디지털 포렌식 - 증거 수집 파일 및 레지스트리 경로

 
 

레지스트리 파일(SAM, SOFTWARE, SYSTEM, SECURITY, NTUSER) 경로

 
파일 경로: 
C:\Windows\System32\config
C:\users\{사용자명}\NTUSER.DAT
 

---

 
 
 

쓰기 방지

 
레지스트리 경로: 
HKEY_LOCAL_MACHINE > SYSTEM > CurrentControlSet > Control > StorageDevicePolicies
WriteProtect 생성(REG_DWORD) > 값을 1로 설정
 
 
 

---

 
 

연결됐던 USB의 볼륨명, 시리얼넘버, 볼륨 GUID, 마지막 연결 해제 시간, 사용자 계정 정보 등

 
파일 경로: 
Windows > inf > Setupapi.dev.log
 
 

USB Device Class ID(Vener Name + Product Name + Version)

 
 
레지스트리 경로: 
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\USBSTOR
-확인가능 정보 : USB의 Unique Instance 및 USBSTOR의 Subkey를 분석할 경우 이미 해당 시스템에서 사용하거나 사용했던 USB 장치를 확인
 
레지스트리 경로: 
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\USB
-확인가능 정보 : USBSTOR에서 확인한 USB의 Unique Instance를 찾으면 USB의 제조사 아이디(VID)와 제품ID(PID) 확인 가능
 
 
 
 

연결했던 USB의 볼륨 이름

 
레지스트리 경로: 
HKEy_LOCAL_MACHINE > SOFTWARE > Microsoft > Windows Portable Devices > Devices
 
 
 

---

 

네트워크 카드(NIC) 정보

 
 
1) 모델명 및 GUID 확인
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkCards\


2) DHCP IP Address 등 확인(레지스트리)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Tcpip\Parameters\Interfaces\

DhcpIPAddress : 컴퓨터 할당 IP
DhcpNameServer : ISP 주소 (e.g. 168.126.63.1 168.126.63.2)
DhcpServer : 게이트웨이 주소
DhcpSubnetMask : 서브넷마스크
LeaseObtainedTime : IP 임대(할당) 일시



3) MAC Address 확인(레지스트리)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\NetworkSetup2\Interfaces\{GUID}\Kernel\
 
 

---

 

공유기 SSID & MAC Address 정보

 
 
1) 네트워크카드 정보 확인(레지스트리)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Profiles\

2) MAC Address 확인(레지스트리)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Signatures\
 
 

---

 

Jumplist (최근 및 자주 사용한 내역 확인)

 
AutomaticDestinations: 
%UserProfile%\AppData\Roaming\Microsoft\Windows\Recent\AutomaticDestinations
 
CustomDestinations: 
%UserProfile%\AppData\Roaming\Microsoft\Windows\Recent\CustomDestinations
 
 

---

 
 

Thumbnail Cache & Icon Cache

 
파일 경로:
%UserProfile%\AppData\Local\Microsoft\Windows\Explorer
 
 

---

 

Spool 파일(프린터 정보)

 
 
파일 경로: 
C:\Windows\System32\spool\PRINTERS
 
 

---

 

파일 삭제, 이동, 위치 추적 ($LogFile, $UsnJrnl:$J, $MFT For NTFS Log Tracker)

 
파일 경로: 
$UsnJrnl : C:\$Extend\$Usnjrnl:$J
$MFT : C:\$MFT
$LogFile : C:\$LogFile

 

---

 
 

Prefetch 정보(실행 파일 이름 경로, 실행 횟수, 마지막 실행 시간, 최초 실행 시간)

 
파일 경로: 
%SystemRoot%\Prefetch
C:\WINDOWS\Prefetch
 

---

 

AmCache(모든 실행 파일의 이름, 경로, 크기, 해시값 확인)

 
파일 경로: 
%SystemDrive%\Windows\AppCompat\Programs\Amcache.hve