Перейти до змісту

Про Juntei

Juntei — це парсер криміналістичних артефактів Windows, написаний мовою Rust із безпечною роботою з пам'яттю. Він доповнює Hayabusa: Hayabusa аналізує журнали подій Windows, тоді як Juntei розбирає постійні артефакти файлової системи, реєстру, виконання, активності користувача, використання ресурсів і засобів захисту.

Той самий виконуваний файл працює у Windows, macOS і Linux. Аналітики можуть досліджувати зібрані докази Windows та образи дисків через єдиний інтерфейс замість окремої програми для кожного артефакту.

Цілі проєктування

  • Обґрунтований розбір: зберігати необроблені значення та повідомляти про пошкодження, а не мовчки вигадувати дані.
  • Корисність для всіх: використання за замовчуванням має бути простим для початківців, але водночас гнучким і повнофункціональним для досвідчених фахівців.
  • Автономний виконуваний файл: для роботи не потрібні жодні бібліотеки середовища виконання. Він просто працює одразу після завантаження.
  • Надзвичайна швидкість: мета — бути найшвидшим парсером і водночас не потребувати великого обсягу пам'яті.
  • Кросплатформне використання: аналіз доказів Windows без потреби в робочій станції Windows.
  • Автоматизація: CSV для електронних таблиць і засобів побудови часових шкал; JSON/JSONL для jq, скриптів і озер даних.
  • Безпечна обробка збоїв: пошкоджені записи, коли це можливо, позначаються в звіті та пропускаються.
  • Прозоре походження: Juntei зазначає парсери з відкритим кодом і довідкові інструменти, на яких ґрунтується кожна реалізація.

Чого Juntei не робить

Juntei не знімає дані з живого диска й не замінює процедури збереження доказів, а єдині образи дисків, які він монтує, — це образи VHDX / E01 / Ex01, лише для читання. Він не об'єднує автоматично всі артефакти в єдину картину інциденту. Він розбирає надані вами докази та створює записи, придатні для розслідування та зіставлення.

Juntei також не виконає аналіз замість вас. Для аналізу доказів потрібен фахівець з DFIR.

Ліцензія

Juntei випущено на умовах Reciprocal Public License 1.5 (RPL-1.5); авторські права належать Shirofune Security Co., Ltd. До версії 1.0.0 його вихідний код публікувався на умовах AGPLv3. Ліцензії crate-пакетів та іншого стороннього коду й даних, з якими його зібрано, наведено в THIRD_PARTY_NOTICES. Проєкти, на яких ґрунтується Juntei і з якими його звіряли, перелічено в розділі Подяки.