Windows kayıt defteri adli incelemesi
Kayıt defteri hive’larını imajdan çıkarır, RegRipper ve kayıt defteri görüntüleyicileriyle kullanıcı etkinliğini, kurulu yazılımları, ağ geçmişini ve kalıcılık anahtarlarını incelersin.
Seviye 301 · 16 ders · 15 pratik lab
Dersler
Kayıt defteri yapısı
- Hive dosyaları: SYSTEM, SOFTWARE, SAM, SECURITY, NTUSER.DAT
- Hive’ları imajdan çıkarmak ve işlem günlükleri (LOG1, LOG2)
- Anahtar son yazma zamanı ve ne anlatır
- RegRipper ile eklentilerle rapor üretmek
- Kısa görev: bilgisayar adı, saat dilimi ve son kapanma zamanını bul
Sistem ve kullanıcı bilgileri
- SAM: yerel hesaplar, son giriş ve parola değişimi
- Kurulu ve kaldırılmış yazılımlar
- Bağlanılan ağlar ve kablosuz profiller
- RecentDocs, MRU listeleri ve yazılan yollar
- Kısa görev: kullanıcının en son açtığı beş belgeyi sırala
Kalıcılık ve kötüye kullanım
- Run ve RunOnce anahtarları ile kalıcılık
- Servis anahtarlarında şüpheli kayıtlar
- IFEO ve COM ele geçirme izleri
- Tüm otomatik başlatma noktalarını tek listede incelemek
- İki kayıt defteri anlık görüntüsünü karşılaştırmak
- Bitirme görevi: kayıt defterinden saldırganın kalıcılık yöntemlerini çıkar
Pratik lablar
- Hive dosyalarını imajdan çıkar: SYSTEM, SOFTWARE, SAM ve bir kullanıcının NTUSER.DAT dosyasını imajdan çıkar ve özetle.
- Bilgisayar adı, saat dilimi, son kapanma: SYSTEM hive'ından bilgisayar adını, saat dilimini ve son kapanma zamanını bul.
- İşlem günlükleriyle güncel hive: LOG1 ve LOG2 dosyalarını uygulayarak hive'ı güncelle ve günlükte bekleyen değişikliği göster.
- RegRipper ile rapor üret: SOFTWARE hive'ı üzerinde RegRipper çalıştır ve işletim sistemi sürümünü rapordan oku.
- Kurulu ve kaldırılmış yazılımlar: Kurulu yazılımları listele ve olay haftasında kurulup kaldırılanı bul.
- Bağlanılan ağlar ve kablosuz profiller: Ağ profillerinden bilgisayarın bağlandığı ağları ilk ve son bağlantı zamanlarıyla sırala.
- SAM'den yerel hesapları listele: Yerel hesapları son giriş ve parola değişim zamanlarıyla listele.
- En son açılan beş belge: RecentDocs ve MRU listelerinden kullanıcının en son açtığı beş belgeyi sırala.
- Yazılan yollar ve çalıştır geçmişi: Yazılan yollar ile çalıştır kutusu geçmişinden kullanıcının elle gittiği paylaşımları ve komutları çıkar.
- Run ve RunOnce anahtarlarını denetle: Sistem ve kullanıcı hive'larındaki otomatik başlatma girdilerini listele ve tanınmayanı işaretle.
- Servis anahtarlarında şüpheli kayıt: Sonradan eklenmiş servisi imaj yolu ve anahtarın son yazma zamanıyla bul.
- IFEO ve COM izlerini bul: Hazır hive'larda hata ayıklayıcı değeri ve kullanıcı düzeyinde COM kaydıyla kurulan kalıcılığı tespit et.
- Anahtarın son yazma zamanını yorumla: Üç anahtarın son yazma zamanını oku ve neyi kanıtlayıp neyi kanıtlamadığını yaz.
- İki anlık görüntüyü karşılaştır: Olay öncesi ve sonrası hive'ları karşılaştır ve eklenen anahtarları listele.
- Kalıcılık yöntemlerini tek listede çıkar: Ilgıntepe Tekstil'in hazır imajında tüm otomatik başlatma noktalarını tarayıp kalıcılık yöntemlerini zamanlarıyla raporla.
Kurs hakkında
Kayıt defteri hive’larını imajdan çıkarır, RegRipper ve kayıt defteri görüntüleyicileriyle kullanıcı etkinliğini, kurulu yazılımları, ağ geçmişini ve kalıcılık anahtarlarını incelersin.
Ne öğreneceksin
- Kayıt defteri yapısı
- Sistem ve kullanıcı bilgileri
- Kalıcılık ve kötüye kullanım
Ön koşullar
Aynı yolun 101 ve 201 düzeyindeki konularına hâkim olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux masaüstünde geçer; araçlar pencereli arayüzleriyle hazırdır. Kurulum gerekmez, bilgisayar ekranı önerilir.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 301 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.