==========================================
  JoyShine Forensics AppTracer
==========================================

調べたい実行ファイルを動かして、その挙動を記録するツール。

ファイルの読み書き、レジストリの操作、通信、DNS の問い合わせを時刻付きで一覧に出す。
自動起動への登録や Temp への実行ファイル投下といった、よくない動きには印と色が付く。
動かしたプログラムが別のプログラムを呼べば、そちらも追いかける。

------------------------------------------
  動作環境
------------------------------------------

Windows 7 以降(64-bit)。
追加のランタイムもインストーラーも不要です。

JoyShine Forensics AppTracer.exe を任意のフォルダに置くだけで動作します。

起動時に管理者権限を求めます。
Windows の動作記録(ETW)を受け取るのに必要なためです。

------------------------------------------
  使い方
------------------------------------------

1. 調べたい EXE を指定する

2. Start Monitoring を押す

   記録を始めてからプログラムを動かすので、起動直後の動きも残る。

3. 一覧を絞る

   カテゴリのチェックを外すと、その種類の行が消える。
   Filter に文字を入れると、その語を含む行だけになる。
   Suspicious を入れると、印の付いた行だけになる。

4. Stop を押す

   調べていたプログラムと、そこから直接または間接に起動された
   プログラムをまとめて終了する。
   ただし、Windows のサービスやタスクなど、別の仕組みを経由して
   起動されたものは残ることがある。

File メニューから CSV と JSON で書き出せる。
セッションとして保存しておけば、後で開き直して同じ一覧を見られる。

------------------------------------------
  注意
------------------------------------------

このツールは調べたいプログラムを実際に動かすため、
害のあるものは普段お使いのパソコン上で動かさないこと。
仮想マシンなど、壊れてもかまわない環境で使用してください。

記録の不完全さを検出したときは、その件数と理由をステータスバーと
Summary に出します。
追いつかなかったイベント、結果不明の操作、特定できなかったファイル、
たどれなかったレジストリ キー、追跡できなかった子プロセスなどを
区別して数えます。

Windows 7 と 8 では、DNS の問い合わせは記録されません。
この記録を取得するための機能が Windows 8.1 で追加されたためです。

------------------------------------------
  フリーソフト
------------------------------------------

https://lee22.net/

------------------------------------------
  連絡 / エラー報告など
------------------------------------------

https://lee22.net/contact.html

------------------------------------------
