หน้าแรก
Juntei คือพาร์เซอร์ข้ามแพลตฟอร์มของ Yamato Security สำหรับอาร์ติแฟกต์นิติวิทยาศาสตร์ของ Windows ที่ไม่ใช่ event log โดยแปลงหลักฐานที่เก็บรวบรวมมาให้เป็นระเบียน CSV, JSON และ JSONL ที่สอดคล้องกัน พร้อมเก็บรักษาบริบทที่ผู้ตรวจสอบต้องใช้เพื่อหลีกเลี่ยงข้อสรุปที่ผิดพลาด
จากอาร์ติแฟกต์ดิบสู่ข้อสรุปที่มีหลักฐานรองรับ¶
Juntei บอกได้ว่าอาร์ติแฟกต์บันทึกอะไรไว้ ส่วนเว็บไซต์นี้อธิบายว่าระเบียนนั้น พิสูจน์อะไรได้และ พิสูจน์อะไรไม่ได้ ให้เริ่มจากหน้าอาร์ติแฟกต์ แม้ว่าคุณจะไม่เคยทำ DFIR บน Windows มาก่อนก็ตาม คู่มือแต่ละหน้าครอบคลุมวัตถุประสงค์ ตำแหน่งบนดิสก์ ข้อควรระวังด้านการเก็บรักษาและการเก็บรวบรวม คำสั่งวิเคราะห์ ฟิลด์เอาต์พุต การตีความ การเชื่อมโยง และแหล่งอ่านเพิ่มเติม
-
ประวัติระบบไฟล์
ใช้
$MFTและบันทึก USN เพื่อสร้างภาพการมีอยู่ ชื่อ การย้าย การลบ การเปลี่ยนแปลงเมทาดาทา และ alternate data stream ของไฟล์ขึ้นใหม่ -
หลักฐานของโปรแกรม
Prefetch สามารถสนับสนุนการเรียกใช้งานได้อย่างหนักแน่น Amcache และ ShimCache เพิ่มบริบทด้านบัญชีรายการ พาธ แฮช ความเข้ากันได้ และประวัติ แต่ต้องตีความอย่างระมัดระวัง
-
กิจกรรมของผู้ใช้
ไฟล์ LNK, Jump Lists, RecentDocs และ SRUM เปิดเผยรายการที่ถูกเปิด กิจกรรมของแอปพลิเคชัน ตำแหน่งบนสื่อแบบถอดได้หรือเครือข่าย การใช้ทรัพยากร และบริบทของผู้ใช้ในอดีต
-
หลักฐานด้านความปลอดภัย
ข้อมูลที่ Defender กักกันสามารถเก็บรักษาชื่อภัยคุกคาม พาธเดิม แหล่งที่ดาวน์โหลด แฮช เจ้าของ และยังกู้คืนไบต์ที่ถูกกักกันได้อย่างปลอดภัยเพื่อวิเคราะห์ในสภาพแวดล้อมที่แยกออกมา
-
สถานะของรีจิสทรี
อ่านข้อมูลรีจิสทรีที่ถูกจัดสรรและที่กู้คืนได้ เล่นซ้ำ transaction log และตรวจสอบบริการ งานที่ตั้งเวลาไว้ บัญชีภายในเครื่อง และสถานะของเอกสารล่าสุด
-
เชื่อมโยงข้อมูล อย่าคาดเดา
ไม่มีอาร์ติแฟกต์ใดเพียงชิ้นเดียวที่เล่าเรื่องได้ทั้งหมด คู่มือแสดงวิธีรวมแหล่งข้อมูลที่เป็นอิสระต่อกัน ให้เป็นไทม์ไลน์ที่มีหลักฐานรองรับ
เอาต์พุตทางนิติวิทยาศาสตร์คือหลักฐาน ไม่ใช่คำตัดสิน
พาธที่ดูน่าสงสัยเป็นเบาะแส timestamp อาจอธิบายเมทาดาทาของไฟล์มากกว่า การเรียกใช้งาน การไม่มีระเบียนไม่ได้พิสูจน์ว่าการกระทำนั้นไม่ได้เกิดขึ้น ให้เก็บรักษาหลักฐานต้นทาง บันทึกเวอร์ชันของเครื่องมือและคำสั่ง และยืนยันข้อสรุปที่สำคัญด้วยหลักฐานอื่น