بخش دوم
Windows Timeline
آرتیفکت‌های Timeline در ویندوز 11 (مثل ActivitiesCache.db) حذف یا غیرفعال شده‌اند، که بازیابی تاریخچه فعالیت کاربر را دشوارتر می‌کند.
Event Logs
ساختار کلی Event Logها حفظ شده، اما EventIDها و کانال‌های جدیدی که مرتبط با امنیت، مدیریت و ویژگی‌های جدید ویندوز هستند، اضافه شده‌اند—به ویژه برای پشتیبانی از TPM، Secure Boot و Virtualization-Based Security (VBS).
ردیابی فرایندها (Process Tracking - Sysmon و ETW)
ابزارها و سرویس‌هایی مانند Sysmon و ETW همچنان برای مانیتورینگ دقیق رفتار فرآیندها مورد استفاده قرار می‌گیرند. در ویندوز 11، سیستم لاگ‌دهی بهبود یافته است و برخی کانال‌های جدید را نمی‌توان غیر فعال کرد.
حافظه (Memory) و Pagefile/SWAP
در ویندوز 11 به دلیل پیش‌فرض شدن برخی قابلیت‌های امنیتی مبتنی بر مجازی‌سازی (VBS)، بخش‌هایی از حافظه ممکن است رمزگذاری یا غیرقابل دسترس شود که استخراج برخی آرتیفکت‌های معمول حافظه را محدود می‌کند.
قابلیت‌های جدید امنیتی
و TPM 2.0 و Secure Boot:در بسیاری از دستگاه‌ها، برای نصب ویندوز 11 اجرا الزامی است.
و VBS و HVCI:امنیت مبتنی بر مجازی‌سازی و بررسی صحت در سطح کرنل، امکان بسیاری از حملات کلاسیک و بعضاً استخراج فارنزیک قدیمی را کاهش داده یا غیرممکن می‌سازد.
جمع‌بندی
بیشتر آرتیفکت‌های کلیدی میان نسخه‌های 10 و 11 یکسان باقی مانده‌اند؛ اما رجیستری و قابلیت‌های امنیت سخت‌افزاری تغییر چشمگیر داشته و نیازمند به‌روزرسانی دانش و ابزارهای تخصصی است.
مرور مستندات رسمی، تست ابزارها روی نسخه‌های جدید و مطالعه مراجع تخصصی مثل SANS Whitepaper و سایت‌های فارنزیک توصیه می‌شود.
#آکادمی_روزبه
مرکز تخصصی CISSP
Windows Timeline
آرتیفکت‌های Timeline در ویندوز 11 (مثل ActivitiesCache.db) حذف یا غیرفعال شده‌اند، که بازیابی تاریخچه فعالیت کاربر را دشوارتر می‌کند.
Event Logs
ساختار کلی Event Logها حفظ شده، اما EventIDها و کانال‌های جدیدی که مرتبط با امنیت، مدیریت و ویژگی‌های جدید ویندوز هستند، اضافه شده‌اند—به ویژه برای پشتیبانی از TPM، Secure Boot و Virtualization-Based Security (VBS).
ردیابی فرایندها (Process Tracking - Sysmon و ETW)
ابزارها و سرویس‌هایی مانند Sysmon و ETW همچنان برای مانیتورینگ دقیق رفتار فرآیندها مورد استفاده قرار می‌گیرند. در ویندوز 11، سیستم لاگ‌دهی بهبود یافته است و برخی کانال‌های جدید را نمی‌توان غیر فعال کرد.
حافظه (Memory) و Pagefile/SWAP
در ویندوز 11 به دلیل پیش‌فرض شدن برخی قابلیت‌های امنیتی مبتنی بر مجازی‌سازی (VBS)، بخش‌هایی از حافظه ممکن است رمزگذاری یا غیرقابل دسترس شود که استخراج برخی آرتیفکت‌های معمول حافظه را محدود می‌کند.
قابلیت‌های جدید امنیتی
و TPM 2.0 و Secure Boot:در بسیاری از دستگاه‌ها، برای نصب ویندوز 11 اجرا الزامی است.
و VBS و HVCI:امنیت مبتنی بر مجازی‌سازی و بررسی صحت در سطح کرنل، امکان بسیاری از حملات کلاسیک و بعضاً استخراج فارنزیک قدیمی را کاهش داده یا غیرممکن می‌سازد.
جمع‌بندی
بیشتر آرتیفکت‌های کلیدی میان نسخه‌های 10 و 11 یکسان باقی مانده‌اند؛ اما رجیستری و قابلیت‌های امنیت سخت‌افزاری تغییر چشمگیر داشته و نیازمند به‌روزرسانی دانش و ابزارهای تخصصی است.
مرور مستندات رسمی، تست ابزارها روی نسخه‌های جدید و مطالعه مراجع تخصصی مثل SANS Whitepaper و سایت‌های فارنزیک توصیه می‌شود.
#آکادمی_روزبه
مرکز تخصصی CISSP
Comments
Be the first to add a comment
Log in to comment