Список команд

Окремі парсери згруповано за типом джерела. Щоб ознайомитися з ними, виконайте juntei --help, juntei <SOURCE> --help або juntei <SOURCE> <ARTIFACT> --help:

juntei parse-ntfs --help
juntei parse-registry amcache --help
juntei parse-file prefetch -d evidence/ -o prefetch.csv

Для збирання доказів Windows з кількох комп'ютерів використовуйте juntei auto-parse -d <EVIDENCE> -o <OUTPUT>. Ця команда викликає ті самі згруповані команди та впорядковує результати й журнали за комп'ютерами та категоріями розслідування.

Щоб побудувати хронологію за всіма проаналізованими артефактами, використовуйте juntei super-timeline -d <PARSED> -o SuperTimeline.csv. Команда розгортає позначки часу й підписує, що означає кожна з них. За замовчуванням вивід не сортується; додайте --sort, щоб отримати хронологічний порядок і консолідацію дублікатів. auto-parse -j і далі зберігає нативні записи.

Образи дисків

Команда	Вхідні дані	Докладний посібник
mount	Образ диска VHDX / E01 / Ex01	Монтування образів дисків

Команди для ESE

Команда	Вхідний артефакт	Докладний посібник
parse-ese srum	ESE SRUDB.dat	SRUM
parse-ese ual	ESE Current.mdb, {GUID}.mdb, SystemIdentity.mdb	Журналювання доступу користувачів (UAL)
parse-ese webcache	ESE WebCacheV01.dat	Internet Explorer і застарілий Edge

Команди для файлів

Команда	Вхідний артефакт	Докладний посібник
parse-file defender-quarantine	Дерево або запис карантину Defender	Карантин Defender
parse-file jump-lists	*.automaticDestinations-ms, *.customDestinations-ms	Jump Lists
parse-file lnk	*.lnk	Ярлики LNK
parse-file outlook	*.pst, *.ost, *.msg, *.oft	Outlook
parse-file prefetch	*.pf	Prefetch

Команди NTFS

Команда	Вхідний артефакт	Докладний посібник
parse-ntfs boot	$Boot або образ тому NTFS	Завантажувальний сектор ($Boot)
parse-ntfs i30	$I30 ($INDEX_ALLOCATION) або образ диска	Індекси каталогів ($I30)
parse-ntfs logfile	NTFS $LogFile	Журнал транзакцій NTFS
parse-ntfs mft	NTFS $MFT	Головна файлова таблиця
parse-ntfs secure-sds	$Secure:$SDS ($Secure_$SDS)	Дескриптори безпеки ($Secure:$SDS)
parse-ntfs usn-journal	$UsnJrnl:$J	Журнал USN

Команди для реєстру

Команда	Вхідний артефакт	Докладний посібник
parse-registry amcache	Amcache.hve	Amcache
parse-registry networks	SOFTWARE, SYSTEM	Мережі
parse-registry lsa-secrets	SECURITY	Секрети LSA
parse-registry bcd	BCD (і BCD-Template)	Дані конфігурації завантаження (BCD)
parse-registry app-compat	SOFTWARE, NTUSER.DAT	Сумісність програм
parse-registry auditpol	SECURITY	Політика аудиту
parse-registry office	NTUSER.DAT	Microsoft Office
parse-registry feature-usage	NTUSER.DAT	FeatureUsage, RecentApps і закріплені на панелі завдань елементи
parse-registry app-history	NTUSER.DAT	Історія програм
parse-registry mru	NTUSER.DAT	Списки MRU
parse-registry bam	SYSTEM (із SAM, SOFTWARE для імен користувачів)	BAM / DAM
parse-registry muicache	UsrClass.dat (NTUSER.DAT у Windows XP)	MuiCache
parse-registry installed-programs	SOFTWARE, NTUSER.DAT	Встановлені програми
parse-registry open-save-mru	NTUSER.DAT	Діалоги відкриття та збереження файлів
parse-registry persistence	SOFTWARE, SYSTEM, NTUSER.DAT, UsrClass.dat	Автозапуск через реєстр
parse-registry read	Будь-який основний кущ реєстру	Кущі реєстру
parse-registry recent-docs	NTUSER.DAT	RecentDocs
parse-registry remote-access	NTUSER.DAT (із SOFTWARE для SID користувачів)	Віддалений доступ (з боку користувача)
parse-registry sam	SAM	Локальні облікові записи SAM
parse-registry security-settings	SOFTWARE, SYSTEM, NTUSER.DAT	Параметри безпеки
parse-registry services	SYSTEM	Служби Windows
parse-registry shimcache	SYSTEM або експортоване значення AppCompatCache	ShimCache
parse-registry system-info	SYSTEM, SOFTWARE, SAM, SECURITY однієї системи	Відомості про систему
parse-registry taskcache	SOFTWARE	Кеш планувальника завдань
parse-registry usb	SYSTEM разом із SOFTWARE і NTUSER.DAT	Пристрої USB
parse-registry user-assist	NTUSER.DAT	UserAssist
parse-registry shell-bags	UsrClass.dat, NTUSER.DAT	ShellBags

Команди для SQLite

Команда	Вхідний артефакт	Докладний посібник
parse-sqlite browser	History, Cookies, Web Data, places.sqlite, cookies.sqlite, formhistory.sqlite	Веб-браузери

Типи джерел і зміни форматів

Групи описують формати, які Juntei наразі підтримує. parse-registry amcache зчитує Amcache.hve; це не означає підтримки баз даних інвентаризації Amcache у форматі SQLite. Крейти парсерів артефактів залишаються окремими, тож підтримку іншого формату зберігання можна додати незалежно.

Колишні пласкі назви парсерів замінено наведеними вище шляхами «джерело й артефакт». Указуйте наявні параметри парсера після назви артефакту. auto-parse та наявні підкоманди реєстру зберігають свої назви.

Persistence Hunter

juntei persistence-hunter виконує пошук у кількох форматах джерел, тому це команда аналізу верхнього рівня. Вона доповнює повну інвентаризацію конфігурації з parse-registry persistence 131 перевіркою, класифікацією за списками дозволу/блокування, метаданими корисного навантаження, відомостями про охоплення та зіставленням часових позначок.

Використання верхнього рівня

Usage: juntei <COMMAND>

Commands:
  auto-parse          Discover and parse Windows evidence
  help                Print this message or the help of the given subcommand(s)
  mount               Mount a VHDX or E01 disk image read-only (FUSE)
  parse-ese           Parse ESE databases
  parse-file          Parse file artifacts
  parse-ntfs          Parse NTFS artifacts
  parse-registry      Parse registry hives
  parse-sqlite        Parse SQLite databases
  persistence-hunter  Hunt offline Windows persistence

Options:
  -h, --help     Print help
  -V, --version  Print version

Сторінки джерел відтворюють довідку щодо використання команд і наводять короткі приклади. Посібники з артефактів пояснюють докази, поля виводу, обмеження та стратегію розслідування.