Nell’ambito della disk forensics, l’analisi forense di registri di Windows rappresenta uno degli ambiti principali.
Considerato che la maggior parte dei sistemi in commercio sono equipaggiati con il sistema operativo Microsoft Windows, la diretta conseguenza è che anche nell’analisi forense incontriamo spesso questi sistemi.
Indice degli argomenti
I registri di Windows possono essere paragonati a un mix tra file di informazioni, file di configurazione e file di log.
Al loro interno troviamo informazioni di vario tipo, come ad esempio:
Il registro ha una struttura ad albero in cui sono presenti chiavi, sottochiavi e valori ed è organizzato in cinque sezioni dette hives:
Le chiavi riportano informazioni di vario tipo sotto il profilo del dettaglio dei dati e del timestamp.
L’analisi forense di un registro di Windows richiede preliminarmente la disponibilità dei file di registro.
Tali file possono essere acquisiti singolarmente oppure estratti da una copia forense.
L’analisi del file e successivamente della specifica porzione di riferimento dipende dal dato che ci interessa esaminare.
Facciamo alcuni esempi.
La versione del sistema operativo è disponibile nella chiave
Software\Microsoft\Windows NT\CurrentVersion
Il nome del sistema esaminato è disponibile nella chiave
System\CurrentControlSet\Control\ComputerName\ComputerName
La timezone è disponibile nella chiave
System\CurrentControlSet\Control\TimeZoneInformation
L’elenco dei dispositivi collegati è disponibile nelle chiavi
System\CurrentControlSet\Enum\USBSTOR
System\CurrentControlSet\Enum\USB
La data di utilizzo dei dispositivi di memoria USB è disponibile nella chiave
System\CurrentControlSet\Enum\USBSTOR\Disk&Ven_[...]\USBSerial#\Properties
Per esempio possiamo risalire a gli ultimi file aperti da un programma, a gli ultimi file eseguiti oppure i file che vengono automaticamente caricati all’avvio e molto altro ancora, di seguito alcune delle chiavi usate per tali esigenze:
L’elenco degli ultimi file aperti è disponibile nella chiave
Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs
Le ultime ricerche nella barra degli indirizzi di Windows Explorer è disponibile nella chiave
Software\Microsoft\Windows\CurrentVersion\Explorer\TypedPaths
Software\Microsoft\Windows\CurrentVersion\Explorer\WordWheelQuery
L’analisi forense dei registri di Windows può essere realizzata con diversi software tra cui RegRipper, AccessData Registry Viewer, Autopsy.