01Soru
Çalışanın son haftasında iş istasyonuna bir USB yığın depolama aygıtı bağlandı mı ve "Kuzey Makine teklif" klasörünün ona kopyalandığına dair delil var mı?
02Arka plan
Kurgusal bir üretici olan Kuzey Makine, bir müşteri klasörünün bir rakipte görülmesinin ardından istifa eden bir mühendisin Windows 10 iş istasyonunun incelenmesini ister. İş istasyonu son çalışma gününden dokuz gün sonra imajlanmıştır. Herhangi bir dosyanın nasıl oluşturulduğuna dair bir iddia yoktur; soru yalnızca çıkarılabilir ortama kopyalamayla sınırlıdır.
03Sınırlar
- USB sürücünün kendisi mevcut değildi; yalnızca iş istasyonu imajı incelendi.
- Nesne erişimi için güvenlik denetimi (olay 4663) etkin değildi; bu nedenle dosya kopyalama olayları günlüğe yazılmadı.
04Alınan delil
05İnceleme yöntemi
Aygıtı ve bağlanma zamanlarını belirleyin
SYSTEM/SOFTWARE içindeki USBSTOR ve Windows Portable Devices anahtarları, son çalışma gününden iki gün önce ilk kez görülen bir yığın depolama aygıtının üreticisini, ürününü ve seri numarasını verdi. setupapi.dev.log ilk kurulum zamanını kaydetti; birimin sürücü harfi ve GUID'i MountedDevices'tan okundu. Her değer kayıt defteri yoluyla kaydedildi.
USB aygıt geçmişi (USBSTOR, USB, MountedDevices, setupapi.dev.log)Zaman damgası çözücü
Aygıt birimine atıf yapan kullanıcı etkinliğini bulun
Recent'teki LNK dosyaları ve Explorer için Jump List'ler, hedef yolu ve çıkarılabilir sürücünün birim seri numarasını taşıyordu. Birkaç LNK hedefi, o birime atanan sürücü harfi altında, müşteri adını taşıyan bir klasörün içindeki dosyaları gösteriyordu. Shellbag'ler klasörün çıkarılabilir birimden gezildiğini gösterdi.
LNK kısayol dosyalarıJump List'lerShellBags (BagMRU / Bags)Zaman damgası çözücü
Kopyalamayı dosya sistemi günlükleriyle doğrulayın
Dahili sürücüde $MFT ve $UsnJrnl, kaynak klasörün dosyalarının okunduğunu (etkinse son erişim) ve eşleşen dosya adlarının LNK kümesinde göründüğünü gösterdi. SRUM, ilgili saatte Explorer'ın ve bir dosya yöneticisinin etkinliğini kaydetti. USB sürücü mevcut olmadığından kopyalama, dış birimin kendisinden değil, dış birime atıf yapan cihaz tarafı kayıtlarından çıkarılmıştır.
$MFT (NTFS Ana Dosya Tablosu)$UsnJrnl:$J (USN değişiklik günlüğü)SRUM (SRUDB.dat)Zaman damgası çözücüHash hesaplayıcı
Etkinliği hesaba yerleştirin ve UTC'ye bağlayın
Security günlüğündeki 4624 tür 2 olayı, mühendisin hesabının LNK ve Jump List kayıtlarının yazıldığı pencere boyunca etkileşimli oturum açtığını gösterdi. Tüm zamanlar, kayıt defterinden okunan sistem saat dilimiyle UTC'ye normalleştirildi; özgün yerel değer yanında tutuldu.
Windows XML Olay Günlüğü (EVTX)Yerel saatten UTC'yeOlay 4624
06Bulgular
Sağlam
Kaydı tutulan seri numaralı tek bir USB yığın depolama aygıtı, son haftada üç kez iş istasyonuna bağlandı; ilk bağlantı son çalışma gününden iki gün önceydi.
DayanakUSBSTOR, MountedDevices ve setupapi.dev.log aygıt ve zamanlarda uyuşuyor.
Sağlam
Müşteri klasörü ve içindeki dosyalar, o çıkarılabilir birimden mühendisin etkileşimli oturum açmış hesabıyla erişildi.
DayanakLNK ve Jump List kayıtları birim seri numarasını taşıyor; Shellbag'ler gezinmeyi gösteriyor; 4624 hesabı oturumda konumluyor.
Olası
Dosyalar büyük olasılıkla yalnızca açılmaktan çok çıkarılabilir birime kopyalandı.
DayanakCihaz tarafı okuma etkinliği ile dış birimdeki klasör yapısı kopyalamayı destekler, ancak USB sürücü incelenmedi.
07Sınırlılıklar
- USB sürücü olmadan laboratuvar, ona yazılan baytları ya da listelenen her dosyanın eksiksiz ulaştığını doğrulayamaz.
- Nesne erişimi denetimi kapalı olduğundan, kopyalama işleminin kendisine ait bir olay günlüğü kaydı yoktur.
- İnceleme, mühendisin çıkarılabilir ortam kullanmaya yetkili olup olmadığını ele almaz; bu bir ilke sorusudur, adli bir soru değildir.
08Rapor alıntısı
Seri numarası ****A21F olan çıkarılabilir birim 2026-… tarihinde 07:41 UTC (yerel 10:41) bağlandı. LNK hedefi \Device\…\E:\Kuzey Makine teklif\fiyat.xlsx o birimin seri numarasını taşıyor. Mühendisin hesabı (4624 tür 2) boyunca oturum açmıştı. USB sürücü incelemeye hazır olmadığından kopyalamayı sağlam değil, olası olarak belirtiyoruz.
09Çıkarımlar
- LNK ve Jump List kayıtlarındaki birim seri numarası, diskteki etkinliği belirli bir çıkarılabilir aygıta bağlayan şeydir.
- Eksik delili (USB sürücü) adıyla belirtin ve etrafından dolaşmak yerine güveni düşürmesine izin verin.
- Denetim ayarları hangi olay günlüğü delilinin var olabileceğine karar verir; neyin kapalı olduğunu kaydedin.