Desteklenen Kanıt Türleri

Kanıt kaynağı	Juntei komutu	En faydalı olduğu alan	Önemli sınırlama
Amcache	parse-registry amcache	Dosya envanteri, yollar, SHA-1, PE meta verileri, aygıtlar	Varlık yürütme değildir; yayımcı bilgisi imza doğrulaması değildir
NTFS $MFT	parse-ntfs mft	Dosyalar, silinmiş kayıtlar, yollar, zaman damgaları, ADS	Yeniden kullanılan kayıtlar ve zaman damgası oynama (timestomping) yanıltıcı olabilir
NTFS $LogFile	parse-ntfs logfile	Redo/undo meta verileri, eski adlar ve zaman damgaları, USN Günlüğü'ne yazılanlar	Kısa döngüsel saklama; meta veri zamanları işlem zamanları değildir; yeniden oynatma yoktur
Prefetch	parse-file prefetch	Program yürütme, çalıştırma sayısı, son çalıştırma zamanları, yüklenen dosyalar	Yalnızca sınırlı bir çalıştırma zamanı geçmişi saklanır
USN Journal $J	parse-ntfs usn-journal	Oluşturma, silme, yeniden adlandırma, yazma işlemleri, geçmişteki yollar	Döngüsel günlük; dosya içeriklerini değil, değişiklikleri kaydeder
Dizin indeksleri $I30	parse-ntfs i30	Bir dizindeki dosyalar; index slack'te kalmış, silinmiş veya yeniden adlandırılmış olabilecek dosyaların adları, zamanları ve boyutları	Slack kısmidir ve bir girdinin ne zaman kaldırıldığı hakkında hiçbir şey söylemez
NTFS önyükleme sektörü $Boot	parse-ntfs boot	LNK, Jump Lists ve Prefetch'in kaydettiği birim seri numarası; geometri ve $MFT konumu; ana bilgisayarlar arasında karşılaştırmak için önyükleme kodu karması	Seri numaraları değiştirilebilir veya tekrarlanabilir; farklı bir önyükleme kodu bir ipucudur, bootkit kanıtı değildir
NTFS güvenlik tanımlayıcıları $Secure:$SDS	parse-ntfs secure-sds	$MFT içindeki SID üzerinden dosyaların sahipleri ve ACL'leri; NULL DACL'ler ve aşırı izin veren ACL'ler	Sahipler değiştirilebilir; ACL'ler kimin erişebileceğini söyler, kimin eriştiğini değil
VHDX disk imajları	mount, auto-parse --vhdx	NTFS → CSV / JSON / JSONL	auto-parse: Linux/macOS/Windows (TMP); mount: Linux/FUSE; NTFS ADS: —
E01 / Ex01 disk imajları	mount, auto-parse --e01	NTFS → CSV / JSON / JSONL	auto-parse: Linux/macOS/Windows (TMP); mount: Linux/FUSE; NTFS ADS: —
SRUM	parse-ese srum	Uygulama/kullanıcı başına ağ ve kaynak kullanımı	Genellikle toplu verilerdir; paket veya hedef düzeyinde kanıt değildir
Kullanıcı Erişim Günlüğü (UAL)	parse-ese ual	Bir Windows Server'ın rollerini (dosya paylaşımları, Active Directory, DHCP, IIS) hangi istemci adreslerinin ve hesapların hangi günlerde kullandığı	İstekler tek tek kaydedilmez, gün başına sayılır; adres bir NAT veya proxy olabilir; kirli bir Current.mdb dosyasında en yeni değişiklikler eksiktir
Internet Explorer ve eski Edge (WebCache)	parse-ese webcache	Ziyaret edilen sayfalar ve Dosya Gezgini'nde açılan yerel dosyalar, indirilen dosyalar ve nereden indirildikleri, çerezler, HTTP üst bilgileriyle birlikte önbelleğe alınan dosyalar	Bir geçmiş girdisi her ziyareti değil, son ziyaretiyle birlikte bir URL'yi gösterir; silinmiş girdiler kurtarılmaz; kirli bir veritabanında en yeni değişiklikler eksiktir
Web tarayıcıları (Chromium ve Firefox tabanlı)	parse-sqlite browser	Ziyaret edilen sayfalar ve bunlara nasıl gelindiği, indirilen dosyalar ve nereden indirildikleri, çerezler, web formlarına yazılan değerler; silinmiş ziyaretler, indirmeler ve form girdileri kurtarılır	Bir ziyaret bir yönlendirme, bir çerçeve veya başka bir programın açtığı bir sayfa olabilir; Chromium çerez değerleri şifrelidir; tarayıcı silinmiş girdileri sıfırladığında veya bir denetim noktası (checkpoint) uyguladığında bu girdiler kaybolur
Outlook (PST, OST, MSG, OFT)	parse-file outlook	Gönderenleri, alıcıları, zamanları ve ekleriyle birlikte e-postalar; kişiler, takvim öğeleri ve görevler; klasörler, gizli ayar öğeleri ve saklandığı haliyle her özellik	Gönderenin adresi sahte olabilir; artık hiçbir klasörde bulunmayan öğeler kurtarılmaz; çevrimdışı adres defterleri, otomatik tamamlama ve diğer Outlook dosyaları henüz okunmamaktadır
LNK kısayolları	parse-file lnk	Açılan hedefler, bağımsız değişkenler, birimler, paylaşımlar, kaynak makine	Bir kısayol, hedef çalışmadan oluşturulabilir
Jump Lists	parse-file jump-lists	Uygulamaların açtığı öğeler, sabitleme, kullanım ve gömülü LNK verileri	Uygulamaya özgü davranış ve saklama
ShimCache	parse-registry shimcache	Geçmişteki yürütülebilir dosya yolları ve uyumluluk denetimleri	Önbellek kapatmaya kadar diske yazılmayabilir; girdi tek başına yürütme değildir
Defender karantinası	parse-file defender-quarantine	Tespit, özgün yol, karmalar, indirme kaynağı, kurtarılan baytlar	Tespit adı bir ürün kararıdır; çıkarma tehlikelidir
Kayıt defteri kovanları	parse-registry read	Yapılandırma, kalıcılık, silinmiş/yeniden oynatılmış değerler	Anahtar zamanı bir değer zamanı değildir; canlı kovanlar işlem günlüklerine ihtiyaç duyar
Hizmetler	parse-registry services	Hizmet/sürücü kalıcılığı ve hata eylemleri	Yapılandırma, hizmetin başladığını kanıtlamaz
RecentDocs	parse-registry recent-docs	Kullanıcı başına yakın zamanda açılan dosya ve klasörler	Yalnızca her listedeki en son öğe savunulabilir bir açılma zamanı alır
Microsoft Office	parse-registry office	Her Office uygulamasının açtığı belgeler ve klasörler ile zamanları; kullanıcının makrolarını etkinleştirdiği belgeler; makro ayarları ve güvenilen konumlar	Makroların etkinleştirilmesi bir makronun çalıştığının kanıtı değildir; güven kaydı yolları Office'in yazdığı biçimde saklanır
Aç ve Farklı Kaydet iletişim kutuları	parse-registry open-save-mru	Ortak iletişim kutuları aracılığıyla açılan veya kaydedilen dosyalar (uzantıya göre) ve bunları kullanan programlar ve klasörler	Yalnızca her listenin en son girdisinin tarihi vardır; açma ve kaydetme birbirinden ayırt edilmez
TaskCache	parse-registry taskcache	Zamanlanmış görev eylemleri, meta veriler, gizli görevler	Çalışma zamanı kanıtı için görev XML'i ve olay günlükleriyle ilişkilendirin
Önyükleme yapılandırması (BCD)	parse-registry bcd	Önyükleme girdileri; kapatılmış kurtarma, yok sayılan hatalar, test imzalama, kapatılmış bütünlük denetimleri, güvenli mod ve her birinin ne zaman ayarlandığı	Depo çoğu zaman toplanmaz (EFI sistem bölümü, \Boot); ayarlar devralınır
Kayıt defteri otomatik başlatmaları	parse-registry persistence	Run anahtarları, Winlogon, IFEO, AppInit/AppCert DLL'leri, LSA paketleri, COM ele geçirmeleri ve diğer otomatik başlatma konumları	Yapılandırmadır, yürütmenin kanıtı değildir; girdilerin çoğu Windows varsayılanlarıdır
Uygulama uyumluluğu	parse-registry app-compat	Uyumluluk katmanları, Program Uyumluluk Yardımcısı'nın çalıştığını gördüğü programlar, CIT program ve modül kullanımı, özel shim veritabanları	Program Uyumluluk Yardımcısı girdileri çalışma zamanı içermez; CIT verileri çoğunlukla Windows 7 ve 8'den gelir
FeatureUsage, RecentApps, sabitlenmiş öğeler	parse-registry feature-usage	Bir kullanıcının her uygulamaya ne sıklıkla geçtiği, başlattığı veya tıkladığı; son uygulamalar ve dosyaları; görev çubuğuna sabitlenmiş öğeler ve Başlat menüsü programları	Sayıların zamanı yoktur; başlatmaları değil, pencere geçişlerini sayar
ShellBags	parse-registry shell-bags	Kullanıcının Explorer'da ve iletişim kutularında açtığı klasörler; çıkarılabilir, ağ, taşınabilir aygıt, ZIP ve silinmiş klasörler dahil, tam yollar olarak	Yalnızca her anahtardaki en son öğe savunulabilir bir açılma zamanı alır; öğe zamanları ziyarete değil, klasöre aittir
BAM ve DAM	parse-registry bam	Her kullanıcının her programı en son ne zaman çalıştırdığı; çıkarılabilir ve ağ aygıtlarından çalıştırılanlar dahil	Program ve kullanıcı başına tek zaman, yalnızca yakın tarihli etkinlik; sürücü harfleri değil, aygıt yolları
USB aygıtları	parse-registry usb	USB depolama ve diğer aygıtlar, seri numaraları, kurulum/bağlanma/çıkarılma zamanları, sürücü harfleri, birim adları ve seri numaraları, bunları bağlayan kullanıcılar	Yalnızca son bağlanma ve çıkarılma saklanır; sürücü harfleri yeniden kullanılır
MuiCache	parse-registry muicache	Bir kullanıcının kabuk profiliyle ilişkili önbelleğe alınmış program yolları, açıklamaları ve şirketleri	Program başına zaman yoktur; profil, işlemin hesabı olmak zorunda değildir ve meta veriler sahte olabilir
UserAssist	parse-registry user-assist	Kullanıcının Explorer'dan başlattığı programlar ve kısayollar; çalıştırma sayıları, odak süresi ve son çalıştırma ile birlikte	Yalnızca Explorer'dan yapılan başlatmalar sayılır; yeni profiller varsayılan öğelerle başlatılır
Ağlar	parse-registry networks	İlk/son bağlantı zamanlarıyla katılınan ağlar, ağ geçidi MAC adresleri, arabirimler ve DHCP kiralamaları, paylaşımlar, port proxy'leri, yönlendirmeler	Profil zamanları yereldir ve geçerli saat dilimiyle dönüştürülür; "Network 2" gibi adlar tekrarlanır
Güvenlik ayarları	parse-registry security-settings	Defender (ve dışlamaları), UAC, WDigest/LSA koruması, RDP, güvenlik duvarı, SMBv1, PowerShell günlüğü ve AMSI, olay günlüğü ve kanıt ayarları; varsayılanı zayıflattıkları yerde işaretlenmiş olarak	Zayıflatılmış bir ayar ele geçirilmenin kanıtı değildir; eksik değerler (Windows varsayılanları) raporlanmaz
Uygulama geçmişi	parse-registry app-history	Kullanıcının çalıştırdığı Sysinternals araçları, arşiv ve klasör geçmişi (WinRAR, 7-Zip, WinZip), OneDrive hesapları, Adobe son dosyaları, TeamViewer ve CCleaner değerleri	Liste girdilerinin çoğunun zamanı yoktur; yalnızca her listenin en son girdisinin tarihi vardır
MRU listeleri	parse-registry mru	Çalıştır iletişim kutusu komutları, Explorer'a yazılan yollar, Explorer aramaları, Internet Explorer'a yazılan adresler (zamanlarıyla), Paint ve WordPad dosyaları, XP arama terimleri	Yazılan adresler dışında yalnızca her listenin en son girdisinin tarihi vardır; yazılmış olmak yürütülmüş olmak demek değildir
Uzaktan erişim (kullanıcı tarafı)	parse-registry remote-access	Kullanıcının Uzak Masaüstü, PuTTY ve WinSCP ile ulaştığı bilgisayarlar, kabul edilen SSH ana bilgisayar anahtarları, eşlenen sürücüler ve paylaşımlar	Kaydedilmiş veya yazılmış bir hedef başarılı bir bağlantı değildir; liste anahtarları tüm öğeleri için tek bir zamana sahiptir
Yüklü programlar	parse-registry installed-programs	Yüklü programlar (makine genelinde ve kullanıcı başına), Windows Installer ürünleri, App Paths, WSL dağıtımları ve paketlenmiş uygulamalar	Yükleme tarihi yükleyiciye aittir; düzgün biçimde kaldırılan programlar girdi bırakmaz
SAM	parse-registry sam	Yerel hesaplar, bayraklar, RID'ler, oturum açma/parola meta verileri	Yalnızca yerel hesaplar; son oturum açma değerleri eksiksiz bir oturum açma geçmişi değildir
LSA sırları	parse-registry lsa-secrets	LSA'nın hangi sırları tuttuğu (otomatik oturum açma, hizmet hesapları, makine hesabı) ve bunların ne zaman ayarlandığı; kullanımdaki önbelleğe alınmış etki alanı oturum açma bilgileri	Yalnızca adlar ve zamanlar, hiçbir şeyin şifresi çözülmez; DefaultPassword otomatik oturum açma olmadan da bulunur
Denetim ilkesi	parse-registry auditpol	Sistemin hangi güvenlik olaylarını günlüğe kaydedecek şekilde ayarlandığı ve dolayısıyla hangi eksik olayların hiçbir şey ifade etmediği	Kovanın en son yazıldığı andaki ilke; değişiklikler 4719 olayıyla günlüğe kaydedilir
Sistem bilgileri	parse-registry system-info	Bilgisayar ve etki alanı adları, Windows sürümü ve yükleme tarihi, saat dilimi, son kapatma, son kullanıcı, profiller, SID'ler	Toplama anındaki yapılandırma; InstallDate özellik yükseltmeleriyle değişir ve Windows 11 kendisini Windows 10 olarak adlandırır

Toplama türleri

Juntei, -f ile tek bir artefaktı kabul eder veya -d ile bir koleksiyonu özyinelemeli olarak tarar. Dizin modu, her ana bilgisayarın C/Windows/System32/config/SYSTEM veya C/Users/alice/NTUSER.DAT gibi yollar içerdiği yaygın triyaj düzenleri için tasarlanmıştır.

Kopyalanmış kayıt defteri veya ESE veritabanlarını analiz etmeden önce Kanıt Toplama sayfasına bakın: ilgili işlem günlükleri, Windows'un gördüğü durumu yeniden oluşturmak için vazgeçilmez olabilir.