تفاوت‌های فارنزیکی بین ویندوز 10 و ویندوز
بخش اول
ویندوز، توسط مایکروسافت توسعه یافته، از زمان اولین ارائه خود در سال 1985، ستون فقرات رایانش شخصی و حرفه‌ای بوده است.
تا مارس 2022، ویندوز با سهم بازار جهانی 75.7 درصد، پراستفاده‌ترین سیستم‌عامل جهان است. از بین این نصب‌ها، 74.82 درصد روی ویندوز 10 و 8.45 درصد به ویندوز 11 مهاجرت کرده‌اند. مایکروسافت گزارش می‌دهد که بیش از 1.4 میلیارد دستگاه در جهان از ویندوز 10 یا 11 استفاده می‌کنند (Microsoft, 2022a).
مایکروسافت قصد دارد حداقل یک نسخه از ویندوز 10 را تا 14 اکتبر 2025 پشتیبانی کند. با نزدیک شدن به پایان پشتیبانی از ویندوز 10، انتظار می‌رود استفاده از ویندوز 11 به شکل قابل توجهی رشد کند. این تغییر، اهمیت درک تفاوت‌ها و شباهت‌های این دو سیستم‌عامل را برای کارشناسان فارنزیک دیجیتال، به ویژه از نظر آرتیفکت‌ها و قابلیت‌های امنیتی، افزایش می‌دهد.
مطلب خوبی از Andrew Rathbun نوشته شده است که می‌توانید آن را هم مطالعه کنید:
https://www.sans.org/white-papers/windows-10-vs-windows-11-what-has-changed/
آرتیفکت‌های فارنزیکی
این بخش بررسی می‌کند که آیا آرتیفکت‌های کلیدی ویندوز 10 در ویندوز 11 نیز حضور دارند و تفاوت‌های فارنزیکی احتمالی چیست. تحلیلی از آرتیفکت‌های برجسته را در ادامه می‌بینید:
فایل های LNK و Jump Lists
فرمت فایل باینری Shell Link (.LNK) در ژوئن 2021 بازنگری شد، اما هیچ تغییر قابل توجه فارنزیکی شناسایی نشده است. به همین صورت، Jump Listها، که مجموعه‌ای از فایل‌های .LNK مرتبط با برنامه‌ها هستند، میان ویندوز 10 و 11 تغییری نکرده‌اند.
فایل‌های متادیتای $Recycle_Bin
فایل‌های متادیتا در Recycle Bin ($I30) هیچ تفاوت چشمگیری میان ویندوز 10 و 11 نشان نمی‌دهند.
Amcache
آرتیفکت Amcache در هر دو ویندوز 10 و 11 یکسان است.
رجیستری هیوها (Registry Hives)
رجیستری هیوها در ویندوز 11 تغییرات قابل توجهی دارند؛ بیش از 35 هزار کلید جدید یا تغییر یافته وجود دارد. این تغییرات عمدتاً مربوط به قابلیت‌های امنیتی جدید و پشتیبانی از سخت‌افزار و تنظیمات رابط کاربری است.
برای کارشناسان فارنزیک و تحلیلگران امنیتی، بررسی این تغییرات ضروری است، چرا که ممکن است ردپای پایداری (Persistence)، اجرای مخرب، یا تنظیمات مخفی در این موقعیت‌ها شکل گیرد.
Prefetch
فرمت و مکان Prefetch مشابه ویندوز 10 باقی مانده، اما با توجه به فعال بودن ماژول‌های امنیتی مانند TPM و Secure Boot، در برخی دستگاه‌ها Prefetch به طور پیش فرض غیرفعال است.
#آکادمی_روزبه
مرکز تخصصی CISSP
ادامه دارد ...
بخش اول
ویندوز، توسط مایکروسافت توسعه یافته، از زمان اولین ارائه خود در سال 1985، ستون فقرات رایانش شخصی و حرفه‌ای بوده است.
تا مارس 2022، ویندوز با سهم بازار جهانی 75.7 درصد، پراستفاده‌ترین سیستم‌عامل جهان است. از بین این نصب‌ها، 74.82 درصد روی ویندوز 10 و 8.45 درصد به ویندوز 11 مهاجرت کرده‌اند. مایکروسافت گزارش می‌دهد که بیش از 1.4 میلیارد دستگاه در جهان از ویندوز 10 یا 11 استفاده می‌کنند (Microsoft, 2022a).
مایکروسافت قصد دارد حداقل یک نسخه از ویندوز 10 را تا 14 اکتبر 2025 پشتیبانی کند. با نزدیک شدن به پایان پشتیبانی از ویندوز 10، انتظار می‌رود استفاده از ویندوز 11 به شکل قابل توجهی رشد کند. این تغییر، اهمیت درک تفاوت‌ها و شباهت‌های این دو سیستم‌عامل را برای کارشناسان فارنزیک دیجیتال، به ویژه از نظر آرتیفکت‌ها و قابلیت‌های امنیتی، افزایش می‌دهد.
مطلب خوبی از Andrew Rathbun نوشته شده است که می‌توانید آن را هم مطالعه کنید:
https://www.sans.org/white-papers/windows-10-vs-windows-11-what-has-changed/
آرتیفکت‌های فارنزیکی
این بخش بررسی می‌کند که آیا آرتیفکت‌های کلیدی ویندوز 10 در ویندوز 11 نیز حضور دارند و تفاوت‌های فارنزیکی احتمالی چیست. تحلیلی از آرتیفکت‌های برجسته را در ادامه می‌بینید:
فایل های LNK و Jump Lists
فرمت فایل باینری Shell Link (.LNK) در ژوئن 2021 بازنگری شد، اما هیچ تغییر قابل توجه فارنزیکی شناسایی نشده است. به همین صورت، Jump Listها، که مجموعه‌ای از فایل‌های .LNK مرتبط با برنامه‌ها هستند، میان ویندوز 10 و 11 تغییری نکرده‌اند.
فایل‌های متادیتای $Recycle_Bin
فایل‌های متادیتا در Recycle Bin ($I30) هیچ تفاوت چشمگیری میان ویندوز 10 و 11 نشان نمی‌دهند.
Amcache
آرتیفکت Amcache در هر دو ویندوز 10 و 11 یکسان است.
رجیستری هیوها (Registry Hives)
رجیستری هیوها در ویندوز 11 تغییرات قابل توجهی دارند؛ بیش از 35 هزار کلید جدید یا تغییر یافته وجود دارد. این تغییرات عمدتاً مربوط به قابلیت‌های امنیتی جدید و پشتیبانی از سخت‌افزار و تنظیمات رابط کاربری است.
برای کارشناسان فارنزیک و تحلیلگران امنیتی، بررسی این تغییرات ضروری است، چرا که ممکن است ردپای پایداری (Persistence)، اجرای مخرب، یا تنظیمات مخفی در این موقعیت‌ها شکل گیرد.
Prefetch
فرمت و مکان Prefetch مشابه ویندوز 10 باقی مانده، اما با توجه به فعال بودن ماژول‌های امنیتی مانند TPM و Secure Boot، در برخی دستگاه‌ها Prefetch به طور پیش فرض غیرفعال است.
#آکادمی_روزبه
مرکز تخصصی CISSP
ادامه دارد ...
Comments
Be the first to add a comment
Log in to comment