「攻撃者の“足跡”を探せ」---Windowsレジストリの解析方法：ITpro

暮らしカテゴリーの変更を依頼記事元:

xtech.nikkei.com

190 usersがブックマークコメント

「攻撃者の“足跡”を探せ」---Windowsレジストリの解析方法：ITpro

自分の管理するシステムが不正アクセスされた場合には，影響範囲や原因を特定するために攻撃者の“痕跡”... 自分の管理するシステムが不正アクセスされた場合には，影響範囲や原因を特定するために攻撃者の“痕跡”を調査する必要がある。対象システムがWindowsマシンであれば，レジストリの解析は不可欠。しかしながら通常のログ・ファイルと異なり，レジストリの調査は骨が折れる作業となる。そこで本稿では，不正アクセスを受けたシステムにおけるレジストリの解析方法をまとめた。なお，Windowsマシンにおける失われやすい情報（揮発性の高いデータ）の証拠保全については以前の記事でまとめているので，そちらを参照していただきたい。レジストリの分析は容易ではない Windowsマシンが不正アクセスを受けた場合には，通常，以下の3種類のファイルを調査することになる。（1）Windowsのイベント・ログ（2）各種アプリケーションのログ（3）レジストリ（1）と（2）については，通常の運用においても馴染みが深いので

riocampos じっくり読みたい。/『ユーザー別のレジストリ情報は, D:\Documents and Settings\<UserName>\ntuser.datおよびD:\Documents and Settings\<UserName>\LocalSettings\Application Data\Microsoft\Windows\UsrClass.datに保存されている。』

2006/11/30 リンク