Windows adli izleri: kullanıcı ne yaptı
Prefetch, LNK, atlama listeleri, shellbag, Amcache ve USB geçmişinden bir Windows kullanıcısının hangi programı ne zaman çalıştırdığını, hangi dosyayı açtığını ve hangi aygıtı taktığını çıkarırsın.
Seviye 201 · 18 ders · 15 pratik lab
Dersler
Windows’ta delil haritası
- Windows’ta delil nerede: dosya sistemi, kayıt defteri, olay günlükleri
- Kullanıcı profili klasörleri: AppData, Recent, Desktop
- Windows zaman biçimleri: FILETIME ve saat dilimleri
- Linux’tan Windows izlerini okumak: Eric Zimmerman araçları ve açık kaynak eşdeğerleri
- Kısa görev: imajdaki kullanıcıları ve saat dilimini belirle
Program çalıştırma izleri
- Prefetch: hangi program ne zaman ve kaç kez çalıştı
- Amcache ve Shimcache: çalıştırılan dosyaların kaydı
- UserAssist ve BAM: kullanıcının başlattığı programlar
- SRUM: uygulama başına ağ ve kaynak kullanımı
- Kısa görev: saldırganın çalıştırdığı aracı ve saatini kanıtla
Dosya ve klasör erişimi
- LNK kısayol dosyaları: açılan dosyanın yolu ve diski
- Atlama listeleri: uygulama başına son açılan dosyalar
- Shellbag: kullanıcının gezdiği klasörler
- Geri dönüşüm kutusu: $I ve $R dosyaları
- Kısa görev: silinen gizli belgenin ne zaman açıldığını bul
Aygıtlar ve bitirme
- USB aygıt geçmişi: seri numarası, ilk ve son takılma
- MountedDevices ve birim adlarıyla aygıtı dosyaya bağlamak
- Bitirme görevi: bir çalışanın USB ile veri çıkardığını kanıtla
Pratik lablar
- İmajdaki kullanıcıları ve saat dilimini belirle: Windows imajından kullanıcı profillerini ve sistemin saat dilimini çıkar.
- FILETIME değerini çevir: Üç ham FILETIME değerini UTC'ye ve yerel saate çevir.
- Profil klasörlerinden kullanıcı etkinliği: AppData, Recent ve Desktop klasörlerinden bir kullanıcının son gününü özetle.
- Prefetch'ten çalıştırma sayısını oku: Bir Prefetch dosyasından programın adını, çalışma sayısını ve son çalışma zamanlarını çıkar.
- Amcache ve Shimcache'i karşılaştır: Aynı çalıştırılabilir dosyanın iki kayıttaki izini bul ve hangisinin neyi kanıtladığını yaz.
- Çalıştırılan aracı ve saatini kanıtla: Hazır imajda yetkisiz çalıştırılan aracı Prefetch, Amcache ve Shimcache izleriyle üç yönden kanıtla.
- UserAssist'ten başlatılan programlar: UserAssist girdilerini çöz ve kullanıcının en çok başlattığı beş programı listele.
- BAM ile son çalıştırma zamanı: BAM kayıtlarından kullanıcı başına son çalıştırılan programları ve zamanlarını çıkar.
- SRUM'dan uygulama başına ağ kullanımı: SRUM veritabanından olay gününde en çok veri gönderen uygulamayı ve hacmini bul.
- LNK dosyasından açılan yolu oku: Bir kısayol dosyasından hedef yolu, birim seri numarasını ve zamanları çıkar.
- Geri dönüşüm kutusundaki dosyayı çöz: $I ve $R dosyalarından silinen belgenin özgün yolunu ve silinme zamanını bul.
- Silinen gizli belge ne zaman açıldı: LNK, atlama listesi ve shellbag izlerini birleştirerek silinmiş belgenin ne zaman ve nereden açıldığını kanıtla.
- USB aygıt geçmişini listele: Takılmış USB depolama aygıtlarını üretici, ürün ve seri numarasıyla listele.
- Aygıtı sürücü harfine bağla: MountedDevices ve birim adlarını kullanarak bir USB belleği sürücü harfi ve kullanıcıyla eşleştir.
- USB ile veri çıkarıldığını kanıtla: Karaçam Mobilya vakasında ilk ve son takılma zamanı ile kısayol izlerini birleştirerek hangi dosyaların belleğe kopyalandığını kanıtla.
Kurs hakkında
Prefetch, LNK, atlama listeleri, shellbag, Amcache ve USB geçmişinden bir Windows kullanıcısının hangi programı ne zaman çalıştırdığını, hangi dosyayı açtığını ve hangi aygıtı taktığını çıkarırsın.
Ne öğreneceksin
- Windows’ta delil haritası
- Program çalıştırma izleri
- Dosya ve klasör erişimi
- Aygıtlar ve bitirme
Ön koşullar
Aynı yolun 101 düzeyindeki kurslarını bitirmiş olmak ya da o konuları biliyor olmak yeterlidir.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux masaüstünde geçer; araçlar pencereli arayüzleriyle hazırdır. Kurulum gerekmez, bilgisayar ekranı önerilir.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 201 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.