por aplicativo/usuário	Normalmente agregado; não é prova no nível de pacotes ou destinos
Registro de acesso do usuário (UAL)	parse-ese ual	Quais endereços de cliente e quais contas usaram as funções de um Windows Server (compartilhamentos de arquivos, Active Directory, DHCP, IIS), e em quais dias	As solicitações são contadas por dia, não registradas uma a uma; o endereço pode ser um NAT ou um proxy; um Current.mdb sujo não contém suas alterações mais recentes
Internet Explorer e Edge legado (WebCache)	parse-ese webcache	Páginas visitadas e arquivos locais abertos no Explorador de Arquivos, arquivos baixados e de onde vieram, cookies, arquivos em cache com seus cabeçalhos HTTP	Uma entrada do histórico é uma URL com sua última visita, não cada visita; entradas excluídas não são recuperadas; um banco de dados sujo não contém suas alterações mais recentes
Navegadores web (baseados no Chromium e no Firefox)	parse-sqlite browser	Páginas visitadas e como se chegou a elas, arquivos baixados e de onde vieram, cookies, valores digitados em formulários web; visitas, downloads e entradas de formulários excluídos recuperados	Uma visita pode ser um redirecionamento, um frame ou uma página que outro programa abriu; os valores dos cookies do Chromium são criptografados; as entradas excluídas se perdem assim que o navegador as zera ou faz um checkpoint
Outlook (PST, OST, MSG, OFT)	parse-file outlook	E-mails com seus remetentes, destinatários, horários e anexos; contatos, itens de calendário e tarefas; pastas, itens ocultos de configurações e cada propriedade como está armazenada	O endereço de um remetente pode ser forjado; itens que não estão mais em nenhuma pasta não são recuperados; catálogos de endereços offline, o preenchimento automático e outros arquivos do Outlook ainda não são lidos
Atalhos LNK	parse-file lnk	Destinos abertos, argumentos, volumes, compartilhamentos, máquina de origem	Um atalho pode ser criado sem que o destino seja executado
Jump Lists	parse-file jump-lists	Itens abertos por aplicativos, itens fixados, uso e dados LNK embutidos	Comportamento e retenção específicos de cada aplicativo
ShimCache	parse-registry shimcache	Caminhos históricos de executáveis e verificações de compatibilidade	O cache pode não ser gravado em disco até o desligamento; uma entrada, por si só, não é execução
Quarentena do Defender	parse-file defender-quarantine	Detecção, caminho original, hashes, origem do download, bytes recuperados	O nome da detecção é um veredito do produto; a extração é perigosa
Hives do Registro	parse-registry read	Configuração, persistência, valores excluídos/reproduzidos	O horário da chave não é o horário de um valor; hives de sistemas em execução precisam dos logs de transação
Serviços	parse-registry services	Persistência de serviços/drivers e ações de falha	A configuração não prova que o serviço foi iniciado
RecentDocs	parse-registry recent-docs	Arquivos e pastas abertos recentemente por usuário	Somente o item mais recente de cada lista recebe um horário de abertura defensável
Microsoft Office	parse-registry office	Documentos e pastas que cada aplicativo do Office abriu, com horários; documentos cujas macros o usuário habilitou; configurações de macros e locais confiáveis	Habilitar macros não prova que uma macro foi executada; os caminhos dos registros de confiança são armazenados como o Office os grava
Caixas de diálogo Abrir e Salvar como	parse-registry open-save-mru	Arquivos abertos ou salvos por meio das caixas de diálogo comuns, por extensão, e os programas e pastas que as usaram	Somente a entrada mais recente de cada lista é datada; abrir e salvar não são diferenciados
TaskCache	parse-registry taskcache	Ações de tarefas agendadas, metadados, tarefas ocultas	Correlacione com o XML da tarefa e os logs de eventos para provar a execução
Configuração de inicialização (BCD)	parse-registry bcd	Entradas de inicialização; recuperação desativada, falhas ignoradas, assinatura de teste, verificações de integridade desativadas, modo de segurança, com quando cada um foi definido	O repositório muitas vezes não é coletado (partição de sistema EFI, \Boot); as configurações são herdadas
Inicializações automáticas do Registro	parse-registry persistence	Chaves Run, Winlogon, IFEO, DLLs AppInit/AppCert, pacotes LSA, sequestros de COM e outros locais de inicialização automática	Configuração, não prova de execução; a maioria das entradas são padrões do Windows
Compatibilidade de aplicativos	parse-registry app-compat	Camadas de compatibilidade, programas que o Assistente de Compatibilidade de Programas viu serem executados, uso de programas e módulos do CIT, bancos de dados de shim personalizados	As entradas do Assistente de Compatibilidade de Programas não têm horário de execução; os dados do CIT são, em sua maioria, do Windows 7 e 8
FeatureUsage, RecentApps, itens fixados	parse-registry feature-usage	Com que frequência um usuário alternou para cada aplicativo, o iniciou ou clicou nele; aplicativos recentes e seus arquivos; itens fixados na barra de tarefas e programas do Menu Iniciar	As contagens não têm horários; são alternâncias de janela, não inicializações
ShellBags	parse-registry shell-bags	Pastas que um usuário abriu no Explorer e em caixas de diálogo, incluindo removíveis, de rede, de dispositivos portáteis, ZIP e excluídas, como caminhos completos	Somente o item mais recente de cada chave recebe um horário de abertura defensável; os horários dos itens são da pasta, não da visita
BAM / DAM	parse-registry bam	A última vez que cada usuário executou cada programa, inclusive a partir de dispositivos removíveis e de rede	Um horário por programa e usuário, apenas atividade recente; caminhos de dispositivo, não letras de unidade
Dispositivos USB	parse-registry usb	Armazenamento USB e outros dispositivos, números de série, horários de instalação/chegada/remoção, letras de unidade, nomes e números de série de volumes, usuários que os montaram	Somente a última chegada e a última remoção são mantidas; letras de unidade são reutilizadas
MuiCache	parse-registry muicache	Caminhos, descrições e empresas de programas em cache associados ao perfil do shell de um usuário	Sem horário por programa; o perfil não é necessariamente a conta do processo, e os metadados podem ser forjados
UserAssist	parse-registry user-assist	Programas e atalhos que um usuário iniciou pelo Explorer, com contagem de execuções, tempo em foco e última execução	Somente as inicializações pelo Explorer são contadas; perfis novos recebem itens padrão
Redes	parse-registry networks	Redes às quais o sistema se conectou, com horários da primeira/última conexão, MACs de gateway, interfaces e concessões DHCP, compartilhamentos, proxies de porta, rotas	Os horários dos perfis são locais, convertidos com o fuso horário atual; nomes como "Network 2" se repetem
Configurações de segurança	parse-registry security-settings	Defender (e suas exclusões), UAC, proteção WDigest/LSA, RDP, firewall, SMBv1, log e AMSI do PowerShell, configurações de log de eventos e de evidências, sinalizadas quando enfraquecem o padrão	Uma configuração enfraquecida não é prova de comprometimento; valores ausentes (os padrões do Windows) não são relatados
Histórico de aplicativos	parse-registry app-history	Ferramentas Sysinternals que um usuário executou, histórico de arquivos compactados e pastas (WinRAR, 7-Zip, WinZip), contas do OneDrive, arquivos recentes do Adobe, valores do TeamViewer e do CCleaner	A maioria das entradas das listas não tem horário; somente a entrada mais recente de cada lista é datada
Listas MRU	parse-registry mru	Comandos da caixa de diálogo Executar, caminhos digitados no Explorer, pesquisas no Explorer, endereços digitados no Internet Explorer (com seus horários), arquivos do Paint e do WordPad, termos de pesquisa do XP	Somente a entrada mais recente de cada lista é datada, exceto os endereços digitados; digitado não significa executado
Acesso remoto (lado do usuário)	parse-registry remote-access	Computadores que um usuário acessou com Área de Trabalho Remota, PuTTY e WinSCP, chaves de host SSH aceitas, unidades mapeadas e compartilhamentos	Um destino salvo ou digitado não é uma conexão bem-sucedida; as chaves de lista têm um único horário para todos os seus itens
Programas instalados	parse-registry installed-programs	Programas instalados (para toda a máquina e por usuário), produtos do Windows Installer, App Paths, distribuições WSL e aplicativos empacotados	A data de instalação é a do instalador; programas desinstalados de forma limpa não deixam entrada
SAM	parse-registry sam	Contas locais, flags, RIDs, metadados de logon/senha	Apenas contas locais; os valores de último logon não são um histórico completo de logons
Segredos LSA	parse-registry lsa-secrets	Quais segredos a LSA contém (logon automático, contas de serviço, conta de computador) e quando foram definidos; logons de domínio em cache em uso	Apenas nomes e horários, nada é descriptografado; DefaultPassword existe mesmo sem logon automático
Política de auditoria	parse-registry auditpol	Quais eventos de segurança o sistema estava configurado para registrar e, portanto, quais eventos ausentes não significam nada	A política de quando o hive foi gravado pela última vez; alterações são registradas pelo evento 4719
Informações do sistema	parse-registry system-info	Nomes do computador e do domínio, versão e data de instalação do Windows, fuso horário, último desligamento, último usuário, perfis, SIDs	A configuração no momento da coleta; InstallDate muda com atualizações de recursos, e o Windows 11 se identifica como Windows 10

Tipos de coleta

O Juntei aceita um único artefato com -f ou pesquisa uma coleta recursivamente com -d. O modo de diretório foi projetado para layouts comuns de triagem, em que cada host contém caminhos como C/Windows/System32/config/SYSTEM ou C/Users/alice/NTUSER.DAT.

Consulte Coleta de evidências antes de analisar Registros ou bancos de dados ESE copiados: os logs de transação relacionados podem ser essenciais para reconstruir o estado que o Windows via.