Funções e Estruturas do Registry do Windows

<p>Nome, tipo e dado. (B)</p> Signup and view all the answers

<p>Interagir com o sistema operacional para gerir o Registry. (D)</p> Signup and view all the answers

<p>Listar todas as associações de tipos de ficheiros. (A)</p> Signup and view all the answers

<p>Configurações do utilizador corrente. (C)</p> Signup and view all the answers

<p>Dados referentes a hardware e drivers. (D)</p> Signup and view all the answers

<p>tasklist /APPS /FI 'MEMUSAGE ge 45000' (A)</p> Signup and view all the answers

<p>Vista virtual. (A)</p> Signup and view all the answers

<p>psexec (A)</p> Signup and view all the answers

<p>Lista os tipos de extensões com suas respectivas linhas de comando. (A)</p> Signup and view all the answers

<p>-d (A)</p> Signup and view all the answers

<p>CTRL + SHIFT + ESC (A)</p> Signup and view all the answers

<p>Mostrar processos com nome exato notepad.exe (D)</p> Signup and view all the answers

<p>tasklist (B)</p> Signup and view all the answers

<p>Mostrar o uso de CPU (A)</p> Signup and view all the answers

<p>Locar processos em execução (B)</p> Signup and view all the answers

<p>SC Config WSearch Start=Disabled (C)</p> Signup and view all the answers

<p>WinSearchDBAnalyzer (C)</p> Signup and view all the answers

<p>SQLite3 (D)</p> Signup and view all the answers

<p>Formato de arquivo SQLite3 (C)</p> Signup and view all the answers

<p>.db-shm e .db-wal (C)</p> Signup and view all the answers

<p>%AllUsersProfile%\Microsoft\Search\Data\Applications\Windows\ (B)</p> Signup and view all the answers

<p>Recuperar registros apagados (B)</p> Signup and view all the answers

<p>SC Stop WSearch (B)</p> Signup and view all the answers

<p>A cada 10 dias (B)</p> Signup and view all the answers

<p>DCODE (D)</p> Signup and view all the answers

<p>HKEY_LOCAL_MACHINE (D)</p> Signup and view all the answers

<p>schtasks.exe /query /v /FO CSV (C)</p> Signup and view all the answers

<p>Windows 18.03 (B)</p> Signup and view all the answers

<p>ProcMon (D)</p> Signup and view all the answers

<p>HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\TelemetryController (D)</p> Signup and view all the answers

<p>Converter Filetime64 (C)</p> Signup and view all the answers

<p>Visualizar registros de dispositivos USB que estavam ligados ao computador. (C)</p> Signup and view all the answers

<p>É criado pelo Windows na primeira inserção do dispositivo. (D)</p> Signup and view all the answers

<p>Apaga registros da presença de dispositivos USB na máquina local. (D)</p> Signup and view all the answers

<p>C:\Windows\INF\setupapi.dev.log (C)</p> Signup and view all the answers

<p>Relatório em HTML e arquivos TSV. (A)</p> Signup and view all the answers

<p>Suporta apenas processamento do arquivo setupapi.dev.log. (A)</p> Signup and view all the answers

<p>A inserção do dispositivo é registrada em um log específico. (A)</p> Signup and view all the answers

<p>O ID é alterado para refletir a nova máquina. (B)</p> Signup and view all the answers

Comando no Windows para listar aplicações.

Comando para listar processos com 45 MB ou mais de utilização de memória.

Comando que lista aplicações com mais de 45MB de uso de memória.

Conjunto de ferramentas gratuitas para análise de sistemas Windows.

Ferramenta Sysinternals usada para executar processos remotamente.

Ferramenta integrada no Windows para gerenciar processos.

Ferramenta Sysinternals para visualização e controle de processos.

Atalho para acesso ao histórico de cópias.

Utilitário que lista a associação de uma determinada extensão de ficheiro.

Utilitário que apresenta, para cada tipo de extensão, a linha de comando a ser executada para abrir o ficheiro.

Armazena configurações e informações específicas para o utilizador corrente, como diretórios, cores, fundo e configurações personalizadas.

Armazena as configurações do sistema operativo, do hardware e do software instalado, incluindo os drivers instalados.

Armazena as configurações do sistema, aplicações e outras configurações para todos os utilizadores activos no sistema.

Servio Windows que indexa arquivos para busca rpida.

Configurao para impedir que o servio indexe arquivos.

Ferramenta para analisar bases de dados relacionadas pesquisa do Windows.

Tipo de banco de dados usado pelo Windows 11 para buscas.

Principal base de dados SQLite3 do Windows Search no Windows 11.

Local padro das bases de dados do Windows Search no Windows 11.

Sequncia de octetos (53 51 4C 69 74 65 20 66 6F 72 6D 61 74 20 33) que identifica arquivos SQLite3.

Ferramenta para visualizar e trabalhar com arquivos SQLite3.

O Registry é um banco de dados central que armazena configurações e informações importantes do sistema operacional Windows e das aplicações instaladas.

'Hives' são como pastas dentro do Registry, organizando as informações em diferentes categorias.

Cada entrada no Registry é um 'valor' que contém três partes: o nome, o tipo e o dado. O tipo define o formato do dado (texto, número, etc).

Os cinco 'hives' principais são: HKEY_CURRENT_CONFIG, HKEY_CLASSES_ROOT, HKEY_CURRENT_USER, HKEY_LOCAL_MACHINE e HKEY_USERS.

HKEY_CLASSES_ROOT (HKCR) define como o Windows reage a ações do utilizador, como abrir arquivos e executar programas.

Identificador atribuído pelo Windows a dispositivos USB na primeira inserção no sistema. Este ID é específico para cada computador e não é constante para o mesmo dispositivo ao ser conectado em outros computadores.

Ferramenta gratuita que permite visualizar todos os dispositivos USB que já foram conectados a um computador, incluindo os que não estão conectados atualmente. Também exibe o Windows Assigned Device ID.

Ferramenta anti-forense que apaga os registros de presença de dispositivos USB na máquina local, removendo rastro de conexões anteriores.

Arquivo localizado em C:\Windows\INF\setupapi.dev.log que contém registros referentes a drivers ativados e desativados pelo Windows. Registra também a inserção de dispositivos USB.

Ferramenta Python 3 com interface GUI para processamento de artefatos Windows, incluindo o arquivo setupapi.dev.log. Permite analisar o histórico de conexões USB.

WLEAPP gera relatórios em HTML e TSV (tab-separated values), contendo informações sobre dispositivos USB, drivers e outros eventos.

Ferramentas e técnicas utilizadas para remover rastros de atividade digital ou para analisar logs do sistema para identificar eventos importantes, como a inserção e remoção de dispositivos USB.

O Registry do Windows utiliza vários formatos para armazenar marcas temporais, como a data de criação de uma chave ou o tempo do sistema.

É possível converter valores de marcações temporais do Registry em datas e horas legíveis usando ferramentas como o DCODE, cyberchef.io, ou o utilitário w32tm.

Um valor como 'E407080001001F000B0015001C00FF00' representa uma data e hora no Registry, que pode ser convertida para '2020-08-31 11:21:28.2550000 Z'.

O Windows 7 e 10 possuem um processo chamado RegIdleBackup que salva automaticamente o Registry a cada 10 dias, útil para análise forense.

Os backups do Registry são armazenados em 'C:\Windows\System32\config\RegBack', um diretório específico para recuperar informações em caso de problemas.

O utilitário Procmon (SysInternals) permite monitorar as interações de programas com o Registry, facilitando a detecção de alterações suspeitas.

Procmon pode monitorar uma gama variada de eventos, incluindo acesso ao Registry, arquivos, rede, etc., auxiliando na análise de atividades.

Ferramentas como Procmon e o backup automático do Registry podem ser cruciais para a análise forense de um sistema, ajudando a determinar o que ocorreu no passado.