Nieuws
image

Forensische analyse van het Windows register

dinsdag 18 april 2006, 10:39 door Redactie, 7 reacties

Het Windows register bevat veel informatie dat door forensisch experts als bewijs of hulp in onderzoek naar allerlei zaken gebruikt kan worden. Windows 9x/ME, Windows CE, Windows NT/2000/XP/2003 slaan allemaal hun configuratiegegevens op in het register. Het systeem, gebruikers, applicaties en hardware in Windows maken allemaal gebruik van het register en het wordt continu tijdens gebruik benaderd.

Dit artikel beschrijft de basis en structuur van het Windows XP register, maar ook "data hiding" technieken en registersleutels die van forensische waarde zijn. Wat voor alle aankomende digitale rechercheurs zeker handig is om te weten.

Reacties (7)
18-04-2006, 14:09 door Anoniem
Alsof men bij de KLPD ooit eens naar verborgen code of content heeft
gezocht (behalve last opened document) in de register.
18-04-2006, 14:54 door Anoniem
Door Anoniem
Alsof men bij de KLPD ooit eens naar verborgen code of
content heeft
gezocht (behalve last opened document) in de register.
Dat is een misinterpretatie van het begrip forensics.
Forensische methoden zijn onvergelijkbaar verfijnder dan het
gebruik van bijvoorbeeld een systeemtooltje als 'regedit'.
Ook het gebruik van zogenaamde 'cleaners' die bijvoorbeeld
cookies en tijdelijke bestanden zouden verwijderen laten
vrolijk sporen achter waarbij de inhoud ongeacht filesysteem
opvraagbaar blijft. En dat weet de KLPD ook :)
18-04-2006, 17:01 door Anoniem
daarom heb ik mijn hele documents and settings naar usb stick gedaan
en laat ik hem daarvan lezen... aangezien 99% van alle persoonlijke
dingen daar in staan... in het register staan voornamelijk alleen maar
path's mru's en wat values voor programma instellingen etc.. niet echt iets
waar je veel mee kan kwa bewijs... als ik weg ben leg ik die stick op een
geheime plek... zodra mn pc dan meegenomen wordt kunnen ze fluiten
met hun encase troep ;p ik gebruik zelf geen encryptie meer omdat je dan
wordt gedwongen de sleutel te geven voordat je je pc terugkrijgt, daarom is
dit een betere methode
18-04-2006, 17:13 door Anoniem
Dan moet je denk ik met name bij het Nederlands Forensisch
Instituut te Rijswijk zijn en niet zozeer bij het KLPD.
18-04-2006, 17:20 door Anoniem
Door Anoniem
Door Anoniem
Alsof men bij de KLPD ooit eens naar verborgen code of
content heeft
gezocht (behalve last opened document) in de register.
Dat is een misinterpretatie van het begrip forensics.
Forensische methoden zijn onvergelijkbaar verfijnder dan het
gebruik van bijvoorbeeld een systeemtooltje als 'regedit'.
Ook het gebruik van zogenaamde 'cleaners' die bijvoorbeeld
cookies en tijdelijke bestanden zouden verwijderen laten
vrolijk sporen achter waarbij de inhoud ongeacht filesysteem
opvraagbaar blijft. En dat weet de KLPD ook :)


Onzin, zo'n cleaner doet wel degelijk z'n werk, dat het
sporen van de verwijdering achter laat is wel te zien, maar
als het file op een juiste manier is verwijderd (doormiddel
van een keer of 10 te overschrijven met random data) dan is
het file toch echt weg en kan je het nergens meer terug vinden.
Immers, cookies worden op een bepaalde plaats opgeslagen en
niet nog ergens stiekum verborgen.

Het is een Mythe dat de KLPD en andere overheids
organisaties tools tot hun beschikking hebben die op
mysterieuse wijze data terug halen van een harde schijf waar
opensource tools dat niet kunnen.
19-04-2006, 13:58 door Virtal
Door Anoniem
daarom heb ik mijn hele documents and settings naar usb
stick gedaan
en laat ik hem daarvan lezen... aangezien 99% van alle
persoonlijke
dingen daar in staan...
[...] als ik weg ben leg ik die stick op een
geheime plek... zodra mn pc dan meegenomen wordt kunnen ze
fluiten
met hun encase troep ;p ik gebruik zelf geen encryptie meer
omdat je dan
wordt gedwongen de sleutel te geven voordat je je pc
terugkrijgt, daarom is
dit een betere methode
Mag ik vragen wat je uitspookt, dat je er bewust rekening
mee houdt dat 'ze' je computer mogelijk meenemen voor
forensisch onderzoek?
Daar moet een reden voor zijn.
25-04-2006, 04:02 door tifkap
Door Virtal
Door Anoniem
daarom heb ik mijn hele documents and settings naar usb
stick gedaan
en laat ik hem daarvan lezen... aangezien 99% van alle
persoonlijke
dingen daar in staan...
[...] als ik weg ben leg ik die stick op een
geheime plek... zodra mn pc dan meegenomen wordt kunnen ze
fluiten
met hun encase troep ;p ik gebruik zelf geen encryptie meer
omdat je dan
wordt gedwongen de sleutel te geven voordat je je pc
terugkrijgt, daarom is
dit een betere methode
Mag ik vragen wat je uitspookt, dat je er bewust rekening
mee houdt dat 'ze' je computer mogelijk meenemen voor
forensisch onderzoek?
Daar moet een reden voor zijn.

Mag ik vragen waarom jij encryptie gebruikt? Heb je soms iets
te verbergen? Daar moet een reden voor zijn..

Ik hou ook rekening dat mijn machine ontvreemd wordt, hoewel
ik niet zozeer bang ben voor een forensisch onderzoek, maar voor
ordinare diefstal.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.

Zoeken
search