Windows naplófájlok a forensics vizsgálatokban
A Seth Enoka DFIR-sorozatának új része arra hívja fel a figyelmet, hogy a Windows nyomok egy része, így a szolgáltatások, ütemezett feladatok, Run kulcsok és egyéb autorun mechanizmusok, gyakran túlértékelt bizonyítékok a forenzikus vizsgálatokban. Ezek az artefaktumok elsősorban konfigurációs állapotot igazolnak, azt bizonyítják, hogy a rendszert úgy állították be, hogy egy program meghatározott események, rendszerindítás, bejelentkezés vagy időzített trigger, hatására ismét futtásra kerüljön. Önmagukban azonban nem bizonyítják, hogy a program ténylegesen elindult, sikeresen lefutott, rosszindulatú volt vagy kárt okozott. A szerző szerint a vizsgálatok során célszerű három külön kérdésként kezelni, mire konfigurálták a rendszert, a mechanizmus valóban lefutott-e, illetve milyen hatást váltott ki, és minden állítást külön bizonyítékokkal alátámasztani.
A szolgáltatások és ütemezett feladatok rendkívül gyakoriak legitim környezetben is, hiszen operációs rendszerek, vállalati menedzsmenteszközök, EDR-megoldások, frissítők és rendszergazdai szoftverek egyaránt használják őket. Egy gyanús szolgáltatás vagy Scheduled Task ezért önmagában nem bizonyít támadást; az elemzőnek ellenőriznie kell a futtatható állomány elérési útját, digitális aláírását, létrehozásának időpontját, valamint össze kell vetnie a környezet ismert baselineal. A tényleges végrehajtás igazolásához további bizonyítékokra, Service Control Manager eseményekre, Task Scheduler naplókra, folyamatindítási eseményekre, EDR-telemetriára vagy Prefetch-re, van szükség. A szerző szerint a megbízható incidenselemzés kulcsa, hogy az elemző világosan elkülönítse a konfiguráció, a végrehajtás és a hatás bizonyítását, elkerülve a perzisztencia-mechanizmusok túlértelmezését.
