윈도우 레지스트리로부터 PC 사용자의 정보를 추출하기．

http://blog.naver.com/jb8917/120178594220

Registry

setupapi에 대한 MSDN의 설명

Setupapi.log의 세부적인 로그 메시지

레지스트리에서 USB의 정보를 역으로 추출하는 프로그램

※ 포렌식이란

- 범죄현장에 대해서 객관적인 자료 수집과 수집한 자료를 통해서 사건의 증거자료나 원인 등을 분석 후 사법기관에 제출 할 수 있는 보고서와 제출용 자료를 만드는 방법

 -> 전자기기들을 하나의 증거물에서 범죄현장 그 자체로 인식하는 것을 디지탈 포렌식이라 한다.

- 디지털 형태로 정보를 저장하는 모든 기기를 대상으로 조사하는 것을 디지털 포렌식 , 컴퓨터 포렌식의 대상은 오직 컴퓨터에 한정되며, 사이버 포렌식은 컴퓨터 포렌식과 거의 유사하지만 컴퓨터와 네트워크의 결합을 말한다.

 -> 디지털 포렌식 ⊃ 컴퓨터 포렌식 ⊇ 사이버 포렌식

- 컴퓨터 포렌식은 OS , 네트워크 , 서버 , e-Discovery 에 따라서 여러 종류로 나눠진다.

※ 라이브 리스폰스

- 휘발성 정보(Volatile Data)를 수집 및 분석하는 방법 ( 비휘발성 정보도 물론 수집한다 )

- 컴퓨터가 꺼져있는 상태라면 라이브 리스폰스 작업을 할 수가 없다. ( 꺼져있는 컴퓨터를 다시 켜서 작업을 실행하는 것은 범죄현장의 증거물을 변화시키지 않는 기본 원칙에 위반된다. )

    *휘발성 정보 : 시스템 시간, 네트워크 연결정보, 로그온 사용자정보 등등 컴퓨터가 꺼지거나 로그오프되면 사라지는 정보를 말한

중요성

① 휘발성 정보에서만 얻을 수 있는 Data가 존재한다.

② 시스템의 대략적인 상태를 파악하여 조사 방향을 잡는데 밑거름을 제공한다.

③ 서버컴퓨터와 같이 작동을 정지하면 안되는 컴퓨터를 조사할 때 유용하다 ( 금전적 손실 방지 )

@라이브 리스폰스는 항상 해야 좋지만 수행해서 안되는 경우가 있다.

① 비휘발성 저장장치에서 증거의 수정 및 삭제가 일어나는 경우( 디스크포맷 , 안전삭제 등 )

    범죄자가 침입한 상태라면 제한적인 휘발성 정보( 네트워크 연결 정보 , 메모리 덤프를 우선적으로 수집 ) 

   을 빨리 수집한 후 플러그를 OFF시킨다.

   -> 플러그 OFF란 전원 플러그를 뽑는다. 하지만 서버용 OS나 서버 어플리케이션이 설치된 컴퓨터는 정상종료

       ( 데이터의 손실이 심각할 수 있으므로. DB는 큰 문제가 된다. )

② 사용하려는 도구들이 조사하고자 하는 윈도우 버전에서 충분한 검토가 이루어지지 않은 경우. 

    컴퓨터에 어떠한 영향을 주고 그것이 증거의 무결성이 훼손될 가능성이 있으므로.

원칙

- 원본에 미치는 영향을 최소화 한다. ( 로카르드 교환 법칙 )

▶메모리 : 데이터의 수정삭제 ① 프로세스의 실행으로 인한 이전 data의 손실

  ② 커널 오브젝트를 관리하는 시스템 테이블 갱신

▶네트워크 : 네트워크 기능이 있다면 로그파일의 생성으로 인한 이전 로그 삭제와

                     커널 오브젝트에 의해 관리되므로 커널 테이블이 갱신된다.

▶프리패치 : 윈도우는 프로그램 실행시 prefetch라는 파일이 생선된다 -> 프리패치파일의 삭제가 일어난다.

▶레지스트리 : 레지스트리 접근 - 하이브 파일의 접근 시간 갱신

                          레지스트리 쓰기작업 : 레지스트리 키의 마지막 쓰기 시간 변경

▶DLL(Dynamic Link Library) : 정적 링킹(static linking)으로 컴파일 되지 않는

                                                프로그램은 외부함수를 이용하려면 DLL이 필요

                                                - > 접근시 접근 시간 갱신

            *DLL은 크게 상관 없지만 해커나 악성프로그램에 의해 교체됐다면 문제발생

▶로그파일 : 도구의 에러, 이벤트 로그 등으로 기록을 남김 -> 기록의 삭제,수정

포렌식 개론 - 1                    http://boanin.tistory.com/48
포렌식 개론  -2                    http://boanin.tistory.com/62
포렌식 - 파일시스템                 http://boanin.tistory.com/78
포렌식 - 윈도우포렌식1              http://boanin.tistory.com/85