跡證指南¶
Windows 會在檔案系統、登錄、相容性資料庫、使用者介面歷程、資源用量統計與資安產品中 保留彼此重疊的痕跡。Juntei 會解析這些來源，但每個來源代表什麼意義，仍須由調查人員判讀。
依問題選擇跡證¶
| 調查問題 | 從這裡開始 | 佐證來源 |
|---|---|---|
| 這個執行檔是否曾經執行？ | Prefetch | ShimCache、SRUM、事件記錄 |
| 這個檔案是否曾經存在？ | Amcache、$MFT | USN Journal、$I30、ShimCache |
| 檔案是何時被建立、重新命名或刪除的？ | USN Journal | $MFT、$I30、Defender 隔離資料 |
| 中繼資料變更之前存在的是什麼名稱或時間戳記？ | $LogFile | $MFT、USN Journal、$I30 |
| 檔案的擁有者是誰，誰可以變更它？ | $Secure:$SDS 搭配 $MFT | SAM、Security 事件記錄 |
| 捷徑或 Prefetch 檔案的目標位於哪個磁碟區？ | $Boot | LNK、Prefetch、USB 裝置 |
| 使用者開啟了什麼？ | Jump Lists、LNK、RecentDocs | SRUM、Prefetch |
| 是否有程式傳輸了大量資料？ | SRUM | 防火牆、Proxy、DNS、封包或 EDR 遙測資料 |
| 使用者造訪了哪些網站，又下載了什麼？ | 網頁瀏覽器、Internet Explorer 與舊版 Edge | Proxy 與 DNS 記錄、$MFT 與 USN Journal、Defender、SRUM |
| 使用者與誰往來電子郵件，又附加了什麼？ | Outlook | 郵件伺服器與閘道記錄、$MFT 與 USN Journal、Defender、LNK 與 Jump Lists |
| 哪些用戶端與帳戶使用過這台伺服器，又是在哪幾天？ | 使用者存取記錄 (UAL) | Security 事件記錄、SMB 與 RDP 記錄、防火牆記錄 |
| 是否設定了持續存取機制？ | 服務、TaskCache、登錄 | 事件記錄、Prefetch、$MFT |
| Defender 移除了什麼？ | Defender 隔離資料 | 事件記錄、$MFT、USN Journal |
| 是否新增或變更了本機帳戶？ | SAM | Security 事件記錄與登錄交易歷程 |
先讀警告，再看欄位¶
每個跡證頁面都依循相同的順序：
- 這是什麼，以及它能回答哪些問題。
- 在哪裡找到它，以及收集方式對它的影響。
- 它能證明什麼，以及不能證明什麼。
- 如何使用 Juntei 解析它。
- 如何判讀每個輸出欄位。
- 如何將它與獨立證據進行關聯分析。
- 進一步資訊，供深入的底層研究之用。
不要將剖析器的發現等同於惡意行為
Juntei 的發現項目會指出值得檢視的模式，例如位於 System32 之外的系統二進位檔名稱。
安裝程式、系統管理員、相容性層與軟體更新都可能產生不尋常的記錄。請以脈絡與獨立證據加以驗證。