Artefakt Kılavuzu¶
Windows; dosya sisteminde, kayıt defterinde, uyumluluk veritabanlarında, kullanıcı arabirimi geçmişinde, kaynak kullanım muhasebesinde ve güvenlik ürünlerinde birbiriyle örtüşen izler saklar. Juntei bu kaynakları ayrıştırır, ancak her kaynağın ne anlama geldiğini yine de inceleyicinin yorumlaması gerekir.
Soruya göre artefakt seçin¶
| İnceleme sorusu | Buradan başlayın | Şunlarla doğrulayın |
|---|---|---|
| Bu yürütülebilir dosya çalıştı mı? | Prefetch | ShimCache, SRUM, olay günlükleri |
| Bu dosya hiç var oldu mu? | Amcache, $MFT | USN Günlüğü, $I30, ShimCache |
| Bir dosya ne zaman oluşturuldu, yeniden adlandırıldı veya silindi? | USN Günlüğü | $MFT, $I30, Defender karantinası |
| Bir meta veri değişikliğinden önce hangi ad veya zaman damgası vardı? | $LogFile | $MFT, USN Günlüğü, $I30 |
| Bir dosyanın sahibi kim ve onu kim değiştirebilir? | $MFT ile birlikte $Secure:$SDS | SAM, Security olay günlükleri |
| Bir kısayolun veya Prefetch dosyasının hedefi hangi birimdeydi? | $Boot | LNK, Prefetch, USB aygıtları |
| Bir kullanıcı neyi açtı? | Jump Lists, LNK, RecentDocs | SRUM, Prefetch |
| Bir program büyük miktarda veri aktardı mı? | SRUM | Güvenlik duvarı, proxy, DNS, paket veya EDR telemetrisi |
| Bir kullanıcı hangi web sitelerini ziyaret etti ve neler indirdi? | Web Tarayıcıları, Internet Explorer ve Eski Edge | Proxy ve DNS günlükleri, $MFT ve USN Günlüğü, Defender, SRUM |
| Bir kullanıcı kimlerle e-posta alışverişinde bulundu ve iletilere neler eklenmişti? | Outlook | Posta sunucusu ve ağ geçidi günlükleri, $MFT ve USN Günlüğü, Defender, LNK ve Jump Lists |
| Bu sunucuyu hangi istemciler ve hesaplar, hangi günlerde kullandı? | Kullanıcı Erişim Günlüğü (UAL) | Security olay günlükleri, SMB ve RDP günlükleri, güvenlik duvarı günlükleri |
| Kalıcılık yapılandırıldı mı? | Hizmetler, TaskCache, Kayıt Defteri | Olay günlükleri, Prefetch, $MFT |
| Defender neyi kaldırdı? | Defender Karantinası | Olay günlükleri, $MFT, USN Journal |
| Yerel hesaplar eklendi veya değiştirildi mi? | SAM | Security olay günlükleri ve kayıt defteri işlem geçmişi |
Alanlardan önce uyarıları okuyun¶
Her artefakt sayfası aynı sırayı izler:
- Nedir ve hangi soruları yanıtlayabilir.
- Nerede bulunur ve toplama onu nasıl etkiler.
- Neyi kanıtlar ve neyi kanıtlamaz.
- Juntei ile nasıl ayrıştırılır.
- Her çıktı alanı nasıl okunur.
- Bağımsız kanıtlarla nasıl ilişkilendirilir.
- Düşük seviyeli araştırma için Daha fazla ayrıntı.
Bir ayrıştırıcı bulgusunu kötü amaçlı olmakla eşdeğer saymayın
Juntei bulguları, System32 dışındaki bir sistem ikili dosyası adı gibi incelemeye değer kalıpları
belirler. Yükleyiciler, yöneticiler, uyumluluk katmanları ve yazılım güncellemeleri olağandışı kayıtlar
üretebilir. Bağlam ve bağımsız kanıtlarla doğrulayın.