Windows-forensik: artefakter, logs og sikring

Windows skriver mere om sin egen brug end nogen anden almindelig platform. Næsten hver handling efterlader flere uafhængige spor: en post i filsystemets journal, en ændring i registreringsdatabasen, en hændelse i en logkanal og en opdatering i en database, som brugeren aldrig ser. Det er styrken ved Windows-forensik. Den samme hændelse kan ofte belyses fra tre eller fire kilder, og når de peger samme vej, står konklusionen stærkt.

Bagsiden er, at sporene er skrevet til drift og fejlfinding, ikke til bevis. Hvert artefakt har sin egen logik for, hvornår det opdateres, hvilken tid det gemmer, og hvor længe det bliver liggende. Et tidsstempel i en LNK-fil betyder noget andet end et tidsstempel i Prefetch, og et program kan stå i ShimCache uden nogensinde at have kørt. Windows-forensik er derfor mindre et spørgsmål om at finde spor og mere et spørgsmål om at læse dem rigtigt.

Det særlige ved Windows

Mange lag med tid. NTFS gemmer to sæt tidsstempler pr. fil, journalen gemmer rækkefølgen, og logs og registreringsnøgler har deres egne tider. Uoverensstemmelser mellem lagene er ofte det mest interessante fund.
Brugerprofilen er adskilt. Meget af det, der knytter en handling til en konto, ligger i NTUSER.DAT og UsrClass.dat for den enkelte bruger. Det hjælper i spørgsmålet om, hvilken konto der gjorde noget, men ikke i spørgsmålet om, hvilken person der sad ved tastaturet.
Indstillinger afgør, hvad der findes. Prefetch kan være slået fra, procesrevision er ikke altid aktiveret, og PowerShell-logning kræver en politik. Fravær af et spor er ikke det samme som fravær af en handling.
Kryptering er standard. BitLocker er udbredt på bærbare, og sikringen skal planlægges, før maskinen slukkes.

De vigtigste kilder og hvad de viser

$MFT, $UsnJrnl og $LogFile · Hvad det kan vise: Filers oprettelse, ændring, omdøbning og sletning i rækkefølge · Læs mere: NTFS i dybden
Hændelseslogs (EVTX) · Hvad det kan vise: Logon, processer, tjenester, rydning af logs · Læs mere: Windows-hændelseslogs
Event 4624 og 4625 · Hvad det kan vise: Logontype, konto og kilde for gennemførte og afviste logon · Læs mere: Event 4624 og 4625
Prefetch, Amcache og ShimCache · Hvad det kan vise: Programmer, der er kørt eller har ligget på maskinen · Læs mere: Prefetch, Amcache og Shimcache
LNK, jump lists og shellbags · Hvad det kan vise: Filer og mapper, brugeren har åbnet, også på fjernede drev · Læs mere: Windows-artefakter
USBSTOR, setupapi og MountedDevices · Hvad det kan vise: Hvilke USB-enheder der har været tilsluttet, og hvornår · Læs mere: USB-tidslinjen i Windows
SRUM · Hvad det kan vise: Netværks- og programforbrug pr. bruger over flere uger · Læs mere: SRUM
UserAssist og MRU-lister · Hvad det kan vise: Programmer og filer, brugeren selv har startet eller åbnet · Læs mere: UserAssist, RecentDocs og MRU
Volume Shadow Copies · Hvad det kan vise: Tidligere tilstande af disken · Læs mere: Volume Shadow Copies
RDP-logs og bitmap-cache · Hvad det kan vise: Fjernskrivebordssessioner ind og ud af maskinen · Læs mere: RDP-spor
Planlagte opgaver og tjenester · Hvad det kan vise: Fastholdt adgang og automatik, der kører uden brugeren · Læs mere: Autostart og planlagte opgaver

Den fulde liste over spor, også på andre platforme, står i Artefakter fra A til Å. Konkrete hændelses-id’er kan slås op i Event-id-opslag.

Typiske fejlkilder

Kørsel forveksles med tilstedeværelse. Amcache og ShimCache viser, at systemet har set en fil. Kørsel kræver støtte fra Prefetch, BAM, UserAssist eller procesrevision. Se Prefetch, Amcache og Shimcache.
Systemet handler på brugerens vegne. Antivirus, indeksering, synkronisering og opdateringer åbner filer og ændrer tider. Se Systemet eller brugeren?.
Tidszonen glemmes. Nogle artefakter gemmer UTC, andre lokal tid, og registreringsdatabasens tidszoneindstilling skal med i rapporten. Se Sommertid og tidszoner.
Egne spor. At logge ind på maskinen for at se, hvad der er sket, skriver nye poster i netop de artefakter, der skal undersøges. Se Kontaminering.
Logs eksporteres som tekst. Et udtræk fra Logbog er ikke det samme som de originale EVTX-filer med hash. Se Eksport af Windows-hændelseslogs.

Hvor man starter

Start med spørgsmålet, ikke med værktøjet. Skal det afklares, om filer er kopieret til et USB-drev, er USB-tidslinjen, LNK-filer, shellbags og journalen de første kilder. Handler sagen om uautoriseret adgang, er det logon-hændelser, RDP-spor og autostart. Går det på, om et dokument er ændret, er det NTFS-tiderne sammen med dokumentets egne metadata.

Er maskinen stadig i brug, så sørg for, at den ikke bliver geninstalleret, og læs Tjekliste: før reinstallation eller udskiftning af en maskine. Skal den sikres, er Tjekliste: forensisk sikring af en computer det praktiske udgangspunkt, og Sluk, isolér eller lad den køre? afgør, om hukommelsen skal med. For den, der er ny i Windows-sporene, giver Windows-artefakter: LNK, jump lists, shellbags og USB-spor det bedste overblik, før de enkelte artikler nedenfor går i dybden.

Når det skal være en opgave

Forensisk undersøgelse af en computer Hvilke spørgsmål en undersøgelse af en pc kan besvare.

Artikler

Windows-artefakter: LNK, jump lists, shellbags og USB-spor Windows registrerer åbnede filer, viste mapper og tilsluttede USB-enheder. Her er de vigtigste artefakter, hvad de kan vise, og hvordan de tolkes korrekt.
Windows-hændelseslogs: de vigtigste kanaler og event-id’er De Windows-hændelseslogs og event-id’er, der betyder noget i en undersøgelse: hvad de viser og ikke viser, og hvorfor overskrivning er det store problem.
Event 4624 og 4625: logontyper og fortolkning Event ID 4624 og 4625 viser logons på Windows, men logontypen, logon-id’et og fejlkoden afgør, hvad posten betyder. Her er felterne og de typiske fejl.
Eksport af Windows-hændelseslogs (EVTX) til en sag Sådan sikres Windows-hændelseslogs som EVTX, så de holder i en sag: kopi af filen eller eksport, logstørrelse, overskrivning, hashværdi og dokumentation.
Registreringsdatabasen i en undersøgelse: hives, NTUSER.DAT og transaktionslogs Registreringsdatabasen i en undersøgelse: hives, NTUSER.DAT, LastWrite-tid, beskidte hives og transaktionslogs, og hvorfor live-kopiering er forkert.
Prefetch, Amcache og Shimcache: bevis for programkørsel og grænserne Prefetch, Amcache og Shimcache bruges til at vise programkørsel på Windows, men de viser ikke det samme. Her er forskellen på kørsel og tilstedeværelse.
NTFS i dybden: MFT, $UsnJrnl, $LogFile og tidsstemplerne $SI og $FN Sådan virker NTFS’ MFT, ændringsjournalen $UsnJrnl og $LogFile i en undersøgelse, og hvordan tidsstemplerne i $SI og $FN læses sammen som MACB.
Volume Shadow Copies: tidligere versioner som bevis Volume Shadow Copies kan rumme ældre versioner af filer, logs og registreringsdatabasen. Sådan opstår de, kommer med i kopien, og sådan ses sletning.
USB-tidslinjen i Windows: første og sidste tilslutning, serienummer og drevbogstav Sådan bygges USB-tidslinjen i Windows: første og sidste tilslutning, serienummer, volumen og drevbogstav fra setupapi-loggen, registret og hændelseslogs.
SRUM: netværks- og programforbrug pr. bruger SRUM-databasen i Windows viser netværks- og programforbrug pr. program og bruger over tid: hvad den registrerer, brugen ved upload, og grænserne.
Papirkurven i Windows: $Recycle.Bin og hvad den afslører Papirkurven i Windows gemmer slettetidspunkt, oprindelig sti og bruger for hver fil. Sådan læses $I- og $R-filerne, og hvad en tømt papirkurv efterlader.
UserAssist, RecentDocs og MRU-lister: brugerens seneste handlinger UserAssist, RecentDocs og MRU-lister i registreringsdatabasen viser en brugers seneste programmer, filer, søgninger og kommandoer. Sådan tolkes de korrekt.
RDP-spor: fjernskrivebord i logs, register og bitmap-cache Hvem loggede ind via fjernskrivebord? RDP efterlader spor på server og klient: logs, registreringsdatabasen og bitmap-cache. Hvad de viser og ikke viser.
PowerShell-historik og scriptlogning som datakilde PowerShell efterlader spor i konsolhistorik, script block logging, modullogning og transskripter. Hvad der er slået til som standard, og hvad de viser.
Autostart, planlagte opgaver og tjenester: spor efter fastholdt adgang Autostartposter, planlagte opgaver, tjenester og WMI kan holde en adgang åben i Windows. Sådan opdages og dokumenteres de, fx efter en fratræden.
Active Directory og domænecontroller-logs: konti, grupper og nulstillinger Domænecontrollerens logs og AD’s egne metadata viser oprettede konti, gruppeændringer og nulstillede adgangskoder. Sådan sikres og læses de korrekt.
Defender-logs og karantæne som kilde Microsoft Defenders logs og karantæne kan datere værktøjer, ændrede indstillinger og fjernede filer. Hvad kilderne viser, og hvor fortolkningen går galt.
OneDrive-klienten på Windows: lokale spor af synkronisering OneDrive-klienten på Windows gemmer lokale logs, en synkroniseringsdatabase og kontooplysninger. Hvad de viser, og hvordan de supplerer auditloggen.
Windows Search-indekset som datakilde Windows Search-indekset kan rumme navne, stier, metadata og tekst fra filer og mails, der ikke længere findes. Sådan bruges det, og her er grænserne.
Windows Recall og lokale AI-funktioner som datakilde Windows Recall gemmer løbende øjebliksbilleder af skærmen lokalt. Hvad funktionen gemmer, hvordan der lovligt gives adgang, og hvorfor data skal minimeres.
Print i Windows: spool-filer, PrintService-log og printserverens journal Hvem har printet hvad? Sådan virker spool-filer, PrintService-loggen og printserverens journal, hvad der skal være slået til, og hvordan sporene sikres.
Downloads og Mark of the Web (Zone.Identifier) Zone.Identifier viser, at en fil er hentet fra internettet, og ofte hvorfra. Sådan virker Mark of the Web, og hvornår sporet forsvinder ved kopiering.
Filserverrevision: hvem åbnede filen? En Windows-filserver kan vise, hvem der åbnede en fil, hvis revision og SACL var på plads. Event 4663 og 5145, NTFS-rettigheder og typiske fejlslutninger.
Opstart, nedlukning, lås og dvale: Windows-events Event 6005, 6006, 41, 1074, 4800 og 4801 viser opstart, nedlukning, lås og dvale i Windows. Sådan læses de, og her tager fortolkningen ofte fejl.
Windows audit policy: de indstillinger en undersøgelse har brug for Mange Windows-hændelser logges kun, hvis auditpolitikken er slået til. Her er de indstillinger, logstørrelser og PowerShell-logning en sag kræver.
Hiberfil, pagefile og swap: hukommelsesrester på disken Hvad hiberfil.sys, pagefile.sys, swapfile.sys og swap på macOS og Linux kan indeholde, hvornår de er brugbare, og hvordan fund i dem fortolkes forsigtigt.
Sysmon som forensisk datakilde Sysmon i en undersøgelse: hvad de vigtigste event-id’er viser, hvordan konfigurationen afgør, hvad der findes, og hvordan loggen sikres og fortolkes.
Kerberos og NTLM: autentificeringsspor ud over 4624 Sådan bruges Kerberos- og NTLM-hændelserne 4768, 4769, 4771 og 4776 på domænecontrolleren sammen med 4624 til at rekonstruere, hvem der loggede ind hvorfra.
Kan man se, om en fil er blevet åbnet? Spor i Windows og Microsoft 365 Ofte ja, men ikke ud fra fildatoen. LNK-filer, jump lists, MRU-lister, objektadgangslog og FileAccessed i Microsoft 365 viser, hvem der åbnede hvad.
Hvem installerede programmet? Installationsspor i Windows Windows gemmer sjældent et samlet svar. Installationshændelser, afinstallationsnøgler, proceslog og deploymentværktøjer viser tidspunkt, konto og kilde.
Nulstil denne pc og Autopilot: hvad overlever en nulstilling? Hvad slettes, når en Windows-pc nulstilles lokalt, via Autopilot Reset eller Intune-wipe? Mekanismen, sporene efter nulstillingen og det, der overlever.
Hvor længe gemmes Windows’ event log? Størrelse og overskrivning Windows’ event log gemmes efter størrelse, ikke efter dage. Sådan aflæses størrelse, overskrivning og ældste hændelse, og hvorfor perioden varierer.
Event 4688: proceskørsel og kommandolinje i Windows-loggen Event 4688 viser, hvilke programmer der blev startet, af hvilken konto og med hvilken kommandolinje. Forudsætninger, felterne, analyse og fejlkilder.
Nedbrudsdumps og fejlrapporter (WER) Windows Error Reporting og nedbrudsdumps som forensisk kilde: hvor rapporter og dumps gemmes, hvad de viser om programkørsel og tid, og faldgruberne.
WSL og lokale virtuelle maskiner WSL og lokale virtuelle maskiner på Windows: hvor Linux-distributionens disk ligger, hvilke spor der findes i og uden for den, og hvordan den sikres.
Portable programmer og opstart fra USB: spor efter brug Sådan opdages brug af portable programmer og opstart fra et USB-medie på en Windows-computer: kørselsspor, USB-artefakter, huller i logs og BitLocker-hændelser.

Brug for en uvildig forensic-undersøgelse?

Digital forensics-undersøgelse Hvad en undersøgelse indeholder, og hvad I får.
Forensisk sikring Når data skal sikres nu og undersøges senere. Hastesager koster ekstra.
Second opinion på en teknisk rapport Gennemgang af metode, hash, tidszoner og konklusioner.
Kontakt Ring 70 13 63 23. Fortrolighedsaftale på forespørgsel; arbejdet er omfattet af tavshedspligt.

Afgrænsning

Siden handler om civile sager, interne undersøgelser og udenretlige tvister. Der gives ingen vejledning i at omgå sikkerhed eller skaffe sig adgang til andres enheder og konti. Læs mere: Afgrænsning.