02 · Registre
Forensique du Registre Windows : ruches, clés et méthode
Le Registre Windows en forensique : ruches, journaux de transactions, ControlSet, limites du LastWrite, clés supprimées, clés utiles et traitement avec RECmd.
Domaine 02
Registre
Le registre est la source de preuves la plus dense d'un poste Windows. Ce domaine explique quelle ruche contient quoi, comment rejouer les journaux de transactions sur des ruches « sales », ce que les dates de dernière écriture prouvent ou non, et quelles clés répondent aux questions classiques sur le système et ses utilisateurs.
Sources clés
- SYSTEM
- NTUSER.DAT
- UsrClass.dat
Guides de ce domaine
Fiches artefacts
Emplacement selon la version de Windows, ce que prouve chaque artefact, ses horodatages et les outils pour l'analyser.
- Ruches du registreFiche ruches du registre : SYSTEM, SOFTWARE, SAM, SECURITY, NTUSER.DAT, UsrClass.dat, journaux de transactions, RegBack, LastWrite et collecte.
- Ruche SAM et comptes utilisateursFiche ruche SAM : comptes locaux, RID, dernière connexion et changement de mot de passe, compteurs, groupes, ProfileList et ID d'événements liés aux comptes.
- UserAssistFiche UserAssist : clés GUID de NTUSER.DAT, noms en ROT13, nombre d'exécutions, temps au premier plan et dernière exécution des programmes lancés.
- RunMRUFiche RunMRU : commandes saisies dans la boîte Exécuter (Win+R) dans NTUSER.DAT, ordre MRUList, sens du LastWrite et motifs LOLBin ou UNC à rechercher.
- RecentDocsFiche RecentDocs : clé de NTUSER.DAT et sous-clés par extension, ordre MRUListEx, sens du LastWrite et rapprochement des entrées avec les fichiers LNK.
- TypedPaths et WordWheelQueryFiche TypedPaths et WordWheelQuery : chemins saisis dans la barre d'adresse et recherches de l'Explorateur dans NTUSER.DAT, ordre, horodatages, conseils.
- Profils réseau (NetworkList)Fiche NetworkList : profils réseau, SSID, adresses MAC de passerelle, première et dernière connexion (heure locale), profils WLAN et événements WLAN.
- Programmes installés (clés Uninstall, MSI, AppX)Fiche programmes installés : clés Uninstall, événements MSI 1033/11707, MSI en cache, paquets AppX, journaux winget et Amcache pour dater les installations.
- Périphériques Bluetooth appairésFiche Bluetooth : clés BTHPORT des appareils appairés, adresses MAC et noms, dates LastSeen/LastConnected, BTHENUM, journaux et transferts fsquirt.
- Artefacts de stratégie de groupeFiche stratégie de groupe : SYSVOL, Registry.pol, mots de passe GPP, historique côté client et journaux, et comment les attaquants détournent les GPO.