Glossaire
Ruche du Registre
Un fichier sur disque qui supporte une partie du Registre Windows, comme `SYSTEM`, `SOFTWARE` ou `NTUSER.DAT`.
Une ruche du Registre (registry hive) est un fichier unique sur disque qui stocke une branche du Registre Windows. Bien que le Registre apparaisse à l'utilisateur comme un arbre unifié, il est physiquement réparti en plusieurs ruches chargées et mappées en mémoire au démarrage ou à l'ouverture de session.
Les ruches système — SYSTEM, SOFTWARE, SAM et SECURITY — se trouvent dans C:\Windows\System32\config. Les paramètres propres à chaque utilisateur sont conservés dans NTUSER.DAT et UsrClass.dat au sein de chaque profil. Chaque ruche est accompagnée de journaux de transactions (les fichiers .LOG, .LOG1 et .LOG2) qui enregistrent les modifications en attente afin que la ruche puisse être récupérée après un plantage.
Pour l'enquêteur, les ruches constituent une preuve riche : elles consignent les logiciels installés, l'activité utilisateur, les entrées de démarrage automatique, les périphériques connectés et la configuration. Les outils analysent les fichiers de ruche bruts hors ligne, et les journaux de transactions peuvent révéler des modifications non encore inscrites dans la ruche principale.
Artefacts concernés
- Amcache.hveFiche Amcache.hve : clés d'inventaire des fichiers et programmes, SHA-1, métadonnées PE, horodatages, et pourquoi une entrée ne prouve pas l'exécution.
- DPAPI et Gestionnaire d'identifiantsFiche DPAPI et Gestionnaire d'identifiants : clés maîtresses, coffre Windows, secrets stockés, prérequis de déchiffrement hors ligne et traces de vol.
- Périphériques Bluetooth appairésFiche Bluetooth : clés BTHPORT des appareils appairés, adresses MAC et noms, dates LastSeen/LastConnected, BTHENUM, journaux et transferts fsquirt.
- Persistance IFEO et WinlogonFiche IFEO et Winlogon : détournement par Debugger, GlobalFlag et SilentProcessExit, porte dérobée sticky keys, Userinit/Shell, Notify, AppInit_DLLs.
- Programmes installés (clés Uninstall, MSI, AppX)Fiche programmes installés : clés Uninstall, événements MSI 1033/11707, MSI en cache, paquets AppX, journaux winget et Amcache pour dater les installations.
- Ruche SAM et comptes utilisateursFiche ruche SAM : comptes locaux, RID, dernière connexion et changement de mot de passe, compteurs, groupes, ProfileList et ID d'événements liés aux comptes.
- Ruches du registreFiche ruches du registre : SYSTEM, SOFTWARE, SAM, SECURITY, NTUSER.DAT, UsrClass.dat, journaux de transactions, RegBack, LastWrite et collecte.
- Syscache.hveFiche Syscache.hve : la ruche de Windows 7 / Server 2008 R2 dans System Volume Information qui relie identifiants MFT et SHA-1, et ses limites.