Реєстр Windows — ієрархічна база даних, у якій Windows і застосунки зберігають параметри конфігурації системи, обладнання, програм та облікових записів користувачів.
Як влаштований реєстр Windows
Реєстр організовано у вигляді розділів (ключів) і параметрів, подібно до папок і файлів. Основні кореневі розділи — HKEY_LOCAL_MACHINE (HKLM) із загальносистемними налаштуваннями та HKEY_CURRENT_USER (HKCU) для користувача, який увійшов у систему. На диску дані зберігаються у файлах кущів (hives): SAM, SYSTEM, SOFTWARE і SECURITY в %SystemRoot%\System32\config, а також NTUSER.DAT у профілі кожного користувача. Адміністратори переглядають і редагують реєстр через редактор реєстру (regedit), команду reg або PowerShell.
Чому реєстр важливий для безпеки
Реєстр визначає, що запускає Windows і як вона поводиться, тому зловмисники постійно ним зловживають:
- Закріплення — записи в розділах Run і RunOnce або реєстрація служб забезпечують запуск шкідливого ПЗ під час кожного завантаження (MITRE ATT&CK T1547.001). Це одна з найпоширеніших форм закріплення в системі.
- Зберігання без файлів — сімейства Poweliks і Kovter ховали свій код у параметрах реєстру замість файлів — класичний прийом безфайлового шкідливого ПЗ.
- Послаблення захисту — зміна параметрів, що вимикають Microsoft Defender, UAC або журналювання (T1112, Modify Registry).
- Крадіжка облікових даних — збереження кущів SAM і SYSTEM (T1003.002) дає локальні хеші паролів для атак pass-the-hash.
Для розслідувачів реєстр — багате джерело цифрових артефактів: нещодавно запущені програми, підключені USB-пристрої та активність користувачів.
Як захистити реєстр
- Обмежити права адміністратора, щоб звичайні користувачі й шкідливе ПЗ не могли змінювати HKLM.
- Відстежувати розділи автозапуску за допомогою Sysmon (події 12–14) або EDR і перевіряти їх утилітами на кшталт Autoruns.
- Увімкнути захист від несанкціонованих змін (tamper protection), щоб шкідливе ПЗ не могло змінювати налаштування безпеки.
