समय इंतजार नहीं करता है: विंडोज 10 टाइमलाइन की तुलना में अपराधी के लिए उपयोगी हो सकता है

जब उपयोगकर्ता के कंप्यूटर पर होने वाली घटनाओं के पुनर्निर्माण के लिए घटनाओं और वायरस के हमलों की जांच करते हैं, तो फोरेंसिक अक्सर विभिन्न प्रकार के समय का उपयोग करते हैं। एक नियम के रूप में, समयरेखा एक विशाल पाठ फ़ाइल या तालिका है, जिसमें कालानुक्रमिक क्रम में, कंप्यूटर पर होने वाली घटनाओं के बारे में जानकारी प्रदान की जाती है।

समयरेखा तैयारी के लिए प्रसंस्करण मीडिया (उदाहरण के लिए, प्लासो का उपयोग करके) एक समय लेने वाली प्रक्रिया है। इसलिए, कंप्यूटर फोरेंसिक यह जानकर बहुत खुश हुए कि विंडोज 10 के अगले अपडेट में एक नई कार्यक्षमता थी - विंडोज 10 टाइमलाइन।

"जब मुझे पहली बार नए विंडोज फीचर के बारे में पता चला, तो मैंने सोचा," शानदार! अब आपको समय पैदा करने में समय बर्बाद नहीं करना है। ” हालांकि, जैसा कि यह पता चला, मेरी खुशी समय से पहले थी, ”इगोर मिखाइलोव, कंप्यूटर फ़ोरेंसिक्स ग्रुप-आईबी की प्रयोगशाला में एक विशेषज्ञ ने कहा। विशेष रूप से हैबर पाठकों के लिए, इगोर बताता है कि विंडोज 10 टाइमलाइन - एक नए प्रकार की विंडोज 10 कलाकृतियां - पारंपरिक प्रकार की समयरेखा और इसमें क्या जानकारी शामिल है।

इगोर मिखाइलोव , विशेषज्ञ, कंप्यूटर फोरेंसिक ग्रुप-आईबी की प्रयोगशाला द्वारा पोस्ट किया गया।

जैसा कि पहले ही उल्लेख किया गया है, विंडोज 10 में अप्रैल 2018 के अपडेट में, एक नई कार्यक्षमता दिखाई दी, जिसे "टास्क व्यू" (विंडोज 10 टाइमलाइन, या शॉर्ट के लिए टाइमलाइन) कहा जाता है। यह आपको एक कंप्यूटर उपयोगकर्ता की गतिविधि को देखने और जल्दी से दस्तावेजों और कार्यक्रमों पर वापस लौटने की अनुमति देता है, जो पहले खोले गए वीडियो और चित्रों के लिए थे, जिन्हें पहले वेबसाइटों पर देखा गया था। विंडोज 10 टाइमलाइन खोलने के लिए, निम्नलिखित आइकन पर क्लिक करें:


उसके बाद, वर्तमान दिन या कुछ समय पहले खोले गए कार्यक्रमों, दस्तावेजों और साइटों के थंबनेल उपलब्ध हो जाएंगे:


शोधकर्ताओं ने नई कार्यक्षमता की दो विशेषताओं पर ध्यान दिया:

1. कुछ एप्लिकेशन के खुलने का समय टाइमलाइन में दिखाई नहीं देता है
2. टाइमलाइन (पहले का डेटा) का कुछ डेटा Microsoft क्लाउड में स्थानांतरित कर दिया गया है

इस प्रकार, विंडोज 10 टाइमलाइन के विश्लेषण का उपयोग करके प्राप्त की जा सकने वाली जानकारी सामान्य प्रकार की समय-सीमा से भिन्न होती है, जिसमें विश्लेषण किए गए कंप्यूटर पर होने वाली घटनाओं के बारे में अधिक संपूर्ण जानकारी होती है।

विंडोज 10 टाइमलाइन फोरेंसिक उपयोगिताओं द्वारा बनाई गई समयसीमा के साथ भ्रमित नहीं होना चाहिए। उदाहरण के लिए, ऑटोप्सी, बेलकासॉफ्ट एविडेंस सेंटर, ऐक्सआईओएम द्वारा बनाई गई समयसीमा में, विंडोज 10 टाइमलाइन की तुलना में अध्ययन के तहत कंप्यूटर के उपयोगकर्ता के विभिन्न कार्यों के बारे में काफी अधिक रिकॉर्ड हैं।

विंडोज 10 टाइमलाइन को सक्रिय करने के लिए, एक कंप्यूटर उपयोगकर्ता को ऑपरेटिंग सिस्टम के "सेटिंग्स" अनुभाग पर जाने की आवश्यकता है, "गोपनीयता" श्रेणी और "गतिविधि लॉग" उपश्रेणी का चयन करें, और फिर इसके विपरीत बक्से की जांच करें:

• विंडोज को इस कंप्यूटर से मेरे कार्यों को इकट्ठा करने की अनुमति दें
• विंडोज को इस कंप्यूटर से क्लाउड पर मेरे कार्यों को सिंक करने की अनुमति दें

विंडोज 10 समयरेखा फोरेंसिक विरूपण साक्ष्य स्थानों

उपयोगकर्ता \% प्रोफ़ाइल नाम% \ AppData \ Local \ ConnectedDevicesPlatform \ निर्देशिका में , .cpd एक्सटेंशन के साथ एक फ़ाइल होती है, जिसमें क्लाउड के साथ अंतिम विंडोज 10 समयरेखा सिंक्रनाइज़ेशन के समय ( सीएनसीकरण ) के बारे में जानकारी होती है।


विंडोज 10 टाइमलाइन में उपयोगकर्ता गतिविधि के बारे में जानकारी एक्टिविटी कैश फ़ाइल में पथ के साथ संग्रहीत की जाती है: \ Users \% प्रोफ़ाइल नाम% \ AppData \ Local \ ConnectedDevicesPlatform \ L.% प्रोफ़ाइल नाम% \ ।

क्रियाएँCache.db फ़ाइल

क्रियाएँCache.db फ़ाइल एक SQLite डेटाबेस (संस्करण 3) है। किसी भी SQLite डेटाबेस के साथ के रूप में, यह दो सहायक फ़ाइलों, ActivCache.db-shm और ActivCache.db -wal की उपस्थिति की विशेषता है।


हटाए गए रिकॉर्ड के बारे में अतिरिक्त जानकारी अप्रयुक्त तालिका स्थान, फ्रीलास्टिस्ट और वाल-फाइल में निहित हो सकती है।

विंडोज 10 टाइमलाइन का एनाटॉमी

क्रियाएँ Cache.db में निम्न तालिकाएँ होती हैं: गतिविधि , गतिविधि_पैकेज , एक्टिविटीसेटकैच , एक्टिविटीऑपरेशन , ऐपसेटिंग , मैनुअलस्सेंस , मेटाडेटा । शोधार्थी के लिए सबसे बड़ी रुचि है, गतिविधि_पैकेजआईडी और गतिविधि )।


Activity_PackageId तालिका में उन एप्लिकेशन के लिए प्रविष्टियाँ होती हैं जिनमें निष्पादन योग्य फ़ाइलों के लिए पथ शामिल होते हैं (उदाहरण के लिए ... c: \ programdata \ firefly स्टूडियो \ tronghold kingdoms \ 2.0.32.1 \ strongholdkingdoms.exe ... , निष्पादन योग्य फ़ाइलों के नाम, और समाप्ति समय भी। इन प्रविष्टियों के लिए। समाप्ति समय स्तंभ में मान एपोच समय प्रारूप में संग्रहीत हैं।

Activity_PackageId तालिका में प्रविष्टियां 30 दिनों के लिए संग्रहीत की जाती हैं और इसमें निष्पादन योग्य फ़ाइलों या दस्तावेजों के बारे में जानकारी हो सकती है जो पहले से ही जांच के तहत हार्ड ड्राइव पर गायब हैं।


ईद, AppId, PackageIdHash, AppActivityId: गतिविधि तालिका में निम्नलिखित क्षेत्रों में शामिल है , ActivityType, ActivityStatus, ParentActivityId, टैग, समूह, MatchId, LastModifiedTime, ExpirationTime, पेलोड, प्राथमिकता, IsLocalOnly, PlatformDeviceId, CreatedInCloud, StartTime, ENDTIME, LastModifiedOnClient, GroupAppActivityId, ClipboardPayload , एंटरप्राइज आईड, ओरिजिनलमैस्टीफाइडऑनकिएंट, ईटाग।

इसमें पाँच टाइमस्टैम्प फ़ील्ड के रूप में कई शामिल हैं: LastModifiedTime, ExpirationTime, StartTime, EndTime, LastModifiedOnClient (यह फ़ील्ड खाली हो सकती है - यह भरा हुआ है यदि इस तालिका प्रविष्टि में विचाराधीन फ़ाइल को कंप्यूटर उपयोगकर्ता द्वारा संशोधित किया गया है)।

आप इस तालिका में निष्पादन योग्य फ़ाइलों के लिए पथ भी पा सकते हैं: ... "F: \\ NirSoft \\ x64 \\ USBDeview.exe ...
गैरी हंटर (pr3cur50r) लेख में "विंडोज 10 टाइमलाइन - फॉरेंसिक आर्टेक्टैक्ट्स की प्रारंभिक समीक्षा" इंगित करता है कि हटाए गए फ़ाइलों के लिए टाइमस्टैम्प मान नहीं बदले गए हैं। संशोधित दस्तावेजों के लिए, टाइमस्टैम्प मान तुरंत नहीं बदलते हैं, लेकिन 24 घंटों के भीतर।

विंडोज 10 टाइमलाइन का अध्ययन करें

एक्टिविटीसैब.डब फाइल में मौजूद डेटा को देखने का सबसे आसान तरीका SQLite डेटाबेस दर्शक है। उदाहरण के लिए, नि: शुल्क DB ब्राउज़र SQLite उपयोगिता के लिए।


ब्राउज़ डेटा टैब में तालिकाओं के माध्यम से आगे बढ़ते हुए, आप उनकी सामग्री और रिकॉर्ड जानकारी देख सकते हैं जो एक विशिष्ट अध्ययन के दौरान दिलचस्प होगी।

दूसरी उपयोगिता जो हम सुझाते हैं वह है WxTCmd (विंडोज 10 टाइमलाइन डेटाबेस पार्सर)। यह उपयोगिता कमांड लाइन से चलाई जाती है।


अपने काम के परिणामस्वरूप, एक सीएसवी फ़ाइल बनाई जाती है जिसमें एक्टिविटीज़ कैशे.डब फाइल के विश्लेषण के परिणाम होते हैं।


तीसरी उपयोगिता जो हम सुझाते हैं, वह है मैग्नेट फोरेंसिक की एक्सआईओएम ।

इस कलाकृति का विश्लेषण करने के लिए कार्यक्रम के लिए, आपको प्रोग्राम को "केस में शामिल करने के लिए कलाकृतियों का चयन करें" में ऐसा करने के लिए कहना होगा।


फाइल विश्लेषण परिणाम Magnet AXIOM Examiner में देखे जा सकते हैं।


चौथी उपयोगिता जिसे हम ऐसी फ़ाइलों के विश्लेषण के लिए सुझाते हैं, वह है बेल्कासॉफ्ट का बेलकासॉफ्ट एविडेंस सेंटर ।

सिस्टम फ़ाइल अनुभाग में डेटा स्रोत विंडो में डेटा स्रोत (हार्ड डिस्क, लॉजिकल ड्राइव, डायरेक्टरी या फ़ाइल) जोड़ने के बाद, विंडोज लाइन का चयन करें।



डेटा निष्कर्षण पूरा हो जाने के बाद, विंडोज टाइमलाइन श्रेणी ओवरव्यू टैब में दिखाई देगी, जिसमें एक्टिविटी कैश बॉक्स से डेटा निष्कर्षण के परिणाम प्रदर्शित किए जाएंगे।

कंप्यूटर फोरेंसिक में विंडोज 10 टाइमलाइन: इसे अभ्यास में लाना

विंडोज 10 टाइमलाइन में निहित डेटा का उपयोग घटनाओं या डेटा लीक की जांच के लिए किया जा सकता है।

एक उदाहरण के रूप में, हम हैकर्स द्वारा हमला किए गए कंप्यूटर से एक्टिविटी कैश फ़ाइल से डेटा का एक टुकड़ा दिखाएंगे:



जैसा कि आप स्क्रीनशॉट से देख सकते हैं, हमलावरों ने टीम व्यूअर पीड़ितों, फ़ाइल साझा करने वाली फ़ाइल Sendpace.com, Mimikatz को कंप्यूटर पर डाउनलोड किया। विंडोज 10 टाइमलाइन में संग्रहीत घटनाओं के विश्लेषण से पता चलता है कि हमलावरों ने नोटपैड का उपयोग करके नोटपैड (फ़ाइल नोटपैड। Exe ) टीमव्यूअर लॉग (फ़ाइल टीम व्यूअर 14_Logfile.log ) खोला। शायद इस फ़ाइल में जानकारी को हटाने या संशोधित करने के लिए।

यहाँ एक और उदाहरण है। जाहिर है, कंप्यूटर पर बहुत ही असामान्य फाइलें लॉन्च की गईं। संभवतः कोई कंप्यूटर उपयोगकर्ता के बारे में जानकारी एकत्र करने की कोशिश कर रहा था।



इस प्रकार, विंडोज़ 10 में दिखाई देने वाली कलाकृतियों की एक नई श्रेणी, अर्थात् विंडोज़ 10 टाइमलाइन, पिछले 30 दिनों में अध्ययन के तहत कंप्यूटर पर हुई घटनाओं का पुनर्निर्माण करते हुए शोधकर्ता के काम को सरल बनाती है। इसके अलावा, विंडोज 10 टाइमलाइन उन फ़ाइलों के बारे में अतिरिक्त जानकारी प्रदान कर सकता है जो अध्ययन के तहत कंप्यूटर पर चलाई गई थीं, जिनमें हटाए गए भी शामिल हैं। घटनाओं या डेटा लीक की जांच करते समय यह विशेष रूप से महत्वपूर्ण है।