Реестр Windows — иерархическая база данных, в которой Windows и приложения хранят параметры конфигурации системы, оборудования, программ и учётных записей пользователей.
Как устроен реестр Windows
Реестр организован в виде разделов (ключей) и параметров, по аналогии с папками и файлами. Основные корневые разделы — HKEY_LOCAL_MACHINE (HKLM) с общесистемными настройками и HKEY_CURRENT_USER (HKCU) для вошедшего пользователя. На диске данные хранятся в файлах кустов (hives): SAM, SYSTEM, SOFTWARE и SECURITY в %SystemRoot%\System32\config, а также NTUSER.DAT в профиле каждого пользователя. Администраторы просматривают и редактируют реестр через редактор реестра (regedit), команду reg или PowerShell.
Почему реестр важен для безопасности
Реестр определяет, что запускает Windows и как она себя ведёт, поэтому злоумышленники постоянно им злоупотребляют:
- Закрепление — записи в разделах Run и RunOnce или регистрация служб обеспечивают запуск вредоносного ПО при каждой загрузке (MITRE ATT&CK T1547.001). Это одна из самых распространённых форм закрепления в системе.
- Хранение без файлов — семейства Poweliks и Kovter прятали свой код в параметрах реестра вместо файлов — классический приём бесфайловых вредоносов.
- Ослабление защиты — изменение параметров, отключающих Microsoft Defender, UAC или журналирование (T1112, Modify Registry).
- Кража учётных данных — сохранение кустов SAM и SYSTEM (T1003.002) даёт локальные хеши паролей для атак pass-the-hash.
Для расследователей реестр — богатый источник цифровых артефактов: недавно запущенные программы, подключавшиеся USB-устройства и активность пользователей.
Как защитить реестр
- Ограничить права администратора, чтобы обычные пользователи и вредоносы не могли изменять HKLM.
- Отслеживать разделы автозапуска с помощью Sysmon (события 12–14) или EDR и проверять их утилитами вроде Autoruns.
- Включить защиту от несанкционированных изменений (tamper protection), чтобы вредонос не мог менять настройки безопасности.
