Réseau et accès distant
Profils réseau (NetworkList)
Fiche NetworkList : profils réseau, SSID, adresses MAC de passerelle, première et dernière connexion (heure locale), profils WLAN et événements WLAN.
- Emplacement
- SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Profiles
- Prouve
- Les réseaux (SSID, domaine, MAC de passerelle) rejoints, première et dernière connexion
- Horodatages
- DateCreated et DateLastConnected en SYSTEMTIME 16 octets, heure locale ; LastWrite de la clé du profil en FILETIME, UTC ; événements WLAN en UTC
- Rétention
- Profils conservés jusqu'à ce que le réseau soit oublié ou supprimé ; les traces registre peuvent survivre à un profil Wi-Fi oublié
- Accès
- Administrateur ; ruche SOFTWARE verrouillée à chaud : reg query à chaud, sinon NTFS brut (KAPE) ou VSS
- Preuve de
- Réseau et accès distant
- Type
- Registre
- Windows
- Vista / 78 / 8.11011
- Cible KAPE
- RegistryHivesSystemEventLogs
- Velociraptor
- Windows.Triage.Targets:RegistryHivesSystemEventLogs
Outils
Comparer tous les outilsPrésentation
Le service Network Location Awareness de Windows identifie chaque réseau auquel la machine se connecte et stocke un profil dans la ruche SOFTWARE : nom (SSID pour le Wi-Fi, domaine ou « Réseau » pour le filaire), catégorie (public, privé, domaine), adresse MAC de la passerelle et dates de connexion. Les profils WLAN sont aussi stockés sous forme de fichiers XML. Ensemble, ils situent un portable sur un réseau donné à un moment donné : domicile, hôtel, café, Wi-Fi invité d'un concurrent, point d'accès mobile.
Emplacement
| Artefact | Emplacement |
|---|---|
| Profils | SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Profiles\{GUID du profil} |
| Signatures (lien vers la passerelle, suffixe DNS) | SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Signatures\Managed\<id> et \Unmanaged\<id> |
| Cache intranet | SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Nla\Cache\Intranet |
| Profils WLAN | C:\ProgramData\Microsoft\Wlansvc\Profiles\Interfaces\{GUID d'interface}\{GUID du profil}.xml |
| Événements WLAN | Microsoft-Windows-WLAN-AutoConfig/Operational (par exemple 8001 connecté, 8003 déconnecté) |
Présent depuis Windows Vista.
Ce que l'artefact prouve
- L'hôte s'est connecté à un réseau portant ce nom, et la première et la dernière fois.
- Les réseaux Wi-Fi sont identifiés par leur SSID ;
DefaultGatewayMacidentifie le routeur physique, qui peut être géolocalisé via des bases Wi-Fi ou rapproché d'un site connu. - Le GUID du profil est le
L2ProfileIdréférencé par SRUM, qui donne les octets envoyés et reçus par application sur ce réseau. - Il n'enregistre pas chaque connexion ; utilisez les événements WLAN et SRUM pour le détail intermédiaire.
Champs clés
| Valeur | Où | Signification |
|---|---|---|
ProfileName, Description | Profiles | Nom du réseau (SSID ou domaine) |
Category | Profiles | 0 public, 1 privé, 2 domaine |
NameType | Profiles | Type de réseau (par exemple 0x47 sans fil, 0x06 filaire, 0x17 haut débit mobile) |
DateCreated | Profiles | Première connexion |
DateLastConnected | Profiles | Dernière connexion |
ProfileGuid | Signatures | Renvoie au profil |
DefaultGatewayMac | Signatures | Adresse MAC de la passerelle |
DnsSuffix, FirstNetwork | Signatures | Suffixe DNS, SSID |
Horodatages
| Horodatage | Positionné quand | Format | Pièges |
|---|---|---|---|
DateCreated | Première connexion au réseau | SYSTEMTIME de 16 octets, heure locale | À convertir avec le fuseau en vigueur à cette date (UTC et heure locale) |
DateLastConnected | Connexion la plus récente | SYSTEMTIME, heure locale | Un voyageur change de fuseau ; vérifiez TimeZoneInformation et le contexte |
| LastWrite de la clé du profil | Mise à jour du profil | FILETIME, UTC | Souvent proche de la dernière connexion |
SystemTime des événements WLAN | Connexion / déconnexion | UTC | Le journal peut tourner |
Rétention et effacement
- Les profils persistent jusqu'à ce que l'utilisateur « oublie » le réseau ou qu'un administrateur les supprime ; oublier un réseau Wi-Fi supprime le profil XML WLAN mais des traces peuvent rester dans le registre.
- Les clés de profil supprimées peuvent être récupérées dans l'espace libre de la ruche et dans les ruches SOFTWARE des clichés instantanés.
Collecte
- Cibles KAPE :
RegistryHivesSystem(ruche SOFTWARE) etEventLogs(WLAN-AutoConfig). Aucune cible standard ne collecte les fichiers XML deWlansvc\Profiles: copiez-les explicitement. - Velociraptor (
Windows.Triage.Targets) :RegistryHivesSystem,EventLogs; collectezProgramData\Microsoft\Wlansvc\Profilesà part, par exemple avecWindows.Search.FileFinder. - Commandes natives :
reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Profiles" /s
netsh wlan show profiles
wevtutil qe Microsoft-Windows-WLAN-AutoConfig/Operational /q:"*[System[(EventID=8001)]]" /f:text /c:20
Outils d'analyse
- Registry Explorer / RECmd (Eric Zimmerman) : décode les valeurs SYSTEMTIME et relie profils et signatures.
- RegRipper : plugin
networklist. - WifiHistoryView (NirSoft) : historique des connexions Wi-Fi d'après le journal WLAN.
Conseils d'investigation
- Faites correspondre le
L2ProfileIdde SRUM auProfileNamepour montrer qu'un gros envoi a eu lieu pendant que le portable était sur un point d'accès personnel, pas sur le réseau de l'entreprise. - Les SSID d'hôtels, d'aéroports et de cafés confirment un déplacement et le fuseau horaire à appliquer aux artefacts en heure locale.
- Un nouveau profil créé peu avant un incident (point d'accès d'un téléphone, SSID inconnu) peut expliquer comment des données sont sorties sans passer par le proxy de l'entreprise.
- Utilisez
DefaultGatewayMacpour distinguer deux réseaux portant le même SSID générique.
Artefacts liés
- SRUM (System Resource Usage Monitor)Fiche SRUM : tables et GUID de SRUDB.dat, octets réseau et temps CPU par application, enregistrements horaires UTC, rétention de 30 à 60 jours, réparation ESE.
- Journaux d'événements Windows (EVTX)Fiche des journaux d'événements Windows : emplacements EVTX, ID indispensables (connexions, processus, services, effacement), rétention, audit et outils.
- Ruches du registreFiche ruches du registre : SYSTEM, SOFTWARE, SAM, SECURITY, NTUSER.DAT, UsrClass.dat, journaux de transactions, RegBack, LastWrite et collecte.
- Artefacts des navigateurs (Chrome, Edge, Firefox)Fiche navigateurs : fichiers de profil Chromium et Firefox, tables History et places.sqlite, horodatages WebKit et PRTime, téléchargements, cookies, cache.
- Journaux du pare-feu WindowsFiche pare-feu Windows : format et réglages de pfirewall.log, événements de règles 2004-2006, audit WFP 5156/5157, règles dans le registre et abus de netsh.
Termes du glossaire
- UTC et heure locale dans les artefacts WindowsPourquoi certains artefacts Windows enregistrent l'UTC et d'autres l'heure locale, et comment la clé TimeZoneInformation aide à normaliser une chronologie.
- LastWrite d'une clé de RegistreL'unique FILETIME stocké dans chaque clé de Registre, qui indique en UTC la dernière modification de la clé ou de l'une de ses valeurs.