Презентация на тему: Криминалистический анализ реестра операционной системы Windows

Реклама. Продолжение ниже
Криминалистический анализ реестра операционной системы Windows.
РЕЕСТР ОС Windows
Криминалистический анализ реестра операционной системы Windows.
Криминалистический анализ реестра операционной системы Windows.
Реестр выполняет следующие основные функции:
Криминалистический анализ реестра операционной системы Windows.
Криминалистический анализ реестра операционной системы Windows.
Криминалистический анализ реестра операционной системы Windows.
РЕЕСТР ОС Windows
Ключи реестра
HKEY_CLASSES_ROOT
HKEY_USERS
HKEY_CURRENT_USER
HKEY_LOCAL_MACHINE
HKEY_LOCAL_MACHINE
HKEY_CURRENT_CONFIG
Криминалистический анализ реестра операционной системы Windows.
Криминалистический анализ реестра операционной системы Windows.
Работа с реестром
MiTEC Windows Registry Recovery
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\Folders
Изменения в реестре
Криминалистически значимые области реестра
Криминалистический анализ реестра операционной системы Windows.
2. Запрет на использование USB накопителя
3. Подключенные через USB накопители
4. Устройства USB
driverslab.ru
5. ВременнЫе метки
Обнаружение метки
Экспорт
6. Иные сведения
Криминалистический анализ реестра операционной системы Windows.
Криминалистический анализ реестра операционной системы Windows.
Криминалистический анализ реестра операционной системы Windows.
Криминалистический анализ реестра операционной системы Windows.
Криминалистический анализ реестра операционной системы Windows.
Криминалистический анализ реестра операционной системы Windows.
Криминалистический анализ реестра операционной системы Windows.
Криминалистический анализ реестра операционной системы Windows.
Криминалистический анализ реестра операционной системы Windows.
Криминалистический анализ реестра операционной системы Windows.
1/42
Средняя оценка: 4.4/5 (всего оценок: 79)
Код скопирован в буфер обмена
Скачать (1849 Кб)
Реклама. Продолжение ниже
1

Первый слайд презентации: Криминалистический анализ реестра операционной системы Windows

Изображение слайда
1/1
2

Слайд 2: РЕЕСТР ОС Windows

Реестр – это компонент операционной системы компьютера, который в иерархической базе данных хранит важнейшие установки и информацию о приложениях, системных операциях и пользовательской конфигурации.

Изображение слайда
1/1
3

Слайд 3

Регистрационная база данных (Registration Database) Windows, в первую очередь является базой данных параметров операционной системы, приложений и драйверов оборудования. Реестр содержит огромный объем информации, начиная с параметров учетных записей пользователя и заканчивая цветами рабочего стола.

Изображение слайда
1/1
4

Слайд 4

До создания Реестра Microsoft использовала обычные текстовые файлы для управления системой. В MS-DOS конфигурация системы контролировалась двумя следующими файлами: • Config.sys содержал конфигурационную информацию, необходимую для функ­ционирования MS-DOS. В основном, это были общие параметры оборудования, используемого различными приложениями, например работа верхней и нижней памяти. • Autoexec.bat был пакетным файлом, служившим для выполнения процедур ав­тозагрузки.

Изображение слайда
1/1
5

Слайд 5: Реестр выполняет следующие основные функции:

Отслеживает все системные устройства и их установки, включая такие ресурсы, как запросы на прерывания ( IRQ ) и номера каналов прямого доступа памяти ( DMA ). Работает как база данных, которая унифицирует функционирование приложений. Проверяет наличие необходимых драйверов для инсталируемого оборудования. При добавлении нового переферийного устройства  Диспетчер конфигурации (Configuration manager)  операционной системы помещает конфигурационные данные устройства в реестр. Предоставляет системные сервисы, которые необходимы для работы многих приложений. Обеспечивает запуск необходимого приложения при щелчке мышью. Сохраняет информацию относящуюся к системным правилам, профилям пользователей и средствам администрирования.

Изображение слайда
1/1
6

Слайд 6

П риложения MS-DOS самостоятельно регулировали все свои параметры и совместное с другими приложениями использование таких устройств, как принтер и звуковая карта. Параметры хранились в текстовых файлах, называемых файлами инициализации (.INI).

Изображение слайда
1/1
7

Слайд 7

Program.ini - содержал параметры Менеджера программ Windows (Windows Program Manager), обеспечивающего графический интерфейс пользователя (graphical user interface - GUI), для работы в Windows. Control.ini - содержал множество пользовательских настроек Windows, включая параметры рабочего стола, звука и принтера. Win.ini -этот файл содержал информацию о визуальном оформлении Windows и параметры установленных приложений. System.ini - содержал параметры конфигурации оборудования и определял, как Windows будет с ним взаимодействовать.

Изображение слайда
1/1
Реклама. Продолжение ниже
8

Слайд 8

С появлением Windows NT на свет появился новый Реестр. 64 кб огра­ничение было снято, и теперь Реестр мог занимать столько места, сколько ему было необ­ходимо. Один файл был заменен несколькими, но при этом сохранилась единая иерархи­ческая структура, объединяющая вместе все записи. С момента появления Windows NT Реестр практически не изменился.

Изображение слайда
1/1
9

Слайд 9: РЕЕСТР ОС Windows

Реестр Windows 2000, XP, 7, 8 хранится в следующих файлах: DEFAULT, SAM, (находятся по адресу SECURITY, С:\ WINDOWS SOFTWARE, \ System 32\ Config ) SYSTEM NTUSER. DAT (по адресу C :\ Documents andSettings \[Профиль пользователя])

Изображение слайда
1/1
10

Слайд 10: Ключи реестра

Изображение слайда
Изображение для работы со слайдом
1/2
11

Слайд 11: HKEY CLASSES ROOT

В основном, HKEY_CLASSES_ROOT (HKCR) обеспечивает совместимость с 16-разрядными приложениями Windows. HKCR содержит информацию об ассоциациях файлов -т.е. какие приложения открывают определенные типы файлов. Более важным для многих людей является то, что HKCR содержит определения всех объектов среды Windows ХР. Ключи, контролирующие эти определения, контролируют информацию о внешнем интерфейсе объекта, как, например, команды, доступные в контекстном меню данного объекта. 32-битные приложения обращаются к этим данным через их копию в подключе Software \ Classess подкаталога HKEY_LOCAL_MACHINE. На самом деле - это не совсем копии, а просто информация, хранящаяся в одном кусте, но рассматриваемая как бы с двух разных точек. Если изменить параметр в одном месте, то он изменится и в другом. В HKCR преобладают два следующих типа ключей: Ключи расширений файлов названы так же, как и представляемые ими расширения (. doc,. txt и так далее). Параметры этих ключей определяют, какие приложения открывают файлы с соответствующим расширением. Эти ключи могут содержать и подключи, контролирующие дополнительные функции, такие как список программ меню Открыть с помощью ( Open With ). Ключи определения класса содержат информацию об объектах, соответствующих Общей модели объектов ( Component Object Model - COM) - модели, позволяющей программистам разрабатывать объекты, доступные всем СОМ - совместимым приложениям. Технологии Внедрения и связывания объектов ( Object Linking and Embedding - OLE) и ActiveX основаны на COM.

Изображение слайда
1/1
12

Слайд 12: HKEY USERS

Содержит информацию, определяемую пользователем (например, пользовательские настройки  рабочего стола ): установки по умолчанию (HKEY_USERS\.DEFAULT) для рабочего стола, меню Пуск ( Start ), приложений и т. д. Когда новый пользователь входит в систему, установки по умолчанию копируются в отдельный подраздел, название которого совпадает с именем пользователя. Все изменения, которые пользователь в дальнейшем произведёт с этими установками сохраняются в этом подразделе.

Изображение слайда
1/1
13

Слайд 13: HKEY CURRENT USER

Пользовательские настройки из HKEY_USERS вступают в силу в процессе входа пользователя в систему. При этом содержимое подраздела HKEY_USERS\name, где name - имя текущего пользователя, или подраздела HKEY_USERS\.DEFAULT копируется в раздел HKEY_CURRENT_USER. Раздел HKEY_CURRENT_USER содержит несколько подразделов: AppEvents  - содержит пути звуковых файлов, используемых для озвучивания системных событий. Control Panel  - содержит различные данные, которые могут быть изменены в панели управления. Display  - содержит пользовательские установки экрана для текущего пользователя (этот подраздел доступен, только если разрешены  пользовательские профили (user profiles) ). I nstallLocationsMRU  - содержит пути, использованные в процессе последней инсталляции. keyboard layout - содержит информацию о раскладке клавиатуры. Текущая раскладка клавиатуры устанавливается с использованием пункта  Клавиатура (Keyboard) панели управления. Network  - содержит подразделы, описывающие постоянные и недавно установленные сетевые соединения, а также состояние сети. RemoteAccess - необязательный подраздел, доступный только в случае, если установлен сервис  удалённого доступа. SOFTWARE  - содержит пользовательские настройки приложений. Этот раздел ссылается на раздел HKEY_LOCAL_MACHINE, в которой также хранятся настройки приложений.

Изображение слайда
1/1
14

Слайд 14: HKEY LOCAL MACHINE

Этот раздел определяет всю информацию, относящуюся к локальному компьютеру, такую как драйверы, установленное программное обеспечение, наименование портов и конфигураций программного обеспечения. Эта информация верна для всех пользователей, подключённых к системе. Состоит из нескольких подразделов: Config  - хранит конфигурацию компьютера. Содержимое данного подраздела обновляется в процессе установки и запуска Windows. Enum  - Windows использует так называемую шинную нумерацию (bus enumeration) для учёта всех установленных компонента оборудования. Данные для этих компонентов хранятся в этом подразделе и используются для построения "дерева оборудования" на вкладке  Устройства (Drevices)  диалога  Система(System), вызываемого из панели управления.

Изображение слайда
1/1
Реклама. Продолжение ниже
15

Слайд 15: HKEY LOCAL MACHINE

Hardware  - содержит установки для последовательных портов доступных на локальном компьютере. Подраздел Description содержит записи для устройств в системе. Network - когда Windows работает в сети, этот подраздел содержит регистрационную информацию пользователя (т.е. имя пользователя, сетевого провайдера, подтверждения регистрации и т.д.) Security  - доступен для сетевых машин и содержит информацию о провайдере безопасности. Software  - вся информация о программах, установленных на компьютере. Подраздел \Classes этого раздела используется для построения раздела HKEY_CLASSES_ROOT. System  - содержит всю необходимую информацию для запуска Windows. Здесь содержится подраздел CurrentControlSet, в котором содержатся подразделы Control и Servicer. Подраздел Control содержит такую информацию, как имя компьютера, параметры файловой системы и т.д.

Изображение слайда
1/1
16

Слайд 16: HKEY CURRENT CONFIG

Этот ключ отвечает за устройство Plug&Play и содержит информацию о текущей конфигурации компьютера с переменным составом аппаратных средств. Установки этого раздела, соответствуют конфигурационным установкам, хранящимся в разделе HKEY_LOCAL_MACHINE\Config

Изображение слайда
1/1
17

Слайд 17

Hardware - соответствует подключу HKLM\Hardware. Данный параметр не имеет своего значения, так как информация об оборудовании не хранится на диске. SAM -соответствует подключу HKLM\SAM. Security - соответствует подключу HKLM\SECURITY. Software - соответствует подключу HKLM\Software. System - соответствует подключу HKLM\System. Default - соответствует подключу HKU \ Default.

Изображение слайда
1/1
18

Слайд 18

Таблица 1 Ключи Реестра и файлы хранения. Куст реестра Файлы HKEY_LOCAL_MACHI N E\SAM Sam, Sam.log, Sam.sav HKEY_LOCAL_MACH!NE\Security Security, Security.log, Security.sav HKEY_LOCAL_MACHINE\Software Software, Software.log, Software.sav HKEY_LOCAL_MACHINE\System System, System.alt, System.log, System.sav HKEY_CURRENT_CONFIG System, System.alt, System.log, System.sav HKEY_CURRENT_USER Ntuser.dat, Ntuser.dat.log HKEY_USERS\. DEFAULT Default, Default.log, Default.sav

Изображение слайда
1/1
19

Слайд 19: Работа с реестром

при обычной работе программа REGEDIT при исследовании отдельного накопителя программа MiTEC Windows Registry Recovery

Изображение слайда
1/1
20

Слайд 20: MiTEC Windows Registry Recovery

Изображение слайда
Изображение для работы со слайдом
1/2
21

Слайд 21: HKEY LOCAL MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\Folders

данные реестра

Изображение слайда
Изображение для работы со слайдом
1/2
22

Слайд 22: Изменения в реестре

Монитор реестра ( RegMon) Изменения в реестре

Изображение слайда
1/1
23

Слайд 23: Криминалистически значимые области реестра

Блокировка/разблокировка записи через порты USB

Изображение слайда
Изображение для работы со слайдом
1/2
24

Слайд 24

Если раздела  StorageDevicePolicies  в резделе   Control   нет, то его необходимо создать. Далее создаём параметр  WriteProtect, тип  dword При значении параметра  WriteProtect  : 1 - режим чтения ( readonly ) 0 - режим записи

Изображение слайда
1/1
25

Слайд 25: 2. Запрет на использование USB накопителя

При значении параметра Start : 4 - блокировка USB накопителя 3 - стандартный режим (без блокировок)

Изображение слайда
Изображение для работы со слайдом
1/2
26

Слайд 26: 3. Подключенные через USB накопители

Изображение слайда
Изображение для работы со слайдом
1/2
27

Слайд 27: 4. Устройства USB

Сведения об устройстве по VID и PID на сайтах: flashboot.ru driverslab.ru

Изображение слайда
Изображение для работы со слайдом
1/2
28

Слайд 28: driverslab.ru

Изображение слайда
Изображение для работы со слайдом
1/2
29

Слайд 29: 5. ВременнЫе метки

Все ключи реестра содержат временную метку (timestamp, last write value), аналогично дате последнего изменения для файлов. Это значение хранится в структуре FILETIME и показывает дату и время того, когда ключ реестра был изменен. Это значение обновляется, когда ключ был создан, изменен или удален. Временная метка есть только у ключей реестра, значения реестра такого поля не содержат.

Изображение слайда
1/1
30

Слайд 30: Обнаружение метки

Изображение слайда
Изображение для работы со слайдом
1/2
31

Слайд 31: Экспорт

Экспортируем ключ реестра в файл формата *. txt

Изображение слайда
Изображение для работы со слайдом
1/2
32

Слайд 32: 6. Иные сведения

Параметр Путь к ключу Название ключа Имя компьютера \ControlSet00X\Control\ ComputerName \Computer Name LENOVO-PC Время последнего выключения компьютера \ControlSet00X\Control\ Windows ShutdownTime Сетевые шары \ControlSet00X\Services\ LanmanServer \Shares Сетевые адаптеры, и их параметры \ControlSet00X\Services\ Tcpip \Parameters\Interfaces Разрешение входящих подключений по протоколу RDP \ControlSet00X\Control\Terminal Server

Изображение слайда
1/1
33

Слайд 33

33 Настройки времени (текущий часовой пояс) \ControlSet00 X \Control\ TimeZoneInformation Раздел реестра HKEY_LOCAL_MACHINE\SYSTEM

Изображение слайда
Изображение для работы со слайдом
Изображение для работы со слайдом
1/3
34

Слайд 34

34 Запрет на входящие подключения по протоколу RDP \ControlSet00 X\Control\Terminal Server Раздел реестра HKEY_LOCAL_MACHINE\SYSTEM

Изображение слайда
Изображение для работы со слайдом
Изображение для работы со слайдом
1/3
35

Слайд 35

35 Сетевые настройки \ControlSet00 X\Services\ Tcpip \Parameters\Interfaces Раздел реестра HKEY_LOCAL_MACHINE\SYSTEM

Изображение слайда
Изображение для работы со слайдом
Изображение для работы со слайдом
1/3
36

Слайд 36

36 Раздел HKEY_LOCAL_MACHINE\S OFTWARE Полный путь к ключу Название ключа Сведения об установленном ПО \Microsoft\Windows NT\ CurrentVersion \ Uninstall - Сведения об установленной ОС \ Microsoft\Windows NT\ CurrentVersion

Изображение слайда
1/1
37

Слайд 37

Сведения об установленной ОС \Microsoft\Windows NT\CurrentVersion

Изображение слайда
Изображение для работы со слайдом
Изображение для работы со слайдом
1/3
38

Слайд 38

Сведения об установленной ОС \Microsoft\Windows NT\CurrentVersion

Изображение слайда
Изображение для работы со слайдом
1/2
39

Слайд 39

39 Сведения об установленном ПО \Microsoft\Windows NT\CurrentVersion \ Uninstall Раздел реестра HKEY_LOCAL_MACHINE\S OFTWARE

Изображение слайда
Изображение для работы со слайдом
Изображение для работы со слайдом
1/3
40

Слайд 40

40 Сведения о об учетных записях в ОС Раздел реестра HKEY_LOCAL_MACHINE\S AM

Изображение слайда
Изображение для работы со слайдом
1/2
41

Слайд 41

Сведения о об учетных записях в ОС Раздел реестра HKEY_LOCAL_MACHINE\S AM

Изображение слайда
Изображение для работы со слайдом
1/2
42

Последний слайд презентации: Криминалистический анализ реестра операционной системы Windows

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU Содержит до 26 записей командной строки

Изображение слайда
1/1
Реклама. Продолжение ниже