Windows kayıt defteri adli analizi, işletim sisteminin yapılandırma ve durum bilgisini tuttuğu hiyerarşik veri tabanını çözümleyerek saldırgan etkinliği ve sistem geçmişine dair kanıt çıkarma işidir. Kayıt defteri; hangi programların kurulu olduğundan hangi cihazların takıldığına, hangi kullanıcının ne zaman oturum açtığından bir uygulamanın en son ne zaman çalıştırıldığına kadar sistemin işleyişine dair muazzam bir iz birikimi barındırır.

Kayıt defteri, bir Windows sisteminde neyin kurulduğunu, neyin çalıştığını ve neyin kalıcı kılındığını kaydeden merkezi bir hafızadır.

Kayıt Defteri Neyi Saklar?

Kayıt defteri, kovan (hive) adı verilen dosyalarda diskte saklanır ve her kovan farklı bir kapsamı temsil eder: sistem genelindeki ayarlar, kullanıcıya özel tercihler, güvenlik hesapları ve yazılım yapılandırmaları ayrı kovanlarda tutulur. Adli açıdan bu kovanlar, bir olayın izlerini birçok farklı açıdan doğrulamaya imkân tanır; çünkü aynı etkinlik çoğu zaman birden fazla anahtarda farklı biçimlerde iz bırakır.

Analist için en değerli anahtarlar, kullanıcı ve saldırgan davranışını gösterenlerdir. Takılan USB cihazlarının kaydı, son çalıştırılan programlar, açılan dosya ve klasörler, ağ bağlantıları ve otomatik başlatma girdileri bunların başında gelir. Her anahtarın taşıdığı “son yazılma zamanı” bilgisi, bir değişikliğin ne zaman yapıldığına dair ek bir zaman çapası sunar. Bu anahtarların normal ile anormal değerleri, sistemin sağlıklı halini bilen bir gözle ayırt edildiğinde saldırgan izleri belirginleşir; bu da genel kayıt defteri güvenliği bilgisinin adli incelemeye doğrudan katkı verdiği bir noktadır.

Saldırgan İzleri

Saldırganlar için kayıt defteri hem bir hedef hem de bir araçtır. Bir zararlının sistem her açıldığında yeniden çalışmasını sağlamak, yani kalıcılık kurmak için en sık başvurulan yerlerden biri, otomatik başlatma anahtarlarıdır. Bu yüzden analist, sistem açılışında hangi programların otomatik çalıştığını gösteren anahtarları özellikle inceler ve buraya yerleştirilmiş şüpheli girdileri arar.

• Kalıcılık: sistem açılışında ya da kullanıcı oturumunda otomatik çalışan program girdileri.
• Program çalıştırma izleri: bir uygulamanın en son ne zaman ve kaç kez çalıştırıldığını gösteren kayıtlar.
• Cihaz geçmişi: sisteme takılmış USB ve harici depolama birimlerinin markası, seri numarası ve ilk/son bağlanma zamanı.
• Kullanıcı etkinliği: son açılan dosyalar, yazılan yollar ve bağlanılan ağ paylaşımları.

Bu izlerin yorumlanmasında dikkatli olmayı gerektiren bir nokta, saldırganların kendi kayıtlarını silerek ya da zaman damgalarını değiştirerek geride bıraktıkları izi bozmaya çalışabilmesidir. Silinmiş bir anahtarın kovanın kullanılmayan alanından geri getirilebilmesi ya da bir zaman damgasındaki tutarsızlığın fark edilmesi, kanıt karartmayı amaçlayan anti-forensic teknikler karşısında incelemeye direnç kazandırır.

İncelemedeki Yeri

Kayıt defteri, çoğu Windows incelemesinde bir olayın iskeletini kurmak için başvurulan ilk kaynaklardan biridir; çünkü kullanıcının ne yaptığını, saldırganın nasıl tutunduğunu ve sisteme nelerin bağlandığını tek bir yapıda bir araya getirir. Genel adli bilişim sürecinde bu bulgular, disk ve bellek gibi diğer kaynaklarla çapraz doğrulanarak tek bir anahtara aşırı güvenmenin yanıltıcılığından kaçınılır.

Kayıt defterinden çıkan zaman çizelgesi ve kalıcılık bulguları, olayın nasıl geliştiğini anlatan daha geniş bir DFIR adli analiz ve olay müdahalesi anlatısının parçası olur. Privia Security, kayıt defteri kovanlarından saldırgan izlerini delil değeriyle çıkarma işini adli analiz hizmeti kapsamında yürütür.