แหล่งหลักฐานที่รองรับ

แหล่งหลักฐาน	คำสั่ง Juntei	มีประโยชน์ที่สุดสำหรับ	ข้อจำกัดที่สำคัญ
Amcache	parse-registry amcache	บัญชีรายการไฟล์ พาธ SHA-1 เมทาดาทา PE และอุปกรณ์	การมีอยู่ไม่ใช่การเรียกใช้งาน ผู้เผยแพร่ไม่ใช่การตรวจสอบลายเซ็น
NTFS $MFT	parse-ntfs mft	ไฟล์ ระเบียนที่ถูกลบ พาธ timestamp และ ADS	ระเบียนที่ถูกนำกลับมาใช้ใหม่และ timestomping อาจทำให้เข้าใจผิด
NTFS $LogFile	parse-ntfs logfile	เมทาดาทา redo/undo ชื่อและ timestamp เดิม และการเขียนลงบันทึก USN	เก็บข้อมูลแบบวนรอบในระยะสั้น เวลาของเมทาดาทาไม่ใช่เวลาของธุรกรรม ไม่มีการเล่นซ้ำ
Prefetch	parse-file prefetch	การเรียกใช้โปรแกรม จำนวนครั้งที่เรียกใช้ เวลาที่เรียกใช้ล่าสุด และไฟล์ที่โหลด	เก็บประวัติเวลาการเรียกใช้ไว้ได้จำกัด
บันทึก USN $J	parse-ntfs usn-journal	การสร้าง การลบ การเปลี่ยนชื่อ การเขียน และพาธในอดีต	บันทึกแบบวนรอบ บันทึกการเปลี่ยนแปลง ไม่ใช่เนื้อหาไฟล์
ดัชนีไดเรกทอรี $I30	parse-ntfs i30	ไฟล์ในไดเรกทอรี ชื่อ เวลา และขนาดของไฟล์ที่อาจถูกลบหรือเปลี่ยนชื่อซึ่งหลงเหลืออยู่ใน index slack	slack มีข้อมูลเพียงบางส่วนและไม่ได้บอกว่า entry ถูกลบเมื่อใด
บูตเซกเตอร์ NTFS $Boot	parse-ntfs boot	หมายเลขซีเรียลของวอลุ่มที่ LNK, Jump Lists และ Prefetch บันทึกไว้ เรขาคณิตของวอลุ่มและตำแหน่งของ $MFT แฮชของ boot code สำหรับเปรียบเทียบข้ามโฮสต์	หมายเลขซีเรียลอาจถูกเปลี่ยนหรือซ้ำกันได้ boot code ที่แตกต่างเป็นเบาะแส ไม่ใช่ข้อพิสูจน์ว่ามี bootkit
ตัวบอกความปลอดภัย NTFS $Secure:$SDS	parse-ntfs secure-sds	เจ้าของและ ACL ของไฟล์ ตาม SID ของ $MFT รวมถึง NULL DACL และ ACL ที่อนุญาตกว้างเกินไป	เจ้าของอาจถูกเปลี่ยนได้ ACL บอกว่าใครสามารถเข้าถึงได้ ไม่ใช่ใครเข้าถึงจริง
อิมเมจดิสก์ VHDX	mount, auto-parse --vhdx	NTFS → CSV / JSON / JSONL	auto-parse: Linux/macOS/Windows (TMP); mount: Linux/FUSE; NTFS ADS: —
อิมเมจดิสก์ E01 / Ex01	mount, auto-parse --e01	NTFS → CSV / JSON / JSONL	auto-parse: Linux/macOS/Windows (TMP); mount: Linux/FUSE; NTFS ADS: —
SRUM	parse-ese srum	การใช้เครือข่ายและทรัพยากรต่อแอป/ผู้ใช้	มักเป็นข้อมูลรวม ไม่ใช่ข้อพิสูจน์ระดับแพ็กเก็ตหรือปลายทาง
การบันทึกการเข้าถึงของผู้ใช้ (UAL)	parse-ese ual	แอดเดรสของไคลเอนต์และบัญชีใดใช้งานบทบาทของ Windows Server (การแชร์ไฟล์, Active Directory, DHCP, IIS) และในวันใดบ้าง	คำขอถูกนับเป็นรายวัน ไม่ได้บันทึกทีละรายการ แอดเดรสอาจเป็น NAT หรือพร็อกซี และ Current.mdb ที่อยู่ในสถานะ dirty จะขาดการเปลี่ยนแปลงล่าสุดของตน
Internet Explorer และ Edge รุ่นเก่า (WebCache)	parse-ese webcache	หน้าเว็บที่เข้าชมและไฟล์ในเครื่องที่เปิดในตัวสำรวจไฟล์ ไฟล์ที่ดาวน์โหลดและแหล่งที่มา คุกกี้ และไฟล์ที่แคชไว้พร้อม HTTP header	รายการประวัติคือ URL พร้อมการเข้าชมครั้งล่าสุด ไม่ใช่การเข้าชมทุกครั้ง ยังไม่กู้คืนรายการที่ถูกลบ และฐานข้อมูลที่อยู่ในสถานะ dirty จะขาดการเปลี่ยนแปลงล่าสุดของตน
Outlook (PST, OST, MSG, OFT)	parse-file outlook	อีเมลพร้อมผู้ส่ง ผู้รับ เวลา และสิ่งที่แนบ รวมถึงผู้ติดต่อ รายการปฏิทิน และงาน ตลอดจนโฟลเดอร์ รายการการตั้งค่าที่ซ่อนอยู่ และคุณสมบัติทุกตัวตามที่จัดเก็บไว้	ที่อยู่ของผู้ส่งอาจถูกปลอมแปลงได้ ไม่กู้คืนรายการที่ไม่อยู่ในโฟลเดอร์ใดแล้ว และยังไม่อ่านสมุดรายชื่อแบบออฟไลน์ ข้อมูลเติมข้อความอัตโนมัติ (autocomplete) และไฟล์อื่นของ Outlook
เว็บเบราว์เซอร์ (ที่ใช้ Chromium และ Firefox เป็นพื้นฐาน)	parse-sqlite browser	หน้าเว็บที่เข้าชมและวิธีที่เข้าถึง ไฟล์ที่ดาวน์โหลดและแหล่งที่มา คุกกี้ ค่าที่พิมพ์ในฟอร์มบนเว็บ รวมถึงการเข้าชม การดาวน์โหลด และรายการฟอร์มที่ถูกลบซึ่งกู้คืนได้	การเข้าชมอาจเป็นการเปลี่ยนเส้นทาง (redirect) เฟรม หรือหน้าที่โปรแกรมอื่นเปิด ค่าคุกกี้ของ Chromium ถูกเข้ารหัส และรายการที่ถูกลบจะหายไปเมื่อเบราว์เซอร์เขียนศูนย์ทับหรือทำ checkpoint
ทางลัด LNK	parse-file lnk	เป้าหมายที่ถูกเปิด อาร์กิวเมนต์ วอลุ่ม แชร์ และเครื่องต้นทาง	ทางลัดอาจถูกสร้างขึ้นโดยที่เป้าหมายไม่เคยทำงาน
Jump Lists	parse-file jump-lists	รายการที่แอปพลิเคชันเปิด การปักหมุด การใช้งาน และข้อมูล LNK ที่ฝังอยู่	พฤติกรรมและการเก็บรักษาข้อมูลขึ้นอยู่กับแต่ละแอปพลิเคชัน
ShimCache	parse-registry shimcache	พาธไฟล์ปฏิบัติการในอดีตและการตรวจสอบความเข้ากันได้	แคชอาจยังไม่ถูกเขียนลงดิสก์จนกว่าจะปิดเครื่อง entry เพียงอย่างเดียวไม่ใช่การเรียกใช้งาน
ข้อมูลที่ Defender กักกัน	parse-file defender-quarantine	การตรวจจับ พาธเดิม แฮช แหล่งที่ดาวน์โหลด และไบต์ที่กู้คืนได้	ชื่อการตรวจจับเป็นคำตัดสินของผลิตภัณฑ์ การดึงข้อมูลออกมามีความเสี่ยง
ไฮฟ์รีจิสทรี	parse-registry read	การกำหนดค่า การคงอยู่ และค่าที่ถูกลบ/เล่นซ้ำ	เวลาของคีย์ไม่ใช่เวลาของค่า ไฮฟ์ขณะระบบทำงานต้องใช้ transaction log
บริการ	parse-registry services	การคงอยู่ผ่านบริการ/ไดรเวอร์ และ failure action	การกำหนดค่าไม่ได้พิสูจน์ว่าบริการเริ่มทำงาน
RecentDocs	parse-registry recent-docs	ไฟล์และโฟลเดอร์ที่เปิดล่าสุดต่อผู้ใช้	มีเพียงรายการล่าสุดในแต่ละรายการเท่านั้นที่ได้เวลาเปิดที่มีเหตุผลรองรับ
Microsoft Office	parse-registry office	เอกสารและโฟลเดอร์ที่แอปพลิเคชัน Office แต่ละตัวเปิด พร้อมเวลา เอกสารที่ผู้ใช้เปิดใช้งานมาโคร การตั้งค่ามาโครและตำแหน่งที่เชื่อถือได้	การเปิดใช้งานมาโครไม่ใช่ข้อพิสูจน์ว่ามาโครทำงาน พาธในระเบียนความเชื่อถือจัดเก็บตามที่ Office เขียนไว้
กล่องโต้ตอบเปิดและบันทึกเป็น	parse-registry open-save-mru	ไฟล์ที่เปิดหรือบันทึกผ่านกล่องโต้ตอบทั่วไป แยกตามนามสกุล รวมถึงโปรแกรมและโฟลเดอร์ที่ใช้	มีเพียง entry ล่าสุดของแต่ละรายการเท่านั้นที่ระบุวันเวลาได้ ไม่สามารถแยกระหว่างการเปิดและการบันทึก
TaskCache	parse-registry taskcache	action ของงานที่ตั้งเวลาไว้ เมทาดาทา และงานที่ถูกซ่อน	ให้เชื่อมโยงกับ XML ของงานและ event log เพื่อพิสูจน์การทำงาน
การกำหนดค่าบูต (BCD)	parse-registry bcd	boot entry การปิดการกู้คืน การละเลยความล้มเหลว test signing การปิดการตรวจสอบความสมบูรณ์ และ safe mode พร้อมเวลาที่ตั้งค่าแต่ละรายการ	store มักไม่ถูกเก็บรวบรวม (EFI system partition, \Boot) การตั้งค่ามีการสืบทอด
การเริ่มอัตโนมัติผ่านรีจิสทรี	parse-registry persistence	Run key, Winlogon, IFEO, AppInit/AppCert DLL, LSA package, COM hijack และตำแหน่งเริ่มอัตโนมัติอื่น ๆ	เป็นการกำหนดค่า ไม่ใช่ข้อพิสูจน์การเรียกใช้งาน entry ส่วนใหญ่เป็นค่าเริ่มต้นของ Windows
ความเข้ากันได้ของแอปพลิเคชัน	parse-registry app-compat	compatibility layer โปรแกรมที่ Program Compatibility Assistant เห็นว่าทำงาน การใช้โปรแกรมและโมดูลใน CIT และฐานข้อมูล shim แบบกำหนดเอง	รายการของ Program Compatibility Assistant ไม่มีเวลาที่เรียกใช้ ข้อมูล CIT ส่วนใหญ่มาจาก Windows 7 และ 8
FeatureUsage, RecentApps และรายการที่ปักหมุด	parse-registry feature-usage	ความถี่ที่ผู้ใช้สลับไปหา เปิด หรือคลิกแต่ละแอปพลิเคชัน แอปล่าสุดและไฟล์ของแอป รายการที่ปักหมุดบนแถบงานและโปรแกรมในเมนู Start	จำนวนครั้งไม่มีเวลา นับการสลับหน้าต่าง ไม่ใช่การเริ่มโปรแกรม
ShellBags	parse-registry shell-bags	โฟลเดอร์ที่ผู้ใช้เปิดใน Explorer และกล่องโต้ตอบ รวมถึงบนสื่อแบบถอดได้ เครือข่าย อุปกรณ์พกพา ZIP และโฟลเดอร์ที่ถูกลบ ในรูปแบบพาธเต็ม	มีเพียงรายการล่าสุดในแต่ละคีย์ที่ได้เวลาเปิดที่มีเหตุผลรองรับ เวลาของรายการเป็นของโฟลเดอร์ ไม่ใช่ของการเข้าชม
BAM / DAM	parse-registry bam	เวลาล่าสุดที่ผู้ใช้แต่ละรายเรียกใช้แต่ละโปรแกรม รวมถึงจากอุปกรณ์แบบถอดได้และเครือข่าย	หนึ่งเวลาต่อโปรแกรมและผู้ใช้ เฉพาะกิจกรรมล่าสุด เป็นพาธอุปกรณ์ ไม่ใช่อักษรไดรฟ์
อุปกรณ์ USB	parse-registry usb	อุปกรณ์จัดเก็บ USB และอุปกรณ์อื่น หมายเลขซีเรียล เวลาติดตั้ง/เชื่อมต่อ/ถอดออก อักษรไดรฟ์ ชื่อและซีเรียลของวอลุ่ม และผู้ใช้ที่ mount	เก็บเฉพาะการเชื่อมต่อและการถอดออกครั้งล่าสุด อักษรไดรฟ์ถูกนำกลับมาใช้ใหม่
MuiCache	parse-registry muicache	พาธ คำอธิบาย และบริษัทของโปรแกรมที่แคชไว้ซึ่งเชื่อมโยงกับโปรไฟล์ shell ของผู้ใช้	ไม่มีเวลาต่อโปรแกรม โปรไฟล์ไม่จำเป็นต้องเป็นบัญชีของโพรเซส และเมทาดาทาอาจถูกปลอมแปลง
UserAssist	parse-registry user-assist	โปรแกรมและทางลัดที่ผู้ใช้เริ่มจาก Explorer พร้อมจำนวนครั้งที่เรียกใช้ เวลาที่โฟกัส และการเรียกใช้ครั้งล่าสุด	นับเฉพาะการเริ่มจาก Explorer โปรไฟล์ใหม่มีรายการเริ่มต้นใส่ไว้ล่วงหน้า
เครือข่าย	parse-registry networks	เครือข่ายที่เข้าร่วม พร้อมเวลาเชื่อมต่อครั้งแรก/ครั้งล่าสุด MAC ของเกตเวย์ อินเทอร์เฟซและ DHCP lease แชร์ port proxy และเส้นทาง (route)	เวลาของโปรไฟล์เป็นเวลาท้องถิ่น แปลงด้วยเขตเวลาปัจจุบัน ชื่ออย่าง "Network 2" ซ้ำกันได้
การตั้งค่าความปลอดภัย	parse-registry security-settings	Defender (และข้อยกเว้น) UAC การป้องกัน WDigest/LSA, RDP ไฟร์วอลล์ SMBv1 การบันทึก log และ AMSI ของ PowerShell การตั้งค่า event log และหลักฐาน โดยระบุกรณีที่ลดระดับจากค่าเริ่มต้น	การตั้งค่าที่ถูกลดระดับไม่ใช่ข้อพิสูจน์การถูกบุกรุก ค่าที่ไม่มีอยู่ (ค่าเริ่มต้นของ Windows) จะไม่ถูกรายงาน
ประวัติแอปพลิเคชัน	parse-registry app-history	เครื่องมือ Sysinternals ที่ผู้ใช้เรียกใช้ ประวัติไฟล์บีบอัดและโฟลเดอร์ (WinRAR, 7-Zip, WinZip) บัญชี OneDrive ไฟล์ล่าสุดของ Adobe และค่าของ TeamViewer และ CCleaner	entry ส่วนใหญ่ในรายการไม่มีเวลา มีเพียง entry ล่าสุดของแต่ละรายการที่ระบุวันเวลาได้
รายการ MRU	parse-registry mru	คำสั่งในกล่องโต้ตอบ Run พาธที่พิมพ์ใน Explorer การค้นหาใน Explorer ที่อยู่ที่พิมพ์ใน Internet Explorer (พร้อมเวลา) ไฟล์ของ Paint และ WordPad และคำค้นใน XP	มีเพียง entry ล่าสุดของแต่ละรายการที่ระบุวันเวลาได้ ยกเว้นที่อยู่ที่พิมพ์ การพิมพ์ไม่ใช่การเรียกใช้
การเข้าถึงระยะไกล (ฝั่งผู้ใช้)	parse-registry remote-access	คอมพิวเตอร์ที่ผู้ใช้เชื่อมต่อด้วย Remote Desktop, PuTTY และ WinSCP, SSH host key ที่ยอมรับ ไดรฟ์ที่แมปและแชร์	เป้าหมายที่บันทึกหรือพิมพ์ไว้ไม่ใช่การเชื่อมต่อที่สำเร็จ คีย์ของรายการมีเวลาเดียวสำหรับทุกรายการ
โปรแกรมที่ติดตั้ง	parse-registry installed-programs	โปรแกรมที่ติดตั้ง (ทั้งเครื่องและต่อผู้ใช้) ผลิตภัณฑ์ของ Windows Installer, App Paths, ดิสทริบิวชัน WSL และแอปแบบแพ็กเกจ	วันที่ติดตั้งเป็นของโปรแกรมติดตั้ง โปรแกรมที่ถอนการติดตั้งอย่างเรียบร้อยจะไม่ทิ้ง entry ไว้
SAM	parse-registry sam	บัญชีภายในเครื่อง แฟล็ก RID และเมทาดาทาการเข้าสู่ระบบ/รหัสผ่าน	เฉพาะบัญชีภายในเครื่อง ค่าการเข้าสู่ระบบล่าสุดไม่ใช่ประวัติการเข้าสู่ระบบที่สมบูรณ์
ความลับ LSA	parse-registry lsa-secrets	ความลับที่ LSA เก็บไว้ (autologon บัญชีบริการ บัญชีเครื่อง) และเวลาที่ตั้งค่า รวมถึงการเข้าสู่ระบบโดเมนที่แคชไว้ที่ใช้งานอยู่	เฉพาะชื่อและเวลา ไม่มีการถอดรหัส DefaultPassword มีอยู่แม้ไม่มี autologon
นโยบายการตรวจสอบ	parse-registry auditpol	เหตุการณ์ความปลอดภัยใดที่ระบบถูกตั้งค่าให้บันทึก และดังนั้นการไม่มีเหตุการณ์ใดที่ไม่ได้บ่งบอกอะไร	นโยบาย ณ เวลาที่ไฮฟ์ถูกเขียนครั้งล่าสุด การเปลี่ยนแปลงถูกบันทึกด้วยเหตุการณ์ 4719
ข้อมูลระบบ	parse-registry system-info	ชื่อคอมพิวเตอร์และโดเมน เวอร์ชันและวันที่ติดตั้ง Windows เขตเวลา การปิดเครื่องครั้งล่าสุด ผู้ใช้ล่าสุด โปรไฟล์ และ SID	การกำหนดค่า ณ เวลาที่เก็บรวบรวม InstallDate เปลี่ยนไปตาม feature upgrade และ Windows 11 ระบุตัวเองว่าเป็น Windows 10

ประเภทของข้อมูลที่เก็บรวบรวม

Juntei รับอาร์ติแฟกต์เดี่ยวด้วย -f หรือค้นหาในข้อมูลที่เก็บรวบรวมแบบเรียกซ้ำด้วย -d โหมดไดเรกทอรีออกแบบมาสำหรับโครงสร้าง triage ทั่วไป ซึ่งแต่ละโฮสต์มีพาธเช่น C/Windows/System32/config/SYSTEM หรือ C/Users/alice/NTUSER.DAT

ดูการเก็บรวบรวมหลักฐาน ก่อนวิเคราะห์รีจิสทรีหรือฐานข้อมูล ESE ที่คัดลอกมา: transaction log ที่เกี่ยวข้องอาจจำเป็นต่อการสร้างสถานะที่ Windows เห็นขึ้นใหม่