Изображение


Содержание

1. Введение: Реестр Windows в цифровой криминалистике
2. Что такое реестр Windows и его структура
3. Структура реестра: Hives, Keys, Values
4. Ключевые артефакты для расследований
5. Инструменты для анализа реестра
6. Практические примеры извлечения данных
7. Кейсы расследований
8. Часто задаваемые вопросы
9. Заключение




Введение: Реестр Windows в цифровой криминалистике


Реестр Windows представляет собой централизованную базу данных, которая хранит конфигурационную информацию операционной системы, установленных приложений и пользовательских настроек. Для специалистов по цифровой криминалистике анализ реестра Windows является одним из наиболее важных источников доказательств при расследованиях компьютерных инцидентов.

Значение реестра в расследованиях


Реестр Windows содержит огромное количество информации, которая может быть критически важна для расследований:

История активности пользователя:
- Последние открытые файлы и программы
- История посещенных папок
- Установленные и запущенные приложения
- Подключенные USB устройства
- Сетевые подключения и Wi-Fi сети

Системная информация:
- Конфигурация операционной системы
- Установленное программное обеспечение
- Службы и автозагрузка
- Информация об оборудовании
- Сетевые настройки

Временные метки:
- Время создания и изменения ключей
- Последний доступ к файлам
- История входов в систему
- Время установки программ

Проблема: Сложность анализа реестра


Анализ реестра Windows представляет собой сложную задачу по нескольким причинам:

Техническая сложность:
- Бинарный формат данных
- Сложная иерархическая структура
- Большой объем данных (тысячи ключей)
- Необходимость специальных инструментов

Криминалистические вызовы:
- Понимание значения различных артефактов
- Корреляция данных из разных источников
- Восстановление удаленных ключей
- Анализ временных меток

Решение: Систематический подход к анализу


Эффективный анализ реестра требует:
- Понимания структуры и организации данных
- Знания ключевых артефактов для расследований
- Использования специализированных инструментов
- Методологии извлечения и анализа данных

В этой статье рассмотрены все аспекты анализа системных артефактов реестра Windows для целей цифровой криминалистики.



Что такое реестр Windows и его структура


Реестр Windows (Windows Registry) - это иерархическая база данных, которая хранит конфигурационные данные операционной системы Microsoft Windows и установленных приложений. Реестр был введен в Windows 3.1 и стал основным хранилищем системных настроек с Windows 95.

Основные функции реестра


Хранение конфигурации:
- Параметры операционной системы
- Настройки установленных программ
- Конфигурация оборудования
- Пользовательские настройки

Управление системой:
- Автозагрузка программ
- Службы Windows
- Права доступа
- Политики безопасности

История активности:
- Действия пользователя
- Подключенные устройства
- Сетевые подключения
- Использованные программы

Физическое расположение реестра


Реестр хранится в виде файлов на диске, называемых hives (ульи). Основные файлы реестра находятся в следующих расположениях:

Системные hives:
- `C:\Windows\System32\config\SYSTEM` - конфигурация системы
- `C:\Windows\System32\config\SOFTWARE` - установленное ПО
- `C:\Windows\System32\config\SAM` - база данных пользователей
- `C:\Windows\System32\config\SECURITY` - политики безопасности
- `C:\Windows\System32\config\DEFAULT` - настройки по умолчанию

Пользовательские hives:
- `C:\Users\[Username]\NTUSER.DAT` - настройки пользователя
- `C:\Users\[Username]\AppData\Local\Microsoft\Windows\UsrClass.dat` - классы пользователя

Резервные копии:
- `C:\Windows\System32\config\RegBack\` - автоматические резервные копии

Логическая структура реестра


Реестр организован в виде дерева с корневыми разделами (root keys), которые обозначаются префиксом HKEY:

HKEY_LOCAL_MACHINE (HKLM):
- Содержит системные настройки, общие для всех пользователей
- Включает информацию об оборудовании, программном обеспечении, службах

HKEY_CURRENT_USER (HKCU):
- Содержит настройки текущего пользователя
- Связан с NTUSER.DAT файлом пользователя

HKEY_USERS (HKU):
- Содержит настройки всех пользователей системы
- Каждый пользователь имеет свой подраздел

HKEY_CLASSES_ROOT (HKCR):
- Содержит ассоциации файлов и классов объектов
- Является объединением HKLM\Software\Classes и HKCU\Software\Classes

HKEY_CURRENT_CONFIG (HKCC):
- Содержит текущую конфигурацию оборудования
- Связан с HKLM\System\CurrentControlSet\Hardware Profiles



Структура реестра: Hives, Keys, Values


Понимание структуры реестра критически важно для эффективного анализа. Реестр организован в виде иерархической структуры из нескольких уровней.

Hives (Ульи)


Hives - это основные файлы реестра, которые хранятся на диске. Каждый hive представляет собой отдельный файл, содержащий определенную категорию данных.

SYSTEM hive:
- Хранится в `C:\Windows\System32\config\SYSTEM`
- Содержит конфигурацию системы, драйверы, службы
- Критически важен для анализа загрузки системы и оборудования

SOFTWARE hive:
- Хранится в `C:\Windows\System32\config\SOFTWARE`
- Содержит информацию об установленном ПО, настройках приложений
- Полезен для определения установленных программ и их конфигурации

SAM hive:
- Хранится в `C:\Windows\System32\config\SAM`
- Содержит базу данных пользователей и групп
- Включает хэши паролей (в старых версиях Windows)
- Важен для анализа учетных записей

SECURITY hive:
- Хранится в `C:\Windows\System32\config\SECURITY`
- Содержит политики безопасности и права доступа
- Обычно недоступен для чтения без специальных прав

DEFAULT hive:
- Хранится в `C:\Windows\System32\config\DEFAULT`
- Содержит настройки по умолчанию для новых пользователей

NTUSER.DAT:
- Хранится в профиле каждого пользователя
- Содержит пользовательские настройки и предпочтения
- Включает историю активности пользователя

Registry Keys (Ключи реестра)


Keys - это контейнеры в реестре, которые могут содержать другие ключи или значения. Ключи организованы в виде дерева, аналогично файловой системе.

Структура ключа:
- Путь к ключу: `HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run`
- Каждый ключ может содержать подключи и значения
- Ключи имеют временные метки создания и последнего изменения

Важные системные ключи:
- `HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run` - автозагрузка
- `HKLM\SYSTEM\CurrentControlSet\Services` - службы Windows
- `HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer` - настройки проводника
- `HKCU\Software\Microsoft\Windows\CurrentVersion\Run` - автозагрузка пользователя

Registry Values (Значения реестра)


Values - это данные, хранящиеся в ключах реестра. Каждое значение имеет имя, тип данных и собственно данные.

Типы значений:

REG_SZ (String Value):
- Текстовая строка
- Используется для путей к файлам, имен программ

REG_DWORD (32-bit Number):
- 32-битное число
- Используется для флагов, счетчиков, настроек

REG_QWORD (64-bit Number):
- 64-битное число
- Аналогично REG_DWORD, но для 64-битных значений

REG_BINARY (Binary Data):
- Бинарные данные
- Используется для сложных структур данных

REG_MULTI_SZ (Multi-String):
- Массив строк
- Используется для списков путей, адресов

REG_EXPAND_SZ (Expandable String):
- Строка с переменными окружения
- Переменные типа %SystemRoot% раскрываются при чтении

Временные метки (Timestamps)


Каждый ключ реестра содержит временные метки:
- Last Write Time - время последнего изменения ключа
- Эти метки критически важны для создания timeline событий
- Позволяют определить, когда были установлены программы, изменены настройки



Ключевые артефакты для расследований


Реестр Windows содержит множество артефактов, которые могут быть полезны в расследованиях. Рассмотрим наиболее важные из них.

UserAssist


UserAssist отслеживает запуск программ и открытие файлов пользователем. Данные хранятся в:
hkcu
\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist\{GUID}\Count


Что можно узнать:
- Какие программы запускались
- Сколько раз запускалась программа
- Время первого и последнего запуска
- Имена открытых файлов

Формат данных:
- Данные хранятся в закодированном виде (ROT13)
- Требуется декодирование для чтения
- Современные инструменты автоматически декодируют

Shellbags


Shellbags хранят информацию о просмотренных папках в проводнике Windows. Данные находятся в:
hkcu
\Software\Microsoft\Windows\Shell\Bags

HKCU\Software\Microsoft\Windows\Shell\BagMRU


Что можно узнать:
- Какие папки просматривались
- Размер окон и их расположение
- Время просмотра папок
- Пути к удаленным папкам

RecentDocs


RecentDocs содержит список недавно открытых документов. Расположение:
hkcu
\Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs


Что можно узнать:
- Список недавно открытых файлов
- Типы файлов (по расширению)
- Временные метки доступа
- Пути к файлам

Run Keys (Автозагрузка)


Run Keys определяют программы, которые запускаются автоматически при загрузке системы или входе пользователя.

Системная автозагрузка:
hklm
\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce


Пользовательская автозагрузка:
hkcu
\Software\Microsoft\Windows\CurrentVersion\Run

HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce


Что можно узнать:
- Программы, запускающиеся автоматически
- Возможные вредоносные программы
- Легитимные программы автозагрузки
- Пути к исполняемым файлам

USB Device History


Реестр хранит информацию о подключенных USB устройствах. Ключевые расположения:

USBSTOR:
hklm
\SYSTEM\CurrentControlSet\Enum\USBSTOR


USB:
hklm
\SYSTEM\CurrentControlSet\Enum\USB


Что можно узнать:
- Какие USB устройства подключались
- Серийные номера устройств
- Время первого и последнего подключения
- Имена устройств (флешки, внешние диски)
- Vendor ID и Product ID

Network Connections


Информация о сетевых подключениях хранится в нескольких местах:

Сетевые адаптеры:
hklm
\SYSTEM\CurrentControlSet\Control\Network\{4D36E972-E325-11CE-BFC1-08002BE10318}


Wi-Fi профили:
hklm
\SOFTWARE\Microsoft\WlanSvc\Profiles\Interfaces\{GUID}


Что можно узнать:
- Подключенные сетевые адаптеры
- Wi-Fi сети, к которым подключались
- SSID и пароли Wi-Fi сетей
- Время подключений

Installed Software


Информация об установленном программном обеспечении:

Системное ПО:
hklm
\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall


32-битное ПО на 64-битной системе:
hklm
\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall


Что можно узнать:
- Список установленных программ
- Версии программ
- Даты установки
- Издатели программ
- Пути установки

Last Logged User


Информация о последнем вошедшем пользователе:
hklm
\SOFTWARE\Microsoft\Windows\CurrentVersion\Authentication\LogonUI\LastLoggedOnUser


Что можно узнать:
- Имя последнего пользователя
- Домен (если применимо)
- Время последнего входа

TimeZone Information


Информация о часовом поясе системы:
hklm
\SYSTEM\CurrentControlSet\Control\TimeZoneInformation


Что можно узнать:
- Текущий часовой пояс
- Историю изменений часового пояса
- Настройки летнего времени



Инструменты для анализа реестра


Для эффективного анализа реестра Windows используются специализированные инструменты. Рассмотрим наиболее популярные и функциональные из них.

RegRipper


RegRipper - это инструмент командной строки для извлечения данных из реестра Windows. Разработан Харланом Карви (Harlan Carvey) и является одним из наиболее популярных инструментов для registry forensics.

Возможности:
- Извлечение данных с помощью плагинов
- Более 200 плагинов для различных артефактов
- Поддержка анализа offline реестра
- Генерация отчетов в различных форматах

Использование:
bash
<h2 id="bazovoe-ispolzovanie">Базовое использование</h2>

rip.exe -r C:\Windows\System32\config\SOFTWARE -p userassist



<h2 id="analiz-vseh-plaginov">Анализ всех плагинов</h2>

rip.exe -r C:\Windows\System32\config\SOFTWARE -a



<h2 id="sohranenie-otcheta">Сохранение отчета</h2>

rip.exe -r C:\Windows\System32\config\SOFTWARE -p userassist -f report.txt


Популярные плагины:
- `userassist` - анализ UserAssist
- `shellbags` - анализ Shellbags
- `usbstor` - история USB устройств
- `run` - автозагрузка
- `networklist` - сетевые подключения

Registry Explorer


Registry Explorer (ранее Registry Viewer) - это графический инструмент от Eric Zimmerman для анализа реестра Windows. Предоставляет удобный интерфейс для просмотра и анализа данных реестра.

Возможности:
- Графический интерфейс для просмотра реестра
- Поиск по ключам и значениям
- Экспорт данных в различные форматы
- Анализ временных меток
- Поддержка анализа offline реестра

Особенности:
- Автоматическое декодирование UserAssist
- Визуализация Shellbags
- Анализ временных меток ключей
- Экспорт в CSV, JSON, XML

Windows Registry Recovery


Windows Registry Recovery - коммерческий инструмент для восстановления и анализа реестра Windows. Поддерживает восстановление удаленных ключей и значений.

Возможности:
- Восстановление удаленных ключей реестра
- Анализ поврежденного реестра
- Экспорт данных в различные форматы
- Поиск по содержимому

FTK Registry Viewer


FTK Registry Viewer - инструмент от AccessData, входящий в комплект FTK (Forensic Toolkit). Предоставляет расширенные возможности для анализа реестра.

Возможности:
- Просмотр структуры реестра
- Поиск и фильтрация данных
- Анализ временных меток
- Экспорт отчетов

Registry Decoder


Registry Decoder - веб-инструмент для анализа реестра Windows. Позволяет загружать файлы реестра и анализировать их через браузер.

Возможности:
- Веб-интерфейс для анализа
- Поддержка различных форматов
- Автоматическое извлечение артефактов
- Генерация отчетов

Сравнительная таблица инструментов


ИнструментТипСтоимостьОсобенности
RegRipperCLIБесплатныйМножество плагинов, автоматизация
Registry ExplorerGUIБесплатныйУдобный интерфейс, декодирование
Windows Registry RecoveryGUIПлатныйВосстановление удаленных данных
FTK Registry ViewerGUIПлатныйИнтеграция с FTK
Registry DecoderWebБесплатныйВеб-интерфейс, облачный анализ

Практические примеры извлечения данных


Рассмотрим практические примеры извлечения и анализа данных из реестра Windows.

Пример 1: Анализ UserAssist с помощью RegRipper


Задача: Определить, какие программы запускал пользователь и когда.

Шаги:

1. Извлечение файла реестра:
- Скопировать `C:\Users\[Username]\NTUSER.DAT` на рабочую станцию
- Убедиться, что файл не заблокирован системой

2. Анализ с RegRipper:
bash
rip.exe -r NTUSER.DAT -p userassist -f userassist_report.txt


3. Интерпретация результатов:
- RegRipper автоматически декодирует данные UserAssist
- Отчет содержит список программ с количеством запусков
- Временные метки показывают первый и последний запуск

Пример вывода:
userassist
{75048700-EF1F-11D0-9888-006097DEACF9}

    UEME_RUNPATH:C:\Program Files\Google\Chrome\Application\chrome.exe

      Run Count: 45

      Last Run: 2026-01-15 14:23:12

      Focus Count: 120

      Focus Time: 3600000


Пример 2: Анализ истории USB устройств


Задача: Определить, какие USB устройства подключались к компьютеру.

Шаги:

1. Анализ USBSTOR ключа:
bash
rip.exe -r SYSTEM -p usbstor -f usb_report.txt


2. Интерпретация данных:
- Отчет содержит список всех USB устройств
- Серийные номера устройств
- Временные метки подключений

Пример вывода:
usbstor
Disk&Ven_SanDisk&Prod_Cruzer&Rev_1.00

    Serial: 4C530001030812115629

    First Install: 2024-12-10 09:15:30

    Last Install: 2024-12-10 09:15:30

    Last Write: 2024-12-10 09:15:30


Пример 3: Анализ автозагрузки


Задача: Найти программы, запускающиеся автоматически при загрузке системы.

Шаги:

1. Анализ Run ключей:
bash
rip.exe -r SOFTWARE -p run -f autorun_report.txt

rip.exe -r NTUSER.DAT -p run -f user_autorun_report.txt


2. Проверка подозрительных записей:
- Сравнить список с известными легитимными программами
- Проверить пути к исполняемым файлам
- Проанализировать временные метки установки

Пример 4: Анализ Shellbags с Registry Explorer


Задача: Определить, какие папки просматривал пользователь.

Шаги:

1. Открытие файла реестра в Registry Explorer:
- File → Open Hive
- Выбрать NTUSER.DAT

2. Переход к Shellbags:
- Навигация к `Software\Microsoft\Windows\Shell\Bags`
- Просмотр структуры папок

3. Анализ данных:
- Registry Explorer автоматически декодирует пути
- Показывает временные метки просмотра
- Визуализирует структуру папок

Пример 5: Восстановление удаленных ключей


Задача: Попытаться восстановить удаленные ключи реестра.

Методы:

1. Анализ нераспределенного пространства:
- Использовать инструменты восстановления файлов
- Поиск сигнатур реестра в нераспределенном пространстве

2. Анализ резервных копий:
- Проверить папку `C:\Windows\System32\config\RegBack`
- Сравнить текущий реестр с резервными копиями

3. Анализ файла подкачки:
- Реестр может быть скопирован в файл подкачки
- Поиск данных реестра в pagefile.sys



Кейсы расследований


Рассмотрим реальные сценарии использования анализа реестра в расследованиях.

Кейс 1: Расследование утечки данных


Ситуация: Подозрение на утечку конфиденциальных данных через USB устройство.

Анализ реестра:

1. Проверка истории USB устройств:
- Использование RegRipper плагина `usbstor`
- Обнаружено подключение USB флешки 15 января 2026 в 14:30

2. Анализ RecentDocs:
- Обнаружены недавно открытые конфиденциальные документы
- Временные метки совпадают с подключением USB устройства

3. Анализ Shellbags:
- Определены папки, которые просматривались перед копированием
- Восстановлена последовательность действий пользователя

Результат: Установлена связь между просмотром конфиденциальных файлов и подключением USB устройства, что подтвердило подозрения в утечке данных.

Кейс 2: Обнаружение вредоносного ПО


Ситуация: Подозрение на наличие вредоносного ПО в системе.

Анализ реестра:

1. Проверка автозагрузки:
- Анализ Run ключей показал подозрительную запись
- Программа запускается из временной папки пользователя

2. Анализ UserAssist:
- Обнаружены множественные запуски подозрительной программы
- Временные метки указывают на установку в нерабочее время

3. Анализ установленного ПО:
- Программа не отображается в списке установленных программ
- Это указывает на попытку скрыть наличие вредоносного ПО

Результат: Обнаружено вредоносное ПО, которое пыталось скрыть свое присутствие в системе.

Кейс 3: Восстановление timeline событий


Ситуация: Необходимость восстановить последовательность событий на компьютере.

Анализ реестра:

1. Сбор временных меток:
- Извлечение временных меток из всех ключевых артефактов
- UserAssist, Shellbags, RecentDocs, USB история

2. Создание timeline:
- Объединение данных из различных источников
- Сортировка по временным меткам
- Корреляция с другими источниками данных (логи, файловая система)

3. Анализ последовательности:
- Восстановлена последовательность действий пользователя
- Определены временные окна активности
- Выявлены аномалии в поведении

Результат: Создан детальный timeline событий, который помог понять последовательность действий и выявить подозрительную активность.



Часто задаваемые вопросы


Можно ли анализировать реестр на работающей системе?


Да, можно анализировать реестр на работающей системе, но для криминалистических целей рекомендуется работать с копиями файлов реестра. На работающей системе реестр постоянно изменяется, что может исказить результаты анализа. Для расследований лучше использовать образы дисков или скопированные файлы реестра.

Как извлечь файлы реестра для анализа?


Файлы реестра можно извлечь несколькими способами:
1. Из образа диска: Использовать инструменты типа FTK Imager или Autopsy для извлечения файлов из образа
2. С работающей системы: Скопировать файлы из `C:\Windows\System32\config\` (требуются права администратора)
3. Через реестр: Использовать команду `reg save` для сохранения отдельных разделов реестра

Что делать, если реестр поврежден?


Поврежденный реестр можно попытаться восстановить:
1. Использовать резервные копии из `C:\Windows\System32\config\RegBack`
2. Применить инструменты восстановления реестра
3. Проанализировать нераспределенное пространство на диске
4. Использовать специализированные инструменты типа Windows Registry Recovery

Как интерпретировать временные метки реестра?


Временные метки реестра показывают время последнего изменения ключа. Важно понимать:
- Last Write Time - время последнего изменения ключа
- Временные метки могут быть изменены вредоносным ПО
- Необходимо коррелировать с другими источниками данных
- Учитывать часовой пояс системы при анализе

Какие артефакты наиболее важны для расследований?


Наиболее важные артефакты зависят от типа расследования:
- UserAssist - для анализа активности пользователя
- USB история - для определения подключенных устройств
- Автозагрузка - для обнаружения вредоносного ПО
- Shellbags - для восстановления просмотренных папок
- RecentDocs - для определения недавно открытых файлов

Можно ли восстановить удаленные ключи реестра?


Восстановление удаленных ключей реестра возможно, но сложно:
- Ключи могут быть восстановлены из нераспределенного пространства
- Резервные копии реестра могут содержать удаленные данные
- Файл подкачки может содержать копии данных реестра
- Требуются специализированные инструменты и методы



Заключение


Анализ реестра Windows является критически важным компонентом цифровой криминалистики. Реестр содержит огромное количество информации о системе, пользователях и их активности, что делает его ценным источником доказательств при расследованиях.

Ключевые выводы:

1. Реестр Windows хранит множество системных артефактов, полезных для расследований
2. Понимание структуры реестра (hives, keys, values) необходимо для эффективного анализа
3. Специализированные инструменты (RegRipper, Registry Explorer) значительно упрощают анализ
4. Корреляция данных из различных артефактов позволяет восстановить полную картину событий
5. Временные метки реестра критически важны для создания timeline событий

Рекомендации:

- Регулярно практиковаться в анализе реестра на тестовых системах
- Изучать новые артефакты и методы анализа
- Использовать комбинацию инструментов для комплексного анализа
- Документировать все находки и методы анализа
- Коррелировать данные реестра с другими источниками доказательств

Правильный анализ реестра Windows может предоставить ценную информацию для расследований и помочь восстановить последовательность событий на компьютере.

---

**⚠️ Дисклеймер:** Статья носит информационно-образовательный характер и не содержит инструкций для совершения противоправных действий.