เกี่ยวกับ Juntei¶

Juntei เป็นพาร์เซอร์อาร์ติแฟกต์ทางนิติวิทยาศาสตร์ของ Windows ที่เขียนด้วยภาษา Rust ซึ่งปลอดภัยด้านหน่วยความจำ โดยทำงานเสริมกับ Hayabusa: Hayabusa วิเคราะห์ event log ของ Windows ขณะที่ Juntei วิเคราะห์อาร์ติแฟกต์ที่คงอยู่ถาวร ได้แก่ ระบบไฟล์ รีจิสทรี การเรียกใช้งาน กิจกรรมของผู้ใช้ การใช้ทรัพยากร และผลิตภัณฑ์ความปลอดภัย

ไบนารีเดียวกันทำงานบน Windows, macOS และ Linux นักวิเคราะห์สามารถตรวจสอบหลักฐาน Windows ที่รวบรวมแล้วและอิมเมจดิสก์ผ่านอินเทอร์เฟซเดียว แทนการใช้โปรแกรมแยกสำหรับแต่ละอาร์ติแฟกต์

เป้าหมายการออกแบบ¶

การวิเคราะห์ที่ตรวจสอบและโต้แย้งได้: เก็บรักษาค่าดิบไว้และรายงานความเสียหาย แทนที่จะสร้างข้อมูลขึ้นเองอย่างเงียบ ๆ
มีประโยชน์สำหรับทุกคน: การใช้งานตามค่าเริ่มต้นควรใช้ง่ายสำหรับผู้เริ่มต้น แต่ก็ปรับแต่งได้และมีฟีเจอร์ ครบถ้วนสำหรับผู้เชี่ยวชาญด้วย
ไบนารีแบบสแตนด์อโลน: ไม่ต้องใช้ไลบรารีรันไทม์ใด ๆ ในการทำงาน ใช้งานได้ทันที โดยไม่ต้องตั้งค่าเพิ่มเติม
รวดเร็วอย่างยิ่ง: มุ่งเป็นพาร์เซอร์ที่เร็วที่สุด โดยไม่ต้องใช้หน่วยความจำ จำนวนมาก
ใช้งานข้ามแพลตฟอร์ม: วิเคราะห์หลักฐานจาก Windows ได้โดยไม่ต้องใช้เวิร์กสเตชัน Windows
ระบบอัตโนมัติ: CSV สำหรับสเปรดชีตและเครื่องมือไทม์ไลน์ JSON/JSONL สำหรับ jq สคริปต์ และ data lake
ล้มเหลวอย่างปลอดภัย: เรคคอร์ดที่ผิดรูปแบบจะถูกรายงานและข้ามไปเมื่อเป็นไปได้
ที่มาโปร่งใส: Juntei ระบุพาร์เซอร์โอเพนซอร์สและเครื่องมืออ้างอิงที่อยู่เบื้องหลังการใช้งานแต่ละส่วน

สิ่งที่ Juntei ไม่ได้ทำ¶

Juntei ไม่ได้ทำสำเนาดิสก์ขณะทำงาน (live acquisition) และไม่ได้ทดแทนการเก็บรักษาหลักฐาน ส่วนอิมเมจดิสก์ เพียงชนิดเดียวที่ Juntei เมานต์คืออิมเมจ VHDX / E01 / Ex01 และเมานต์แบบอ่านอย่างเดียวเท่านั้น Juntei ไม่ได้รวมอาร์ติแฟกต์ทุกรายการเข้าเป็นเรื่องราวของเหตุการณ์เพียงเรื่องเดียวโดยอัตโนมัติ แต่จะวิเคราะห์ หลักฐานที่คุณให้มา และสร้างเรคคอร์ดที่เหมาะสำหรับการตรวจสอบและการเชื่อมโยงข้อมูล

Juntei จะไม่ทำการวิเคราะห์แทนคุณ จำเป็นต้องมีผู้เชี่ยวชาญด้าน DFIR เป็นผู้วิเคราะห์หลักฐาน

สัญญาอนุญาต¶

Juntei เผยแพร่ภายใต้ Reciprocal Public License 1.5 (RPL-1.5) และเป็นลิขสิทธิ์ของ Shirofune Security Co., Ltd. ซอร์สโค้ดเคยเผยแพร่ภายใต้ AGPLv3 ก่อนเวอร์ชัน 1.0.0 สัญญาอนุญาตของ crate รวมถึงโค้ดและข้อมูลของบุคคลที่สามอื่น ๆ ที่ใช้ในการสร้าง อยู่ใน THIRD_PARTY_NOTICES โปรเจกต์ที่ Juntei ต่อยอดและใช้ตรวจสอบเปรียบเทียบแสดงไว้ใน กิตติกรรมประกาศ