Dijital Adli Bilişim - Bilgisayarın Hafızasında Kalanlar: Windows Registry'nin Anlattıkları

  • Bir program bilgisayardan kaldırılmış. 
  • Masaüstündeki kısayolu silinmiş. 
  • Kurulum klasörü de görünmüyor.

Programın geçmişte bu bilgisayarda bulunduğunu araştırmak hâlâ mümkün olabilir mi? Bazı durumlarda evet. Windows'un sistem ve kullanıcı yapılandırmalarını sakladığı Registry, önemli ipuçları sağlayabilir. Fakat Registry'nin görevi bir güvenlik kamerası gibi yaşanan her şeyi kaydetmek değildir.

Registry hangi bilgileri tutar?

Registry, anahtar ve değerlerden oluşan hiyerarşik bir yapıdır. SYSTEM, SOFTWARE ve kullanıcıya ait NTUSER.DAT gibi veri kaynakları farklı amaçlara hizmet eder.

  • SYSTEM, cihaz ve sistem yapılandırmalarıyla; 
  • SOFTWARE, çeşitli yazılım bilgileriyle ilişkili kayıtlar içerebilir.
  • Kullanıcı profilindeki Registry verileri ise belirli kişisel tercihleri ve uygulama etkileşimleriyle ilişkili göstergeler barındırabilir.
Bu nedenle önce araştırma sorusu belirlenmelidir. Bir USB aygıtının tanınması mı inceleniyor? Kullanıcı tercihleri mi? Yazılım yapılandırması mı? Her soru aynı Registry alanına bakılarak cevaplanamaz.

LastWrite neden yanlış yorumlanır?

Registry anahtarlarında son değiştirilme zamanına ilişkin bilgi bulunabilir. Ancak bir anahtarın LastWrite zamanı, altındaki bütün değerlerin ayrı ayrı değiştirildiği zamanı göstermez.

Daha da önemlisi bu değer, her durumda kullanıcı tarafından yapılan belirli bir işlemin zamanı değildir. Bir yazılım ya da sistem bileşeni anahtarı otomatik değiştirmiş olabilir.

Küçük bir keşif

Kendi Windows test ortamınızda PowerShell açın:
Get-ItemProperty `
"HKCU:\Software\Microsoft\Windows\CurrentVersion\Explorer"

  • Elde edilen veriler, geçerli kullanıcıya ait Explorer yapılandırmasının bir bölümünü gösterir.
  • Şimdi Registry Editor üzerinden yalnızca okuma amacıyla aynı bölümü inceleyin.
  • Anahtarın yolunu, değer adlarını ve veri türlerini karşılaştırın.

Gerçek adli incelemelerde ise orijinal kaydı değiştirmemek için korunmuş Registry hive kopyaları üzerinde çalışılması tercih edilir.

Bulunan kayıt nasıl yorumlanır?

Bir yazılıma ait Registry verisinin bulunması, yazılımın belirli şekilde yapılandırıldığını veya sistemde kayıt oluşturduğunu gösterebilir. Ancak her zaman yazılımın çalıştırıldığını kanıtlamaz. Benzer şekilde kaydın bulunmaması, yazılımın hiçbir zaman bulunmadığını ispatlamaz.

Sonuç

Registry son derece güçlü bir inceleme kaynağıdır; fakat teknik anlamı doğru belirlenmediğinde kolaylıkla yanlış yorumlanabilir. Registry bir olay günlüğü değildir. Sistem ve kullanıcı durumlarına ilişkin kayıtlar üzerinden geçmişi anlamaya yardımcı olan ayrı bir veri kaynağıdır.

Kaynaklar