Перейти до змісту

Перше розслідування

Цей порядок роботи передбачає, що ви отримали офлайн-збірку для тріажу в evidence/.

1. Збережіть джерело

Працюйте з перевіреною копією. Зафіксуйте хеші, час збирання, часовий пояс, хост, том та інструмент збирання. Juntei лише зчитує докази, але такі параметри, як витягування резидентних потоків або карантину, створюють нові вихідні файли; спрямовуйте їх до окремого каталогу для аналізу.

2. Складіть перелік наявного

Шукайте шляхи, наведені в розділі Збирання доказів. Відсутність деяких артефактів — це нормально. Не припускайте, що збірка містить журнали транзакцій лише тому, що вона містить кущ реєстру.

3. Спочатку запустіть підсумки

Багато команд виводять стислий підсумок, якщо вихідний файл не вказано:

juntei parse-file prefetch -d evidence/
juntei parse-registry shimcache -d evidence/
juntei parse-file defender-quarantine -d evidence/

Перш ніж довіряти записам, прочитайте попередження про пошкодження, «брудні» бази даних і незастосовані журнали.

Щоб за одну операцію розібрати всі підтримувані артефакти у збірці з кількох комп'ютерів, використовуйте:

juntei auto-parse -d evidence/ -o analysis/

Відомості про виявлення хостів, паралелізм, структуру виводу та консолідований JSONL для завантаження в SIEM див. у розділі Автоматичний аналіз зібраних даних.

4. Збережіть структурований вивід

mkdir -p analysis
juntei parse-file prefetch -d evidence/ -T -o analysis/prefetch.csv
juntei parse-ntfs mft -d evidence/ -o analysis/mft
juntei parse-ntfs usn-journal -d evidence/ -o analysis/usn
juntei parse-registry services -d evidence/ -o analysis/services.jsonl -t jsonl

Надавайте перевагу JSONL для сценаріїв і вкладених значень, а CSV — для електронних таблиць або засобів перегляду хронології.

5. Відштовхуйтеся від надійного ідентифікатора

Почніть з імені файлу, повного шляху, SHA-1/SHA-256, SID користувача, номера запису/порядкового номера MFT, GUID завдання, назви служби або часового вікна. Нормалізуйте регістр лише для полів, які Windows обробляє без урахування регістру.

juntei parse-file prefetch -d evidence/ -t jsonl \
  | jq 'select(.ExecutableName? | ascii_downcase == "suspicious.exe")'

6. Зіставте дані

Використовуйте розслідування за кількома артефактами. Практична послідовність така:

  1. Prefetch — для виконання та часу останніх запусків.
  2. $MFT і журнал USN — для створення, шляхів, перейменувань і видалення.
  3. Amcache і ShimCache — для історичної наявності та метаданих.
  4. LNK, Jump Lists, RecentDocs і SRUM — для контексту користувача/програми.
  5. Служби в реєстрі та TaskCache — для закріплення.
  6. Карантин Defender — для виявлення, видалення, походження та хешів.

7. Задокументуйте відтворюваність

Зафіксуйте вихідний шлях, хеш джерела, версію Juntei, точну команду, хеш виводу, часовий пояс системи та будь-яке подальше фільтрування. Ніколи не редагуйте непомітно згенерований вивід із доказами.