DFIR - Registry Security Forensics

Bu dökümanımızda Registry dosyası olan Security dosyasını parse edicez. Security dosyası nedir ne işe yarar bunlara bir göz atalım.


SECURİTY :Windows kayıt defteri üzerindeki güvenlik ayarlarını ve izinleri kontrol eder. Bu dosya, kullanıcı ve sistem hesaplarının kayıt defterindeki anahtarlara erişim yetkilerini yönetir ve bu bilgilerin korunmasını sağlar. C:\Windows\System32\config\SECURİTY yolunda bulunur. 

Bu parse etme işleminde kullanacağımız araç RegRipper aracı olacak.


Ve şimdi SECURİTY dosyamızın exportunu sağlayıp parse etme işlemine geçelim.

İşaretlenmiş kısım olan “add evidence ıtems” kısmına tıklayıp imajımızı açıyoruz.
daha sonra imajımızın içinden SECURİTY dosyasının konumunu buluyoruz.

SECURİTY dosyasının üzerine sağ tık atıp export kısmına tıklıyoruz.

Daha sonra RegRipper aracımızı açıyoruz Hive File, Report File olmak üzere 2 tane textbox girdisi istiyor gerekli şekilde doldurduktan sonra Rip! kısmına tıklıyoruz ve SECURİTY dosyamız parse edilmeye başlıyor.

Bu çıktı sayfası, tamamen güvenlik anahtar denetim politikaları hakkında bilgi sunar. Bir denetim politikasında, kullanıcı grupları için bir veya daha fazla kaynağın hesap sınırları belirlenebilir.

Raporun incelenmesinin ardından iş akışı belirlenmelidir.

N -> Hiçbir denetim yok

S -> Başarılı

F -> Başarısız

Anlamına gelir

Registry Security Forensics Anlatım Videosu : https://www.youtube.com/watch?v=iKXPwoDlmwE