初めての「RegistryViewer」
」
初めての「
2015年
年2月月22日日
セクタンラボセクタンラボ

Copyright (C) 2015 SecTan Lab. All Rights Reserved.

Registry Viewerについてについて•

Registry Viewerは，は，Windows上で動作上で動作するフォレンジックツールは，上で動作するフォレンジックツールです。
するフォレンジックツールです。
– 有償ツールのためドングルを接続しないと機能制限された「DemoMode」での起動と」での起動と有償ツールのため，のため，USBドングルを接続しないと機能制限された「ドングルを接続しないと機能制限された「なりますが，基本操作の学習用とであれば十分に使えます。

•FTK Imagerなどでエスクポートしたレジストリファイルを読み込み，解析する機能を有などでエスクポートしたレジストリファイルを読み込み，解析する機能を有しています。
– OS標準の「レジストリエディタ」では表示されない，レジストリキーの更新日時も表示されます。
標準の「レジストリエディタ」では表示されない，レジストリキーの更新日時も表示されます。
– 一部のレジストリキーに対しては，解析結果を表示する機能もあります。
（ROT13形式に変換されたデータの復号など）
形式に変換されたデータの復号など）•

本資料では，RegistryViewerの基本的な操作の基本的な操作方法を記載します。
本資料では，の基本的な操作方法を記載します。

P2

ダウンロードとインストール

P3

ダウンロード（1）ダウンロード（ ）•AccessData社の社のWEBサイト（サイト（http://accessdata.com/）にアクセスし，上部メニュー）にアクセスし，上部メニュー社のサイト（「SOLUTIONS」」-「「Product Downloads」をクリック」をクリック

①

②

P4

ダウンロード（2）ダウンロード（ ）•[DIGITAL FORENSICS]をクリックし，フォレンジック製品一覧の中から「をクリックし，フォレンジック製品一覧の中から「Registryをクリックし，フォレンジック製品一覧の中から「Viewer」をクリックし，「」をクリックし，「DOWNLOAD」をクリック」をクリック」をクリックし，「①②③P5インストール•

通常版は，インストーラーの指示どおりにクリックするだけで，難しいことは何もないので割愛します。

P6

起動（1）
起動（ ）•デスクトップに作成されたショートカットなどから「RegistryViewer」を実行します。
」を実行します。
デスクトップに作成されたショートカットなどから「P7

起動（2）
起動（ ）•エラーメッセージが表示されたらエラーメッセージが表示されたら，「いいえ」をクリックたら，「いいえ」をクリック– 「ライセンス認証用のUSBドングルが見つからないため，ネットワーク上のライセンス認証ドングルが見つからないため，ネットワーク上のライセンス認証「ライセンス認証用のサーバを指定しますか」という趣旨のメッセージです。

P8

起動（3）
起動（ ）•メッセージが表示された「OK」をクリックすると，」をクリックすると，RegistryViewerが起動します。
が起動します。
メッセージが表示された「」をクリックすると，– 「Demo Modeで起動します」という趣旨のメッセージです。
で起動します」という趣旨のメッセージです。

P9

基本操作

P 10

レジストリファイルの閲覧•

ツールバーから「Open」をクリックして閲覧したいレジストトリファイルを選択，またはレ」をクリックして閲覧したいレジストトリファイルを選択，またはレツールバーから「ジストリファイルを，「RegistryViewer」のウィンドウにドラッグアンド」のウィンドウにドラッグアンドジストリファイルを，「P 11画面構成••

画面上部は，OS標準の「レジストリエディタ」とほぼ同じです。
画面上部は， 標準の「レジストリエディタ」とほぼ同じです。
画面下部に画面下部に，レジストリキーの更新時間や，データの16進数が表示されます。
，レジストリキーの更新時間や，データの 進数が表示されます。

レジストリキーの一覧

値（value）とデータ）とデータ値（キーの更新日時・UTC（協定世界時）のため，日本時間に換算するには+9時間して読み取る。また，一部レジス
トリキーでは，解析結果も表示

データ・選択したデータを16進数およびASCIIで表示

P 12（参考）レジストリの基本

P 13

レジストリの概要••

レジストリとは，Windowsのシステム設定およびアプリケーション設定を記録するデーのシステム設定およびアプリケーション設定を記録するデー
レジストリとは，タベースです。「キー」と「値」で構成されます。
「キー」は，最終更新日時を保有しており，直下の「値」が追加・削除・更新されると，タイムスタンプが更新されます。（「値」は，タイムスタンプを保有していません）
キー（フォルダのようなもの）
キー

値（Value，ファイルのようなもの）
・それぞれの「値」は，「名前」，「種類」，「データ」の属性を持っているP 14

レジストリファイル•

レジストリは，複数のレジストリファイルとして保管されています
レジストリは，複数のレジストリファイルとして保管されています。
います。
– OS起動時に各ファイルが読み込まれ，レジストリハイブ起動時に各ファイルが読み込まれ，レジストリハイブ*1として構成されます。OS終了時・アとして構成されます。 終了時・ア
プリケーション終了時に変更内容がファイルに保存されます。

•

FTK Imagerなどでエクスポートしたレジストリファイルを，などでエクスポートしたレジストリファイルを，Registry
Viewerで解析しで解析しなどでエクスポートしたレジストリファイルを，ます。

レジストリハイブとレジストリファイル
レジストリハイブ

レジストリファイルの場所

HKEY_LOCAL_MACHINE¥SAM

C:¥Windows¥System32¥config¥SAM

HKEY_LOCAL_MACHINE¥SECURITY

C:¥Windows¥System32¥config¥SECURITY

HKEY_LOCAL_MACHINE¥SOFTWAREC:¥Windows¥System32¥config¥SOFTWAREHKEY_LOCAL_MACHINE¥SYSTEMC:¥Windows¥system32¥config¥SYSTEMHKEY_USERS¥(ユーザーのユーザーのSID））
ユーザーのC:¥Users¥【ユーザー名】¥NTUSER.DAT*1 レジストリ内部で構成される，レジストリキーのグループのこと。

P 15

自動構成されるレジストリハイブ•

一部のレジストリハイブは，複数のレジストリファイルなどの情報を組み合わせて自動構成されます。

複数のレジストリファイル等から自動構成されるレジストリハイブ
レジストリハイブ

説明HKEY_CLASSES_ROOT

エクスプローラーを使用してファイルを開くときに，正しいプログラムを起動するための情報が格納される。

HKEY_CURRENT_CONFIG

システムの起動時に，ローカル コンピューターにより使用されるハードウェア プロファイルに関する情報が格納される。

HKEY_CURRENT_USER

現在ログオンしているユーザーの構成情報が格納される。

P 16

参考情報•

上級ユーザー向けの）上級ユーザー向けの Windows レジストリ情報
レジストリ情報 （Microsoft）– http://support.microsoft.com/kb/256986/ja•

Windows OS入門：第入門：第5回）
入門：第 回 システム設定を集中管理するレジストリ
システム設定を集中管理するレジストリ （@IT）– http://www.atmarkit.co.jp/ait/articles/1501/22/news143.html•Insider‘s Computer Dictionary ハイブ（hive）） （@IT））
ハイブ（– http://www.atmarkit.co.jp/icd/root/82/63063482.html

P 17