Підтримувані джерела доказів

Джерело доказів	Команда Juntei	Найкорисніше для	Важливе обмеження
Amcache	parse-registry amcache	Інвентар файлів, шляхи, SHA-1, метадані PE, пристрої	Наявність не є виконанням; видавець не є перевіркою підпису
NTFS $MFT	parse-ntfs mft	Файли, видалені записи, шляхи, часові позначки, ADS	Повторно використані записи та підробка часових позначок (timestomping) можуть вводити в оману
NTFS $LogFile	parse-ntfs logfile	Метадані redo/undo, старі імена та часові позначки, записи до журналу USN	Короткий циклічний період зберігання; час метаданих не є часом транзакцій; без відтворення
Prefetch	parse-file prefetch	Виконання програм, кількість запусків, час останніх запусків, завантажені файли	Зберігається лише обмежена історія часу запусків
Журнал USN $J	parse-ntfs usn-journal	Створення, видалення, перейменування, записи, історичні шляхи	Циклічний журнал; фіксує зміни, а не вміст файлів
Індекси каталогів $I30	parse-ntfs i30	Файли в каталозі; імена, час і розміри можливо видалених або перейменованих файлів, що залишилися в slack індексу	Slack неповний і нічого не каже про те, коли запис було видалено
Завантажувальний сектор NTFS $Boot	parse-ntfs boot	Серійний номер тому, який записують LNK, Jump Lists і Prefetch; геометрія та розташування $MFT; хеш завантажувального коду для порівняння між хостами	Серійні номери можна змінити або вони можуть повторюватися; відмінний завантажувальний код — це зачіпка, а не доказ буткіта
Дескриптори безпеки NTFS $Secure:$SDS	parse-ntfs secure-sds	Власники та ACL файлів за SID з $MFT; NULL DACL і надто дозвільні ACL	Власника можна змінити; ACL показують, хто може отримати доступ, а не хто його отримував
Образи дисків VHDX	mount, auto-parse --vhdx	NTFS → CSV / JSON / JSONL	auto-parse: Linux/macOS/Windows (TMP); mount: Linux/FUSE; NTFS ADS: —
Образи дисків E01 / Ex01	mount, auto-parse --e01	NTFS → CSV / JSON / JSONL	auto-parse: Linux/macOS/Windows (TMP); mount: Linux/FUSE; NTFS ADS: —
SRUM	parse-ese srum	Використання мережі та ресурсів окремими програмами/користувачами	Зазвичай агреговані дані; не є доказом на рівні пакетів або адрес призначення
Журналювання доступу користувачів (UAL)	parse-ese ual	Які адреси клієнтів і облікові записи використовували ролі Windows Server (спільні файлові ресурси, Active Directory, DHCP, IIS) і в які дні	Запити підраховуються за день, а не журналюються поодинці; адреса може належати NAT або проксі; у «брудному» Current.mdb бракує його найновіших змін
Internet Explorer і застарілий Edge (WebCache)	parse-ese webcache	Відвідані сторінки та локальні файли, відкриті в Провіднику файлів, завантажені файли та їхні джерела, файли cookie, кешовані файли з їхніми заголовками HTTP	Запис історії — це URL з його останнім відвідуванням, а не кожне відвідування; видалені записи не відновлюються; у «брудній» базі даних бракує її найновіших змін
Веб-браузери (на основі Chromium і Firefox)	parse-sqlite browser	Відвідані сторінки та спосіб переходу на них, завантажені файли та їхні джерела, файли cookie, значення, введені у вебформи; відновлені видалені відвідування, завантаження та записи форм	Відвідуванням може бути переспрямування, фрейм або сторінка, відкрита іншою програмою; значення файлів cookie Chromium зашифровані; видалені записи зникають, щойно браузер обнулить їх або виконає контрольну точку
Outlook (PST, OST, MSG, OFT)	parse-file outlook	Електронні листи з їхніми відправниками, одержувачами, часом і вкладеннями; контакти, елементи календаря та завдання; папки, приховані елементи налаштувань і всі властивості в збереженому вигляді	Адресу відправника можна підробити; елементи, яких уже немає в жодній папці, не відновлюються; офлайнові адресні книги, автозаповнення та інші файли Outlook поки що не читаються
Ярлики LNK	parse-file lnk	Відкриті цілі, аргументи, томи, спільні папки, комп'ютер-джерело	Ярлик можна створити без запуску цілі
Jump Lists	parse-file jump-lists	Елементи, відкриті програмами, закріплення, використання та вбудовані дані LNK	Поведінка та зберігання залежать від програми
ShimCache	parse-registry shimcache	Історичні шляхи до виконуваних файлів і перевірки сумісності	Кеш може не записуватися на диск до вимкнення; сам запис не є виконанням
Карантин Defender	parse-file defender-quarantine	Виявлення, початковий шлях, хеші, джерело завантаження, відновлені байти	Назва виявлення — вердикт продукту; видобування небезпечне
Кущі реєстру	parse-registry read	Конфігурація, закріплення, видалені/відтворені значення	Час ключа не є часом значення; кущі з працюючої системи потребують журналів транзакцій
Служби	parse-registry services	Закріплення через служби/драйвери та дії в разі збою	Конфігурація не доводить, що служба запускалася
RecentDocs	parse-registry recent-docs	Нещодавно відкриті файли та папки для кожного користувача	Обґрунтований час відкриття отримує лише найновіший елемент кожного списку
Microsoft Office	parse-registry office	Документи та папки, які відкривала кожна програма Office, із часом; документи, для яких користувач увімкнув макроси; параметри макросів і надійні розташування	Увімкнення макросів не доводить, що макрос виконувався; шляхи в записах довіри зберігаються так, як їх записує Office
Діалоги відкриття та збереження файлів	parse-registry open-save-mru	Файли, відкриті або збережені через стандартні діалоги, за розширеннями, а також програми та папки, які їх використовували	Датовано лише найновіший запис кожного списку; відкриття та збереження не розрізняються
TaskCache	parse-registry taskcache	Дії запланованих завдань, метадані, приховані завдання	Для доказу виконання зіставляйте з XML завдань і журналами подій
Конфігурація завантаження (BCD)	parse-registry bcd	Записи завантаження; вимкнене відновлення, ігнорування збоїв, тестове підписування, вимкнені перевірки цілісності, безпечний режим — із часом установлення кожного параметра	Сховище часто не збирають (системний розділ EFI, \Boot); параметри успадковуються
Автозапуск через реєстр	parse-registry persistence	Ключі Run, Winlogon, IFEO, DLL AppInit/AppCert, пакети LSA, перехоплення COM та інші розташування автозапуску	Конфігурація, а не доказ виконання; більшість записів — стандартні для Windows
Сумісність програм	parse-registry app-compat	Шари сумісності, програми, запуск яких бачив помічник із сумісності програм, використання програм і модулів CIT, власні бази даних шимів	Записи помічника із сумісності програм не містять часу запуску; дані CIT переважно з Windows 7 і 8
FeatureUsage, RecentApps, закріплені елементи	parse-registry feature-usage	Як часто користувач перемикався на кожну програму, запускав або клацав її; нещодавні програми та їхні файли; закріплені на панелі завдань елементи та програми меню «Пуск»	Лічильники не мають часу; рахуються перемикання вікон, а не запуски
ShellBags	parse-registry shell-bags	Папки, які користувач відкривав у Провіднику та діалогах, зокрема знімні, мережеві, на портативних пристроях, ZIP і видалені, у вигляді повних шляхів	Обґрунтований час відкриття отримує лише найновіший елемент кожного ключа; час елементів належить папці, а не відвідуванню
BAM і DAM	parse-registry bam	Час останнього запуску кожної програми кожним користувачем, зокрема зі знімних і мережевих пристроїв	Один час на програму та користувача, лише нещодавня активність; шляхи пристроїв, а не літери дисків
Пристрої USB	parse-registry usb	USB-накопичувачі та інші пристрої, серійні номери, час встановлення/під'єднання/від'єднання, літери дисків, назви та серійні номери томів, користувачі, які їх монтували	Зберігаються лише останнє під'єднання та від'єднання; літери дисків використовуються повторно
MuiCache	parse-registry muicache	Кешовані шляхи до програм, описи та компанії, пов'язані з профілем оболонки користувача	Немає часу для кожної програми; профіль не обов'язково є обліковим записом процесу, а метадані можна підробити
UserAssist	parse-registry user-assist	Програми та ярлики, які користувач запускав із Провідника, з кількістю запусків, часом фокусу та останнім запуском	Враховуються лише запуски з Провідника; нові профілі отримують стандартні елементи
Мережі	parse-registry networks	Мережі, до яких виконувалося під'єднання, з часом першого/останнього під'єднання, MAC-адреси шлюзів, інтерфейси та оренди DHCP, спільні папки, проксі портів, маршрути	Час профілів місцевий і перетворюється з урахуванням поточного часового поясу; назви на кшталт «Network 2» повторюються
Параметри безпеки	parse-registry security-settings	Defender (і його виключення), UAC, захист WDigest/LSA, RDP, брандмауер, SMBv1, журналювання PowerShell і AMSI, параметри журналів подій і доказів — із позначкою там, де вони послаблюють стан за замовчуванням	Послаблений параметр не є доказом компрометації; відсутні значення (стандартні для Windows) не повідомляються
Історія програм	parse-registry app-history	Інструменти Sysinternals, які запускав користувач, історія архівів і папок (WinRAR, 7-Zip, WinZip), облікові записи OneDrive, нещодавні файли Adobe, значення TeamViewer і CCleaner	Більшість записів списків не мають часу; датовано лише найновіший запис кожного списку
Списки MRU	parse-registry mru	Команди діалогу «Виконати», введені шляхи Провідника, пошукові запити Провідника, введені адреси Internet Explorer (із часом), файли Paint і WordPad, пошукові терміни XP	Датовано лише найновіший запис кожного списку, крім введених адрес; введене не означає виконане
Віддалений доступ (з боку користувача)	parse-registry remote-access	Комп'ютери, до яких користувач під'єднувався через Remote Desktop, PuTTY і WinSCP, прийняті ключі хостів SSH, підключені диски та спільні папки	Збережена або введена ціль не означає успішного під'єднання; ключі списків мають один час для всіх своїх елементів
Встановлені програми	parse-registry installed-programs	Встановлені програми (для всього комп'ютера та для окремих користувачів), продукти Windows Installer, App Paths, дистрибутиви WSL і пакетні програми	Дату встановлення записує інсталятор; коректно видалені програми не залишають записів
SAM	parse-registry sam	Локальні облікові записи, прапорці, RID, метадані входів/паролів	Лише локальні облікові записи; значення останнього входу не є повною історією входів
Секрети LSA	parse-registry lsa-secrets	Які секрети зберігає LSA (автоматичний вхід, облікові записи служб, обліковий запис комп'ютера) і коли їх було встановлено; використовувані кешовані доменні входи	Лише назви та час, нічого не розшифровується; DefaultPassword існує і без автоматичного входу
Політика аудиту	parse-registry auditpol	Які події безпеки система мала реєструвати, а отже, відсутність яких подій нічого не означає	Політика на момент останнього запису куща; зміни фіксуються подією 4719
Відомості про систему	parse-registry system-info	Імена комп'ютера та домену, версія Windows і дата встановлення, часовий пояс, останнє вимкнення, останній користувач, профілі, SID	Конфігурація на момент збирання; InstallDate змінюється з оновленнями функцій, а Windows 11 називає себе Windows 10

Типи зібраних даних

Juntei приймає окремий артефакт через -f або рекурсивно шукає в зібраних даних через -d. Режим каталогу призначено для поширених структур тріажу, де кожен хост містить шляхи, як-от C/Windows/System32/config/SYSTEM або C/Users/alice/NTUSER.DAT.

Перш ніж аналізувати скопійовані бази даних реєстру або ESE, ознайомтеся з розділом Збирання доказів: відповідні журнали транзакцій можуть бути необхідними для відтворення стану, який бачила Windows.