Windows, per funzionare in modo efficiente e offrire comodità all'utente, registra continuamente informazioni su ciò che accade: quali programmi vengono avviati, quali file vengono aperti, quali cartelle visitate, chi accede e quando. Queste tracce, chiamate artefatti, non sono state progettate per le indagini, ma sono tra le fonti più ricche per ricostruire l'uso di un computer.
Il registro di sistema
Il registro è una grande banca dati gerarchica in cui Windows e i programmi salvano configurazioni e stati. È suddiviso in file chiamati hive: alcuni riguardano l'intero sistema, altri il singolo utente. Il file del profilo utente, NTUSER.DAT, è particolarmente interessante perché descrive le abitudini di quella persona.
Tra le informazioni utili che si possono trovare:
- programmi installati e data di installazione;
- documenti aperti di recente, suddivisi per tipo di file;
- comandi digitati nella finestra Esegui;
- percorsi digitati nella barra degli indirizzi di Esplora file;
- reti Wi-Fi a cui il computer si è collegato;
- account utente presenti, con data di creazione e ultimo accesso.
Molte chiavi del registro registrano anche l'ultima data di scrittura, che indica quando quella voce è stata modificata l'ultima volta.
Prefetch
Per velocizzare l'avvio dei programmi, Windows crea nella cartella Prefetch un file per ogni eseguibile lanciato. Ogni file contiene il nome del programma, il numero di esecuzioni e le date delle ultime esecuzioni, fino a otto nelle versioni recenti.
In un'indagine il Prefetch può dimostrare che un programma è stato eseguito, anche se nel frattempo è stato cancellato. È utile, per esempio, per individuare l'uso di programmi di cancellazione sicura o di strumenti non autorizzati. Va ricordato che su alcune configurazioni, in particolare su certi server, il Prefetch può essere disattivato.
I registri eventi
I registri eventi di Windows, file con estensione .evtx, conservano una cronologia di ciò che accade nel sistema. Alcuni eventi sono particolarmente rilevanti:
| Area | Cosa registra |
|---|---|
| Accessi | Accessi riusciti e falliti, tipo di accesso (locale, remoto, di rete) |
| Sistema | Avvii, arresti, cambi di orario, errori dei servizi |
| Servizi | Installazione di nuovi servizi, spesso usata da programmi malevoli |
| Desktop remoto | Connessioni e disconnessioni remote |
| PowerShell | Comandi ed esecuzione di script, se la registrazione è attiva |
Ogni evento è identificato da un numero; conoscere quelli più significativi permette di filtrare rapidamente migliaia di righe. Va però considerato che i registri hanno una dimensione massima e i più vecchi vengono sovrascritti, e che la loro cancellazione genera a sua volta un evento specifico.
File LNK e Jump List
Quando apri un file, Windows crea spesso un collegamento, un file .lnk, nella cartella dei documenti recenti. Questo collegamento contiene il percorso del file originale, le sue date, il volume su cui si trovava e talvolta il numero di serie del disco. Il collegamento resta anche se il file originale viene cancellato o se il supporto viene scollegato.
Le Jump List sono gli elenchi di file recenti che compaiono cliccando con il tasto destro su un programma nella barra delle applicazioni. Sono organizzate per applicazione e mostrano quali file sono stati aperti con quale programma.
ShellBags
Le ShellBags sono voci del registro che memorizzano le preferenze di visualizzazione delle cartelle, come dimensione della finestra e tipo di icone. Come effetto secondario, conservano un elenco delle cartelle visitate dall'utente, comprese quelle su dischi esterni o percorsi di rete non più disponibili.
Altre fonti utili
- cestino: conserva i file eliminati con data di eliminazione e percorso originale;
- copie shadow del volume: istantanee del disco che possono contenere versioni precedenti di file e registro;
- cronologia di ricerca di Windows e indice di ricerca;
- registri di utilizzo delle risorse, che riportano l'attività delle applicazioni nel tempo.
Interpretare con prudenza
Gli artefatti di Windows cambiano tra versioni del sistema e talvolta tra aggiornamenti. Un comportamento documentato per una versione può non valere per un'altra. È buona pratica verificare su un sistema di prova con la stessa versione quando una conclusione dipende da un dettaglio tecnico. Inoltre molti artefatti indicano un'azione del sistema o di un programma, non necessariamente di una persona: va sempre considerata la possibilità di processi automatici.
In sintesi
- Il registro di sistema conserva programmi installati, file recenti, reti e account.
- Il Prefetch dimostra l'esecuzione di programmi, anche se poi cancellati.
- I registri eventi documentano accessi, servizi, connessioni remote e modifiche.
- File LNK, Jump List e ShellBags rivelano file e cartelle aperti, anche non più presenti.
- Gli artefatti variano tra versioni e vanno interpretati verificando il comportamento reale.