Teşekkürler

Juntei, DFIR ve açık kaynak toplulukları ayrıştırıcılar, biçim araştırmaları, referans çıktılar, spesifikasyonlar ve test kanıtları yayımladığı için var olabilmiştir. Aşağıdaki projeler uygulamaya, doğrulamaya, alan adlandırmaya veya beklenen analist çıktısına yön vermiştir. Burada listelenmiş olmak, bu projelerin kodunun Juntei'ye gömülü olduğu anlamına gelmez; lisansları için her projenin kendisine başvurun.

Yamato Security tarafından sürdürülen ayrıştırıcı temelleri

Juntei alanı	Sürdürülen ayrıştırıcı	Üst kaynak/temel
Amcache	ys-amcache-parser	Security Ronin amcache-forensic
$MFT	ys-ntfs-parser (mft crate'i)	Omer Ben-Amram mft
Prefetch	ys-prefetch-parser	ForensicRS frnsc-prefetch
USN Journal	ys-ntfs-parser (usn crate'i)	Sootmark usn
NTFS $LogFile	ys-ntfs-parser (logfile crate'i)	Sootmark ntfslog
Dizin indeksleri ($I30)	ys-ntfs-parser (mft crate'i, i30 modülü)	Aşağıda teşekkür edilen index slack araştırmaları
NTFS $Boot, $Secure:$SDS	ys-ntfs-parser (boot ve secure crate'leri)	Microsoft'un MS-DTYP belgesi ve aşağıda teşekkür edilen NTFS araştırmaları
SRUM, UAL / ESE	ys-srum-parser	Sootmark srum ve ese
Web tarayıcıları / SQLite	ys-browser-parser	Sootmark browser, sqlite ve plist
LNK	ys-lnk-parser	Sootmark shell
Jump Lists	ys-jump-lists-parser	Sootmark shell'in bileşik dosya ve Jump List çalışmaları
ShimCache	ys-shimcache-parser	Security Ronin shimcache-forensic
Defender	ys-defender-history-parser	Sootmark defender
VHDX disk imajları (mount, auto-parse --vhdx)	ys-vhdx-parser (Security Ronin vhdx-core) ve ntfs-core, fuser ile sunulur	Microsoft'un MS-VHDX belgesi
E01 / Ex01 (mount, auto-parse --e01)	ys-e01-parser	ewf-image (Apache-2.0); libewf (EWF1/EWF2)
Kayıt Defteri	ys-registry-parser	Aşağıda teşekkür edilen kayıt defteri biçimi ve kurtarma araştırmaları

Referans araçlar ve bağımsız doğrulama

• Hexastrike tarafından geliştirilen PyrsistenceSniper, yerel Rust persistence-hunter komutu için kalıcılık denetimi kataloğunu, varsayılan izin listesini, LOLBAS anlık görüntüsünü ve referans davranışı sağlamıştır. MIT lisansı ve telif hakkı bildirimi THIRD_PARTY_NOTICES/PyrsistenceSniper-LICENSE.txt dosyasında korunmaktadır. Özgün PersistenceSniper Python projesine ilham vermiştir; soy ağacının tamamı için kalıcılık teşekkürleri sayfasına bakın.

• Maxim Suhanov'un regf spesifikasyonu ve yarp aracı; kayıt defteri yapılarına, işlem günlüğü yeniden oynatmaya ve silinmiş kayıt kurtarmaya yön vermiştir; dfir_ntfs aracı ise INDX kayıtları ve index slack oyma (carving) için referans olmuştur.

• Harel Segev'in INDXRipper aracı, index slack'ten dosya adlarını oymak için ek bir referanstır.
• dfir_ntfs, Joakim Schicht'in LogFileParser aracı ve Stroz Friedberg'in ntfs-linker aracı $LogFile doğrulamasına ve yorumlanmasına yön vermiştir; Velocidex'in go-ntfs projesi herkese açık NTFS test kanıtları sağlamıştır.
• Joachim Metz / libyal projeleri libregf, libfsntfs, libscca, libfwsi ve libesedb, ayrıntılı biçim araştırmaları ve bağımsız ayrıştırma referansları sunar.
• Fox-IT'in dissect.esedb, dissect.ntfs ve dissect.target projeleri, doğrulama sırasında kullanılan bağımsız SRUM, UAL, $Secure:$SDS, SAM ve Defender yorumlarını sağlamıştır.
• The Sleuth Kit'in fsstat aracı, mkntfs ile oluşturulan birimlerin NTFS önyükleme sektörleri için referans olmuştur.
• Eric Zimmerman'ın bazı araçları, karşılaştırmalarda kullanılan alan adlarını ve inceleyici beklentilerini belirlemiştir.
• regipy, python-registry, Notatin ve artemis, kayıt defteri uygulamaları, testler veya örnek yorumlar sağlamıştır.
• LnkParse3, AbdulRhmanAlfaifi'nin lnk_parser ve jumplist_parser araçları ve JLECmd, bağımsız LNK/Jump List davranışı ve herkese açık test senaryoları sağlamıştır.
• Security Ronin'in prefetch-forensic aracı ve forensicnomicon projesi, Juntei'nin yüksek değerli Prefetch/Amcache/ShimCache gözlemlerine yön vermiştir.
• defender-dump ve dissect.target, Defender karantina yapılarını ve güvenli çıkarma davranışını anlamak için ayrı uygulamalar sunar.
• Plaso, Chainsaw ve Velociraptor, çeşitli artefaktlar genelinde ayrıştırıcı karşılaştırmaları, test kanıtları veya toplama odaklı referans davranış sağlamıştır.
• Obsidian Forensics'in Hindsight aracı ve Velocidex'in SQLiteHunter tanımları, tarayıcı geçmişi, indirmeler, çerezler ve form geçmişi için referans olmuştur.

Spesifikasyonlar ve araştırmalar

Shell Links, Compound Binary Files, NTFS/SAM protokolleri, kayıt defteri/hizmet/görev yapıları ve API belgeleri için Open Specifications yayımladığı için Microsoft'a teşekkür ederiz. Bu artefaktları uygulayıcılar için anlaşılır kılan AppCompatCache, Amcache, SRUM, Prefetch, kayıt defteri ve NTFS adli bilişim araştırmalarının yazarlarına da teşekkür ederiz.

Test kanıtları

Andrew Rathbun'un DFIR Artifact Museum projesi, NIST CFReDS, Plaso, Regipy, Artemis, ayrıştırıcı test depoları ve uygun şekilde lisanslanmış diğer koleksiyonlardaki herkese açık kanıtlar, gerçek Windows verilerine karşı regresyon testini mümkün kılar. Juntei, dahil edilen test dosyalarının yanında atıf/lisans notlarını tutar.

Katkıda bulunanlar

Her Juntei ve Yamato Security ayrıştırıcı katkıcısına, gözden geçirene, sorun bildirene ve uç durumlar sağlayan her kullanıcıya teşekkür ederiz. Güncel katkıda bulunanlar GitHub tarafından Juntei katkıda bulunanlar sayfasında listelenir.

Lisans

Juntei, Reciprocal Public License 1.5 (RPL-1.5) altında yayımlanmıştır ve telif hakkı Shirofune Security Co., Ltd.'ye aittir. Kaynak kodu 1.0.0 sürümünden önce AGPLv3 altında yayımlanmıştı. Derlenmesinde kullanılan crate'lerin ve diğer üçüncü taraf kod ve verilerin lisansları THIRD_PARTY_NOTICES içinde yer alır.