Registry Analysis(1)

* 레지스트리란?

  - 윈도시스템에서 운영체제 및 애플리케이션에 관한 각종 설정 정보를 가지고 있는 데이터베이스

  - OS 초기 DOS 와 윈도 3.1 시스템 환경설정 정보 config.sys, system.ini, autoexec.bat 에 저장되어 운영

  - 이 후 윈도 버전들은 이 파일들을 애플리케이션, 하드웨어 장치 및 사용자에 대한 환경설정을 유지하는 중앙계층적 데이터베이스 형태      의 레지스트리로 대체하였음.

   - 시스템 정보와 사용자의 다양한 활동에 대한 분석이 가능하기 때문에 Windows Forensic에 매우 중요한 부분이다. 

 * 레지스트리 항목

   - 시스템 정보: 레지스트리에는 시스템의 초기 설치부터, 운영체제 버전 정보 및 여러 가지 시스템 구성 정보 기록

   - 응용프로그램 사용 내역: 레지스트리에는 각각의 응용프로그램이 최근에 사용한 데이터 파일의 위치를 기록 및 운영체제 차원에서 응용        프로그램 사용 로그 저장 

   - 사용자 정보: 레지스트리는 시스템 사용자에 관한 기본적인 계정 정보 및 사용자의 홈 경로, 마지막 로그인 시간, 로그인 실패 시간, 비밀       번호 해시 등 다양한 정보를 기록한다. 사용자 계정에 관한 특이점 등 사용된 계정 등에 관한 정보를 파악

   -  최근 접근내역: 레지스트리에는 Explorer, Microsoft Edge, google를 통해 최근 접근한 목록을 관리

   - 외장 장치 정보: 레지스트리에는 외장 장치 연결에 관한 정보를 찾을 수 있다.

   - 자동 실행: 레지스트리에는 여러 가지 자동 실행에 관련된 키가 존재한다. 시스템에 등록된 자동 실행 항목은 악성코드가 많이 이용하는         기능이다.

 

레지스트리는 하나의 파일시스템과 같이 체계적으로 정보를 저장한다.

사용자 및 응용프로그램별로 영역 즉 레지스트리 키별로 분리하여 저장할 수 있게 계층구조로 정보를 저장한다.

다음에는 regedit프로그램을 실행하여 루트폴터 및 트리형태의 구조에 대해서 적어볼까 한다.

루트폴더를 레지스트리 하이브라고 불리며 하이브 단위로 파일을 생성하여 관리하고 있다.

이와 관련하여 자세하게 나누어 말해보고자 한다.

 

그럼 다음에 또 보자~~^^