Journaux de transactions du Registre (.LOG1/.LOG2)

Chaque fichier de ruche du Registre est accompagné de journaux de transactions qui le protègent contre la corruption. Windows écrit d'abord les modifications dans le journal, puis dans le fichier principal de la ruche, ce qui permet de reprendre une écriture interrompue. Windows XP utilisait un seul fichier .LOG ; Windows Vista et les versions suivantes en utilisent deux, .LOG1 et .LOG2, par exemple SYSTEM.LOG1 ou NTUSER.DAT.LOG2.

Windows 8.1 et Windows Server 2012 R2 ont introduit un nouveau format de journal et modifié la stratégie d'écriture. Une modification est considérée comme validée dès qu'elle est inscrite dans le journal, et son report dans le fichier principal peut être différé, jusqu'à environ une heure selon la spécification publiée du format. Une ruche copiée depuis le disque peut donc être « sale » (dirty) : les clés et valeurs récentes n'existent que dans les journaux. On détecte une ruche sale lorsque la somme de contrôle du bloc de base est incorrecte ou que ses numéros de séquence primaire et secondaire ne concordent pas.

Pour l'enquêteur, cela a deux conséquences :

• Collectez toujours les fichiers .LOG1 et .LOG2 avec chaque ruche, y compris NTUSER.DAT et UsrClass.dat.
• Rejouez les journaux avant l'analyse. Des outils comme Registry Explorer et RECmd peuvent les appliquer pour produire une ruche propre.

Omettre cette étape peut masquer l'activité la plus récente, comme une nouvelle entrée de persistance. Voir Ruches du Registre pour les emplacements et la collecte.