Формати виводу¶

Зведення в терміналі¶

Без -o або структурованого -t команди зазвичай показують кількості, часові діапазони, пошкодження та найцінніші знахідки. Зведення допомагають зрозуміти обсяг даних, перш ніж створювати великий вивід.

CSV¶

CSV — типовий формат збереження. Він зручний для програм електронних таблиць, імпорту в SQL і засобів перегляду хронологій. Деякі парсери створюють кілька таблиць, оскільки їхні артефакти містять різні типи записів (Amcache, Jump Lists і SRUM).

Вважайте стовпці доказів текстом

Шлях або командний рядок може починатися з =, +, - або @. Програма електронних таблиць може інтерпретувати його як формулу. Імпортуйте всі поля як текст або використовуйте безпечний для криміналістики засіб перегляду CSV. Juntei зберігає рядки доказів, а не змінює їх.

Назви полів¶

Заголовки стовпців CSV і назви полів JSON/JSONL використовують PascalCase, включно з Amcache і маніфестами auto-parse. Абревіатури залишаються у верхньому регістрі: ProcessID, TimestampUTC, UserSID, SHA256. Слово після абревіатури відокремлюється дефісом: IP-Address, MFT-Entry, USN-Journal. У jq беріть поле з дефісом у лапки: .["IP-Address"].

Типовий CSV для MFT використовує коротші, зручні для читання заголовки, як-от EntryNum, Ext, Dir, HasADS, Size, Created (SI) і Created (FN). Повну схему CSV див. у довіднику полів MFT. Пари позначок часу йдуть у порядку MACB: DataModified, Accessed, MetadataChanged, Created, причому SI перед FN. У засобах роботи з CSV беріть у лапки заголовки, що містять пробіли або розділові знаки.

Значення доказів зберігають оригінальне написання. Ключі словників, надані джерелом, як-от назви значень реєстру в Details/DataRaw і назви Zone.Identifier в ZoneIdentifier, також залишаються незмінними. Словники ValueState і Raw у SRUM використовують ті самі мітки, що й відповідні стовпці даних. Про колізію під час нормалізації повідомляється, а поле не відкидається мовчки.

Це змінює попередні схеми експорту. Згенеруйте наявні результати повторно та оновіть збережені запити (наприклад, .record_type стає .RecordType, а full_path в Amcache стає FullPath). Зручні для читання текстові звіти та формати вхідних даних/конфігурації зберігають наявні умовності.

Скорочені назви полів¶

Наведені нижче мітки застосовуються до експортів CSV, JSON і JSONL, включно з автоматичним аналізом і маніфестами. Оновлюйте збережені фільтри jq, xsv і електронних таблиць під час повторного генерування старіших результатів. Змінюються лише мітки виводу; значення доказів і сирі назви значень реєстру зберігають оригінальне написання.

Попередня мітка	Поточна мітка
`ADS`	`HasADS`
`Application`	`App`
`ApplicationCompany`	`AppCompany`
`ApplicationCompanyRaw`	`AppCompanyRaw`
`ApplicationPath`	`AppPath`
`Arguments`	`Args`
`Attributes`	`Attr`
`AttributeType`	`AttrType`
`BytesRecvd`	`BytesReceived`
`Computer`	`Comp`
`ComputerName`	`CompName`
`ComputerNameLastWrittenUTC`	`CompNameLastWrittenUTC`
`Directories`	`Dir`
`FileName`	`Filename`
`MicrosecondZeros`	`ZeroU-Secs`
`SI-BeforeFN`	`SI<FN`
`UserName`	`User`
`Username`	`User`
`UserNameSource`	`UserSource`
`Users`	`User`

Вивід MFT CSV використовує спеціальні назви стовпців: File (Filename), SN (Sequence Number), ParentEntryNum (ParentEntryNumber), ParentSN (Parent Sequence Number), USN (Update Sequence Number), LogfileSN (Logfile Sequence Number), SID (Security ID), Type (Name Type) і RefCnt (Reference Count). Вони також застосовуються до MFT CSV із auto-parse; див. поля виводу MFT.

Нативний час у JSON відомостей про систему — CompNameLastWritten (CSV: CompNameLastWrittenUTC). HasADS — логічний індикатор; Dir у Prefetch містить записаний список каталогів. User зберігає свій специфічний для артефакту тип: рядок для імені облікового запису або список пов'язаних користувачів у виводі USB. Він не означає ідентичності, від імені якої відбувалося виконання. Беріть розділові знаки в лапки в запитах: ."SI<FN" і .["ZeroU-Secs"].

JSON¶

JSON зберігає повний результат як один документ. Він зберігає масиви, вкладені структури, значення null, великі цілі числа та відмінності, які плаский CSV не завжди може представити.

juntei parse-file lnk -f sample.lnk -o lnk.json -t json

JSON Lines¶

JSONL записує по одному незалежному об'єкту JSON на рядок. Він добре підходить для потокової обробки і природно працює з jq:

juntei parse-registry services -d evidence/ -t jsonl \
  | jq -c 'select(.StartType == "automatic") | {Host, ServiceName, ImagePath}'

Коли структурований вивід спрямовується у стандартний вивід, Juntei надсилає повідомлення про хід виконання та інші повідомлення до стандартного потоку помилок, щоб конвеєр отримував лише дані.

auto-parse -j timeline.jsonl створює додатковий набір даних JSONL для повної колекції з кількох хостів, зберігаючи категоризовані результати CSV. Додайте -t json або -t jsonl, щоб змінити формат окремих результатів. Кожен запис має поля Comp і Artifact, щоб його джерело залишалося зрозумілим після імпорту в SIEM.

UTC і точність¶

Juntei форматує час після аналізу в UTC за RFC 3339, де це дозволяє формат. Деякі артефакти мають точність 100 наносекунд; інші зберігають секунди, час FAT, інтервали агрегування або взагалі не зберігають часу. Кількість розрядів — це не точність: завжди розумійте вихідне поле, описане на сторінці його артефакту.

UTC використовує форму журналу подій Windows 2026-10-20T08:46:38.2001668Z, зберігаючи наявну дробову точність. auto-parse -Z "+09:00" відображає моменти часу після аналізу з явним фіксованим зміщенням в усіх форматах результатів і в необов'язковому експорті -j. За замовчуванням використовується UTC, незалежно від комп'ютера, на якому працює Juntei. Сирі значення та значення настінного годинника без часового поясу залишаються в записаному вигляді; див. часові пояси виводу.

Пошкодження та відсутні значення¶

Порожні значення, null, NA, Problems і специфічні для парсера поля стану мають значення. Вони можуть означати, що артефакт не зберігав значення, запис було пошкоджено, формат цього не підтримує або парсер не зміг його розв'язати. Не замінюйте всі порожні значення нулем.

Нормалізована хронологія¶

super-timeline формує події за спільною схемою CSV/JSONL, де для кожної позначки часу підписано, що вона означає, і вказано посилання на джерело. За замовчуванням вивід не сортується; --sort вмикає хронологічне сортування та консолідацію дублікатів. Команда також підтримує профіль імпорту Timesketch. Нативні експорти парсерів і auto-parse -j зберігають свої наявні схеми.