Scott Lynch

To all my Windows DFIR friends out there! 🔥 Have you ever wished for a single Windows forensic artifact parsing tool that could parse just about anything, while being blazing fast, stable, well-organized, memory-safe, standalone, and cross-platform? Well, I certainly have! So, I spent the past month obsessively building one! 😎 Say hello to "Juntei" (准胝)! 🎉 yamato-security.github.io/ju… github.com/Yamato-Security/j… Think of it as "Hayabusa, but for non-EVTX artifacts!" It can scan regular directories, VHDX, and E01 files directly, without even having to mount them. I just ran a performance test on 30 Windows triage data collections (125 GB total), and my MacBook Pro M4 cranked out 40 GB of parsed data in less than 5 minutes! 🚀 It's trivial to use. Just run the "auto-parse" command, and Juntei will automatically parse all supported artifacts for you. Want a super timeline? No problem! Simply run "super-timeline" against the parsed output directory, and you're good to go! But here's a little warning! ⚠️ The "SUPER" in super timeline is no joke! 😂 At the moment, the generated timelines can be about 5 times larger than the parsed data directory! So here's my recommendation: Run Hayabusa first to pinpoint when an incident occurred, then filter your timeline to the relevant time period. By the way, JSONL super timelines are generated in a Timesketch-compatible format by default, so you can import them directly! For analyzing CSV output, I highly recommend IRFlow Timeline! I've created dedicated templates to ensure the different field types are correctly recognized and displayed. r3nzsec.github.io/irflow-tim… (Wait for v2 to be released, or use one of my forks!) macOS: github.com/Yamato-Security/i… Windows: github.com/Yamato-Security/i… Linux: github.com/Yamato-Security/i… I hope you enjoy using it! 🔥 If you find Juntei useful, please help spread the word to your fellow DFIR friends! And don't forget to give us a star on GitHub! ⭐ 🙏 Enjoy! 🤗

Windows DFIRの友よ〜！🔥 どんなWindowsのフォレンジックアーティファクトでも解析できて、しかも爆速・安定・整理された出力・メモリ安全・スタンドアロン・クロスプラットフォーム対応……そんな夢のようなオールインワンツールが欲しいと思ったことない？ 僕はずっと欲しかった！というわけで、この1か月間、ひたすら開発に没頭して作っちゃいました！😎 その名も 「Juntei（准胝）」！🎉 yamato-security.github.io/ju… github.com/Yamato-Security/j… 簡単に言えば、「EVTX以外のアーティファクトを解析するHayabusa」 みたいなものです！ 通常のディレクトリはもちろん、VHDXやE01ファイルもマウントせずにそのままスキャンできます！ 先ほど、Windowsのトリアージデータ30セット（合計125GB）を使って性能テストをしてみたところ…… なんと！MacBook Pro M4で 5分もかからずに40GBもの解析結果を出力！ 🚀 使い方も超簡単！ auto-parse コマンドを実行するだけで、対応するアーティファクトを全部自動解析してくれます！ さらに、解析結果のディレクトリに対して super-timeline を実行すれば、スーパータイムラインも生成できます！ ただし、ここは要注意！⚠️ 「SUPER」という名前は伊達じゃありません（笑）。 現時点では、タイムラインのサイズが解析結果の約5倍にも膨れ上がります！😂 なので、おすすめの使い方は、まずHayabusaでインシデントが発生した日時を特定し、その前後の期間に絞ってタイムラインを作成することです。 ちなみに、JSONL形式のスーパータイムラインは、デフォルトでTimesketchにインポートできる形式になっています！ CSV形式の解析結果を確認するなら、IRFlow Timeline がおすすめ！フィールドの型を正しく認識できるように、専用テンプレートも作成しました。 r3nzsec.github.io/irflow-tim… （v2のリリースを待つか、僕のフォーク版を使ってね！） macOS版： github.com/Yamato-Security/i… Windows版： github.com/Yamato-Security/i… Linux版： github.com/Yamato-Security/i… ぜひぜひ使ってみてください！🔥 気に入ってもらえたら、周りのDFIR仲間にも広めてもらえるとうれしいです！そして、GitHubのスター⭐もぜひお願いします！ 🙏 Enjoy DFIR！🤗

Hayabusa v4.4.0 – CODE BLUE Release is out! Major new feature: You can now scan Windows event logs directly from VHDX and E01/Ex01 disk images! ✅ No mounting ✅ No extraction ✅ No admin privileges ✅ Windows, Linux & macOS Hayabusa v4.4.0「CODE BLUE Release」を公開しました！ VHDXやE01/Ex01のディスクイメージ内のWindowsイベントログをそのまま直接解析できるようになりました！ ✅ マウント不要 ✅ 展開不要 ✅ 管理者権限不要 ✅ Windows / Linux / macOS対応 github.com/Yamato-Security/h…

Autoruns for Linux! 🐧🥳 github.com/microsoft/Autorun…

勝手ながら、DFIRのログ分析に最強の「IRFlow Timeline」のバグを色々修正し、機能も改善しました！ 季節やイベントに合わせたテーマも追加したので、四季を感じながらDFIR調査を楽しめます！🌸☀️🍁❄️🎄 本家リポジトリにもPRを出す予定ですが、一足先に使ってみたい方は以下のリンクからダウンロードできます！ Mac: github.com/Yamato-Security/i… Linux: github.com/Yamato-Security/i… Windows: github.com/Yamato-Security/i…