레지스트리 포렌식

디지털 포렌식 수사 기법

USB Information

USB 저장장치 인식 절차

    1. 이동형 저장장치가 컴퓨터에 연결되면 Plug & Plug Play Manager가 이벤트 알림신호를 받고 연결된 이동형 저장장치에 장치 정보들을 요청

    2. 이 정보를 바탕으로 PnP Manager는 Device Class ID를 부여하고 적절한 드라이버 검색

    3. 해당 드라이버가 현재 로드되어 있지 않으면 해당 장치의 펌웨어로부터 드라이버를 로드하고 레지스트리에 기록

    - HKLM/SYSTEM\CurrentControlSet\Enum\USBSTOR\{DID,Device Class Identifier}
    - HKLM/SYSTEM\CurrentControlSet\Control\DeviceClasses\{GUID}

    4. 장치 드라이버 설치과정은 로그 파일에 저장 : %SystemRoot%\INF\Setupapi.dev.log

    즉, USB 장치 사용의 흔적은 레지스트리와 로그 파일을 통해 확인 가능
  • - Device Class ID
    -> Vendor 정보, 제품명, Revision number 확인

- HKLM\SYSTEM\ControlSet\Enum\USBSTOR

  • - Unique Instance ID
    -> Device Class ID 하위키로 Serial 정보 여부에 따라 두 가지로 분류

- 마지막 수정시간이 윈도우 보안정책에 의해 임의 갱신 가능성

- HKLM\SYSTEM\ControlSet\Enum\USB
- 제조사 ID 및 제품 ID 정보 확인

- USB키의 하위 키들과 USBSTOR키의 하위 키들의 연관성 확인

  • - 최초 연결 시각 (레지스트리 키의 마지막 쓰기 시간)
    장치명이 설정된 경우 – 장치명을 변경하지 않는다면 최초 연결시간
    장치명이 설정되지 않은 경우 – 연결된 볼륨명이 변경되지 않고 계속 사용되면 최초 연결시간

- HKLM\SOFTWARE\Microsoft\Windows Portable Device\Device
- 제품명 또는 시리얼번호를 포함하는 키

- 키 값 Friendly Name으로 연결된 볼륨명 확인

USB Information

  • - HKLM\SYSTEM\CurrentControlSet\Control\DeviceClasses\{GUID}

  • - 하위키 중 제품명이나 시리얼번호를 포함하는 키

  • - 부팅 이후 최초 연결 시각 (레지스트리 키의 마지막 쓰기 시간)

- HKLM\SYSTEM\CurrentControlSet\Control\DeviceClasses\{GUID}
- {53f56307-b6bf-11d0-94f2-00a0c91efb8b}는 디스크의 GUID

- 빨간글씨 : Device Class Identifier 초록글씨 : Unique Instance ID

- HKLM\SYSTEM\CurrentControlSet\Control\DeviceClasses\{GUID}
- {53f5630d-b6bf-11d0-94f2-00a0c91efb8b}는 볼륨 GUID

- HKLM\SYSTEM\CurrentControlSet\Control\DeviceClasses\{GUID}
- {a5dcbf10-6530-11d2-901f-00c04fb951ed}는 USB GUID

- HKLM\SYSTEM\CurrentControlSet\Control\DeviceClasses\{GUID}
- {6ac27878-a6fa-4155-+ba85-f98f491d4f33}는 Portable 장치 GUID

- HKU\{USER}\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2
- 마지막 연결 시각 (레지스트리 키의 마지막 쓰기 시간)

MiTeC Windows Registry Recovery 분석

- 실제 레지스트리 경로를 찾아가 USB 정보 확인

USBDeview 분석

- USBDeview을 활용하여 제조사 ID, 제품 ID, 시리얼 번호, 최초 연결 시각, 연결된 볼륨명 등 정보 확인 가능