Головна

Juntei, богиня цифрової криміналістики

Juntei — кросплатформний парсер Yamato Security для криміналістичних артефактів Windows, які не є журналами подій. Він перетворює зібрані докази на узгоджені записи CSV, JSON і JSONL, зберігаючи контекст, потрібний слідчому, щоб уникнути хибних висновків.

Почніть тут Ознайомтеся з артефактами Довідник команд GitHub

Від необробленого артефакту до обґрунтованого висновку¶

Juntei може показати, що записує артефакт; цей сайт пояснює, що цей запис доводить, а чого не доводить. Почніть зі сторінки артефакту, навіть якщо ви ніколи раніше не виконували DFIR у Windows. Кожен посібник охоплює призначення артефакту, розташування на диску, застереження щодо зберігання та збирання, команду аналізу, поля виводу, інтерпретацію, зіставлення з іншими джерелами та матеріали для поглибленого читання.

Історія файлової системи

Використовуйте $MFT і журнал USN, щоб відновити існування файлів, їхні імена, переміщення, видалення, зміни метаданих і альтернативні потоки даних.
Докази роботи програм

Prefetch може вагомо підтверджувати виконання. Amcache і ShimCache додають відомості про інвентар, шлях, хеш, сумісність та історичний контекст, але потребують ретельної інтерпретації.
Активність користувача

Файли LNK, Jump Lists, RecentDocs і SRUM розкривають відкриті елементи, активність програм, знімні або мережеві розташування, використання ресурсів та історичний контекст користувача.
Докази засобів захисту

Карантин Defender може зберігати назви загроз, початкові шляхи, джерела завантаження, хеші, власників і навіть дає змогу безпечно відновити байти з карантину для ізольованого аналізу.
Стан реєстру

Читайте розміщені та відновлювані дані реєстру, відтворюйте журнали транзакцій і перевіряйте служби, заплановані завдання, локальні облікові записи та стан нещодавніх документів.
Зіставляйте, а не вгадуйте

Жоден окремий артефакт не розповідає всієї історії. Посібники показують, як поєднувати незалежні джерела в хронологію, підкріплену доказами.

Криміналістичний вивід — це докази, а не вердикт

Шлях, що виглядає підозрілим, — це лише зачіпка. Часова позначка може описувати метадані файлу, а не виконання. Відсутність запису не доводить, що дії не було. Зберігайте вихідні докази, фіксуйте версії інструментів і команди та підтверджуйте важливі висновки.