Посібник з артефактів¶
Windows зберігає сліди, що перетинаються, у файловій системі, реєстрі, базах даних сумісності, історії інтерфейсу користувача, обліку ресурсів і засобах захисту. Juntei розбирає ці джерела, але слідчий однаково має самостійно інтерпретувати, що означає кожне джерело.
Вибір артефакту за запитанням¶
| Запитання розслідування | Почніть тут | Підтвердьте за допомогою |
|---|---|---|
| Чи запускався цей виконуваний файл? | Prefetch | ShimCache, SRUM, журнали подій |
| Чи був цей файл колись присутній? | Amcache, $MFT | Журнал USN, $I30, ShimCache |
| Коли файл було створено, перейменовано або видалено? | Журнал USN | $MFT, $I30, карантин Defender |
| Яке ім'я або часова позначка існували до зміни метаданих? | $LogFile | $MFT, журнал USN, $I30 |
| Кому належить файл і хто може його змінювати? | $Secure:$SDS разом із $MFT | SAM, журнали подій Security |
| На якому томі була ціль ярлика або файлу Prefetch? | $Boot | LNK, Prefetch, пристрої USB |
| Що відкривав користувач? | Jump Lists, LNK, RecentDocs | SRUM, Prefetch |
| Чи передавала програма великий обсяг даних? | SRUM | Телеметрія брандмауера, проксі, DNS, пакетів або EDR |
| Які вебсайти відвідував користувач і що він завантажував? | Веб-браузери, Internet Explorer і застарілий Edge | Журнали проксі та DNS, $MFT і журнал USN, Defender, SRUM |
| З ким користувач обмінювався електронними листами і що було у вкладеннях? | Outlook | Журнали поштового сервера та поштового шлюзу, $MFT і журнал USN, Defender, LNK і Jump Lists |
| Які клієнти й облікові записи використовували цей сервер і в які дні? | Журналювання доступу користувачів (UAL) | Журнали подій Security, журнали SMB і RDP, журнали брандмауера |
| Чи було налаштовано закріплення? | Служби, TaskCache, Реєстр | Журнали подій, Prefetch, $MFT |
| Що видалив Defender? | Карантин Defender | Журнали подій, $MFT, журнал USN |
| Чи додавалися або змінювалися локальні облікові записи? | SAM | Журнали подій Security та історія транзакцій реєстру |
Читайте застереження перед полями¶
Кожна сторінка артефакту має однакову послідовність:
- Що це таке і на які запитання він може відповісти.
- Де його знайти і як збирання на нього впливає.
- Що він доводить — і чого не доводить.
- Як його розібрати за допомогою Juntei.
- Як читати кожне поле виводу.
- Як зіставляти його з незалежними доказами.
- Додаткові відомості для низькорівневого дослідження.
Не ототожнюйте результат парсера зі шкідливістю
Результати Juntei вказують на закономірності, які варто перевірити, як-от ім'я системного двійкового файлу поза
System32. Інсталятори, адміністратори, рівні сумісності та оновлення програмного забезпечення можуть створювати
незвичні записи. Перевіряйте з урахуванням контексту та незалежних доказів.