Validação de Hardwares e Softwares para Computação Forense

[ Update: 07/03/2010 ]

Para quem

acha que os relatórios de validações de ferramentas forenses disponíveis estão um pouco antigos, existe uma oportunidade única oferecida pelo pessoal do NIST e do NW3C [National White Collar Crime Center (NW3C) ] - eles disponibilizaram este formulário para que a comunidade escolha quais produtos merecem ser revisados pela equipes destes órgãos.

Mais detalhes:

http://blogs.sans.org/computer-forensics/2010/03/04/computer-forensics-tool-testing-cftt-survey/

[ Post Original: 04/02/2010 ]

Dentre os princípios que norteiam a Computação Forense, a VALIDAÇÃO DAS FERRAMENTAS e técnicas utilizadas ocupa sempre um espaço de destaque.

Com o objetivo de facilitar este trabalho seguem algumas referências de validações técnicas (testes de hardwares e softwares) relacionados à Computação Forense publicadas por 3 diferentes entidades:

1) NIST - National Institute of Standards and Technology
2) US Department of Justice
3) Marshall University

Certamente os resultados presentes nos links abaixo podem ser úteis para o avaliar e comparar a qualidade e funcionalidade de diversos produtos, além de apresentar uma interessante visão das das metodologias utilizadas durante os testes.

Observação: Foram omitidos da relação que publicamos os testes realizados há mais de 3 anos - mas a totalidade dos testes pode ser verificada nos links fornecidos abaixo.

I) http://www.cftt.nist.gov/
II) http://www.nist.gov/itl/ssd/computer-forensics.cfm (projeto reiniciado em 2010)
III) http://nij.ncjrs.gov/publications/Pub_Search.asp?category=99&searchtype=basic&location=top&PSID=55


Geração de Imagens de Discos:

• Logicube Forensic Talon Software Version 2.43 (January 2010)
• BlackBag MacQuisition 2.2 (September 2009)
• EnCase 6.5 (September 2009)
  
• EnCase LinEn 6.01 (October 2008)
• EnCase 5.05f (June 2008)
• FTK Imager 2.5.3.14 (June 2008)
• DCCIdd (Version 2.0, June 1 2007) (January 2008)
• EnCase 4.22a (January 2008)
• Encase Linen 5.05f (January 2008)
• IXimager (Version 2.0, Feb-01 2006) (April 2007)

Preparação de Discos (WIPE/Sanitização)

• Darik's Boot and Nuke 1.0.7 (January 2010)
• Voom HardCopy II (Model XLHCPL-2PD Version 1.11) (January 2010)
• WiebeTech Drive eRazer: DRZR-2-VBND & Drive eRazer PRO Bundle (September 2009)

Bloqueadores de Escrita via Software:
ACES Software Write Block Tool Test Report: Writeblocker Windows 2000 V5.02.00 (January 2008)
ACES Software Write Block Tool Test Report: Writeblocker Windows XP V6.10.0 (January 2008)

via Hardware:

T4 Forensic SCSI Bridge (FireWire Interface) (September 2009)
T4 Forensic SCSI Bridge (USB Interface) (September 2009)
Tableau T8 Forensic USB Bridge (FireWire Interface) (August 2008)
Tableau T8 Foresnic USB Bridge (USB Interface) (August 2008)
FastBloc FE (USB Interface) (June 2007)
FastBloc FE (FireWire Interface) (June 2007)
Tableau T5 Forensic IDE Bridge (USB Interface) (June 2007)
Tableau T5 Forensic IDE Bridge (FireWire Interface) (June 2007)
Tableau Forensic SATA Bridge T3u (USB Interface) (January 2007)
Tableau Forensic SATA Bridge T3u (FireWire Interface) (January 2007)
Tableau Forensic IDE Pocket Bridge T14 (FireWire Interface) (January 2007)


Dispositivos Móveis:

• Test Results for Mobile Device Acquisition Tool: BitPim - 1.0.6-official (January 2010)
• Test Results for Mobile Device Acquisition Tool: MOBILedit! Forensics 3.2.0.738 (January 2010)
• Test Results for Mobile Device Acquisition Tool Susteen DataPilot Secure View 1.12.0 (September 2009)
• Test Results for Mobile Device Acquisition Tool: Final Data - Final Mobile Forensics 2.1.0.0313 (September 2009)
• Test Results for Mobile Device Acquisition Tool: Paraben Device Seizure 3.1 (September 2009)
• Test Results for Mobile Device Acquisition Tool: Cellebrite UFED 1.1.05 (September 2009)
• Test Results for Mobile Device Acquisition Tool: Micro Systemation .XRY 3.6 (October 2008)
  
• Test Results for Mobile Device Acquisition Tool: Guidance Software Neutrino 1.4.14 (October 2008)
  
• Test Results for Mobile Device Acquisition Tool: Paraben Device Seizure 2.1 (October 2008)
  
• Test Results for Mobile Device Acquisition Tool: Susteen DataPilot Secure View 1.8.0 (October 2008)

IV) http://forensics.marshall.edu/Digital/Digital-Pubs.html

Hardware Validations:

Validation Testing of Guidance Software’s FastBloc 2 Field Edition (FE)
Validation Testing of Guidance Software’s FastBloc Field Edition (FE)
Validation Testing of FastBloc Laboratory Edition (LE)
Validation Testing of Guidance Software’s FastBloc Software Edition (SE)
Verification of the Functionality of the X-Late HardCopy ATA Hard Drive Data Capture Unit
Sending multiple dd Image Captures to a Single Hard Disk Using Logicube Forensic MD5 Capturing System
Validation Testing of Paraben’s Lockdown
Validation Testing of the Logicube Serial-ATA (SATA) cloning adapter
Functionality Test of the Logicube® Forensic Talon Capturing System
Functionality Test of the UltraBlock™ Forensic Card Reader
Functionality Test of Tableau® UltraBlock™ Forensic USB Bridge Device
Functionality Test of the Logicube® Desktop Write-PROtect Adapter

Software Validations:

Independent Validation and Verification (IV&V) of EnCase Forensic Edition Law Enforcement and Government Edition Version 5 (update v.5.05d)
Independent Validation and Verification (IV&V) of AccessData’s Forensic Toolkit (FTK) Imager v.2.5.1

Forense de Memória: Port do Volatility para Enscript

Para facilitar a análise de memória para usuários das novas versões do Encase (Enterprise, FIM e Forensic) a Guidance incluiu um Enscript chamado "Memory Analyzer", mas este depende de licença do (excelente) produto HBGary Responder instalado na máquina para funcionar.

Para uma análise da memória mais rápida, existia uma alternativa em antigas versões do Encase que não tem sido atualizada, ela utilizava o Framework do Memoryize- mais informações aqui: http://sseguranca.blogspot.com/2008/12/encase-memscript-memoryze-facilitando.html

Para as últimas versões do Encase (6.14, 6.15), tive a felicidade de entrar em contato nesta semana com uma suite de Enscripts desenvolvida por Takahiro Haruyama chamada "Memory Forensic Toolkit".

Estes Enscripts são baseados no famoso Volatility - ou seja, Haruyama aproveitou o código GPL em Python do Volatility e fez um port para o Enscript (primo do C# proprietário da Guidance Software).

A integração com o Encase ficou muito boa, e são suportados os formatos de dumps de memória RAW (WinDD, FTK Imager, Winen, DD, etc..) e também arquivos .vmem do VMWare para versões 32bit do Windows XP e Windows 7.

As funcionalidades, por módulo, são as seguintes:

• PsList　(Lista todos os processos)
• KMList (Lista todos os módulos de Kernel)
• ConnList (Lista todas as conexões)
• VadSearch (Procura por palavras chaves *pré criadas e selecionadas* em " Virtual Address Descriptors" de um processo)
• DllList (Lista todas as bibliotecas de um processo)
• OpenFiles (Lista todos os arquivos abertos de um processo)
• ProcDump (Exporta um processo como um arquivo .exe no disco do examinador)
• Vtypes/Win32/x86 (Bibliotecas necessárias para o funcionamento dos EnScripts)

Download - para os interessados, a última versão (zip com os .Enscript) está disponível na página (japonesa) do autor: http://cci.cocolog-nifty.com/blog/2010/02/encase-enscri-1.html

Guidance Encast - Videos sobre Forense Computacional

A Guidance Software está postando alguns vídeos online contendo material de treinamento sobre forense computacional e Encase.

Conteúdo já publicado:

* EnCast™ Videos

- Facebook Chat

* CEIC 2009 Presentations

- EnCE Workshop
- Super Basic Stuff with EnScript
- The Windows XP & Vista Registry Part 1

Segue a URL:

http://tinyurl.com/encast
ou
https://www.encaseondemand.com/EnCast/tabid/1382/Default.aspx

Melhores ferramentas de Computação Forense - Prêmio "2011 SC Awards"

Recentemente a revista "SC Magazine" publicou uma lista de 5 finalistas de uma premiação que está promovendo em várias categorias ligadas à Segurança da Informação.

Na categoria "Melhores Ferramentas de Computação Forense" (Best Computer Forensics Tool), seguem os resultados:

• AccessData Group for Forensic Toolkit (FTK)
• ArcSight for ArcSight Logger
• Guidance Software for EnCase Forensic
• NetWitness for NetWitness NextGen 9.5
• Quest Software for Quest ChangeAuditor

Com exceção do último da lista "Quest ChangeAuditor" - nós da Techbiz Forense Digital somos representantes no Brasil de todos os finalistas. Seguindo os links acima, você verá os artigos já escritos neste blog sobre as empresas e ferramentas que trabalhamos.

Segue abaixo para referência a listagem dos 5 finalistas de todas as categorias:

Reader Trust Categories

Best Anti-Malware Gateway

Cisco for Cisco Web Security

M86 Security for M86 Secure Web Gateway

McAfee for McAfee Web Gateway Anti-malware

Sophos for Sophos Web Security Appliance

Websense for Websense Web Security Gateway

Best Anti-Malware Management (client-based, typically software only)

ESET for ESET NOD32 Anti-virus 4

Kaspersky Lab Americas for Kaspersky Open Space Security

McAfee for McAfee Endpoint Protection Suite

Microsoft for Forefront Client Security

Sophos for Sophos Endpoint Security and Data Protection

Best Computer Forensics Tool

AccessData Group for Forensic Toolkit (FTK)

ArcSight for ArcSight Logger

Guidance Software for EnCase Forensic

NetWitness for NetWitness NextGen 9.5

Quest Software for Quest ChangeAuditor

Best Data Leakage Prevention

Cisco Systems for Cisco IronPort Email DLP

McAfee for McAfee Data Loss Prevention (DLP)

RSA Security for RSA Data Loss Prevention (DLP) Suite

Symantec for Symantec Data Loss Prevention

Trend Micro for Trend Micro Data Loss Prevention

Best Email Content Management

Cloudmark for Cloudmark DesktopOne

McAfee for McAfee Web SaaS

Proofpoint for Proofpoint

Sophos for Sophos Email Security Appliance

Symantec for Symantec Brightmail Gateway

Best Email Security

Cisco Systems for Cisco IronPort Email Security

DataMotion for SecureMail

SonicWALL for SonicWALL E-Class ESA ES8300

Sophos for Sophos Email Security Appliance

Symantec for PGP Universal Gateway Email from Symantec

Webroot for Webroot Email Security Service

Best Endpoint/UTM Security

Check Point Software Technologies for Check Point UTM-1

McAfee for McAfee Total Protection for Endpoint, Enterprise Edition

SonicWALL for SonicWALL E-Class Network Security Appliance (NSA) E8500

Sophos for Sophos Endpoint Security and Data Protection

Symantec for Symantec Endpoint Protection 11.0

Best Enterprise Firewall

Cisco Systems for Cisco ASA 5585-X

Fortinet for FortiGate-3950B

McAfee for McAfee Firewall Enterprise

Palo Alto Networks for Palo Alto Networks PA-4000 Series next-generation firewalls

SonicWALL for SonicWALL E-Class Network Security Appliance (NSA) E8500

Best Identity Management Application

CA Technologies for CA Identity Manager

IBM for IBM Tivoli Identity and Access Assurance

Microsoft for Forefront Identity Manager 2010

NetIQ for NetIQ Identity & Access Management Solution

Novell for Novell Identity & Access Management

Best Integrated Security-UTM Product

Astaro Internet Security for Astaro Security Gateway

Fortinet for FortiGate-1240B

NETGEAR for NETGEAR ProSecure UTM25

SonicWALL for SonicWALL NSA 2400MX

Sophos for Sophos Endpoint Security and Data Protection

Best Intrusion Detection/Prevention Product

Check Point Software Technologies for Check Point IPS Software Blade

Cisco for Cisco Intrusion Prevention System

HP TippingPoint for HP TippingPoint IPS

McAfee for McAfee Network Security Platform

Sourcefire for Sourcefire IPS (based on Snort)

Best IPsec/SSL VPN

Cisco Systems for Cisco ASA Secure Remote Access solution

Citrix Systems for Citrix Access Gateway

F5 Networks for BIG-IP Edge Gateway

Juniper Networks for SA Series SSL VPN Appliances

SonicWALL for SonicWALL Secure Remote Access (SRA) EX7000

Best Managed Security Service

Entrust for Entrust Managed PKI

McAfee for McAfee SaaS Total Protection

RSA, the security division of EMC, for RSA Adaptive Authentication

SecureWorks for SecureWorks Managed Security Services

Symantec for Symantec Managed Security Services

Best Mobile/Portable Device Security

Good Technology for Good for Enterprise

IronKey for IronKey Enterprsie

McAfee for McAfee Enterprise Mobility Management (McAfee EMM)

Sophos for Sophos SafeGuard Enterprise

Symantec for Symantec Endpoint Protection Mobile Edition

Best Multifactor Product

Entrust for Entrust IdentityGuard

IBM for IBM Tivoli Access Manager for Enterprise Single Sign-On

Imprivata for Imprivata OneSign

PhoneFactor for PhoneFactor

RSA, the security division of EMC, for RSA SecurID Authentication

VeriSign for VeriSign Identity Protection (VIP) Authentication Service

Best Policy Management Application

Cisco Systems for Cisco Network Admission Control Appliance

McAfee for McAfee Policy Auditor

NetIQ for NetIQ Secure Configuration Manager

Symantec for Symantec Control Compliance Suite

Tripwire for Tripwire Enterprise 8.0

Best Security Information/Event Management (SIEM) Appliance

ArcSight for ArcSight ESM

Q1 Labs for QRadar SIEM

RSA, the security division of EMC, for RSA enVision Platform

Symantec for Symantec Security Information Manager

Tripwire for Tripwire Log Center

Best Vulnerability Management Tool

McAfee for McAfee Risk Management Solution

nCircle Network Security for nCircle IP360/WebApp360

Qualys for QualysGuard Vulnerability Management (VM)

Rapid7 for NeXpose

Secunia for Secunia Corporate Software Inspector (CSI)

Tenable Network Security for Tenable SecurityCenter 4.0 with Nessus 4.2, Log Correlation Engine (LCE) 3.4 and Passive Vulnerability Scanner (PVS) 3.2

Best Web Application Firewall

Citrix Systems for NetScaler Application Firewall

F5 Networks for BIG-IP Applicaiton Security Manager

Imperva for SecureSphere Web Application Firewall

International Business Machines for IBM Security Network IPS with Web App Protection

SonicWALL for SonicWALL Web Application Firewall Service

Best Web Content Management Product

Barracuda Networks for Barracuda Web Filtering

McAfee for McAfee Web Gateway

Sophos for Sophos Web Security Appliance

Websense for Websense Web Security Gateway

Zscaler for Zscaler Web Security Service

Excellence Categories

Best Enterprise Security Solution

ArcSight for ArcSight Enterprise Security Manager (ESM)

Core Security Technologies for CORE IMPACT Pro

Juniper Networks for Junos Pulse

McAfee for McAfee ePolicy Orchestrator

Tripwire for Tripwire Enterprise 8.0

Best Regulatory Compliance Solution

McAfee for McAfee Total Protection for Compliance

Modulo for Modulo Risk Manager NG

nCircle Network Security for nCircle Suite360

Agiliance for Agiliance RiskVision

QualysGuard for QualysGuard PCI

Tenable Network Security for Tenable SecurityCenter 4.0

Best Security Company

Barracuda Networks

NetWitness

Qualys

RSA, the security division of EMC

Trustwave

Websense

Best SME Security Solution

McAfee for McAfee SaaS Endpoint and Email Protection

Qualys for QualysGuard Express

Sophos for Sophos Endpoint Security and Data Protection

Symantec for Symantec Endpoint Protection Small Business Edition

Webroot for Webroot Web Security Service

Rookie Security Company of the Year

ActiveBase for ActiveBase

AlertBoot for AlertBoot

Avecto for Avecto

Confidela for Confidela

Invincea for Invincea

Mobile Active Defense for Mobile Application Development Partners

Professional Categories

Best Professional Certification Program

GIAC - Global Information Assurance Certification for GIAC Security Expert (GSE)

GIAC - Global Information Assurance Certification for Global Information Assurance Certification Program (GIAC) - GIAC Certified Intrusion Analyst (GCIA)

Information System Audit and Control Association for Certified in the Governance of Enterprise IT (CGEIT) Certification

Information System Audit and Control Association for Certified Information Systems Auditor

Learning@Cisco for Cisco Security Certifications

Best Professional Training Program

Foreground Security for Foreground Security Training

InfoSec Institute for InfoSec Institute

(ISC)² for (ISC)² Educational Programs

SANS Institute for SANS Institute

Security University for Security University's Q/ISP Qualified/ Information Security Professional Training Program

The Training Camp for IT Professional Certification Training

Best Security Team

GoDaddy.com for Go Daddy Security

ING for Security Operations Center

Teleperformance for TelePerformance

Troy University for Troy University IT Security Team

USAA for Enterprise Security Group (ESG)

CSO of the Year

Tim Waggoner

David Billeter

Jason Taule

Scott Sysol

Fuzzy Logic e Fuzzy Hashing

[ Update 18/04/2011 ]

Hoje fui responder a um post sobre o assunto do meu colega de trabalho e amigo - Luiz Sales Rabelo, acabei escrevendo tanto que virou uma atualização por aqui:

Segue mais uma referência interessante: (pdf) - que apresenta as seguintes técnicas de "near match":

- Diff Analysis

- Hashing

- Fuzzy Hashing

- Entropy

O título é - Utilizing Entropy to Identify Undetected Malware - de Tom Davis, Product Manager, Cybersecurity Solutions (Guidance Software)

Acrescentaria ainda uma técnica que já utilizei para sair de sinucas de bico durante duas investigações, importantes, onde tudo parecia perdido - chamada File Block Hash Analysis:

Download do Enscript aqui: https://support.guidancesoftware.com/forum/downloads.php?do=file&id=657

Falei sobre estas técnicas na nossa apresentação (slides) do último ICCyber (a partir do slide 27):

Iccyber 2010 - Sandro Süffert Avanços Tecnológicos

[ Post Original - 2009/11/09 ]

Fuzzy está na moda.

Dois dos meus blogs preferidos publicaram nos últimos dias artigos sobre métodos Fuzzy (Difusos). Um para Forense Computacional (Fuzzy Hashing), outro para Correlação de Logs / SIEM (Fuzzy Logic) .

O assunto é muito interessante e meu objetivo neste post post é comentar as excelentes contribuições feitas pela dupla de blogueiros brazucas.

Post I - Alexandre Teixeira: Fuzzy Hashing na Prática

São apresentados os conceitos e comandos para utilização do utilitário de linha de comando ssdeep (do inventor do Fuzzy Hashing via context triggered piecewise hashes (CTPH) - Jesse Kornblum).

Em linhas gerais, o Fuzzy Hashing torna possível a um analista forense, por exemplo, comparar diferentes arquivos para descobrir o grau de semelhança entre eles, independente da computação de hash tradicional (MD5, SHA1).

A técnica é útil também para análise de malwares (através de comparação de dump de processos em execução). Possivelmente códigos similares (diferentes versões) terão fuzzy hashings próximos.

Além disto, pode ser usado para encontrar vazamento de informação a partir de documentos conhecidos - que mesmo ao serem alterados manterão um fuzzy hashing próximo ao do arquivo original.

Meu comentário sobre outras implementações para Forense:

Alexandre, desde Janeiro de 2009 o FTK da AccessData (nas versões 2 e 3) já possui a funcionalidade de Fuzzy Hashing (ou CTPH) , inclusive com gerenciamento via KFF (Known File Filter) no BD Oracle que acompanha a solução.

Existe uma boa referência da utiilização de Fuzzy Hashing para Forense Digital no site da AccessData: http://www.accessdata.com/downloads/media/Fuzzy_Hashing_for_Investigators.pdf

Post II - Luiz Zanardo: Fuzzy Logic aplicada a busca de padrões em Logs

Não vou lembrar quem me falou, mas já ouvi alguém dizer que a Inteligência artificial costuma ser sempre o 2o melhor jeito de resolver um problema.. o que não é nada mal se resolver mesmo =)

Neste post o Zanardo introduz o leitor a algums conceitos de Lógica Difusa e Teoria de Conjuntos, incluindo Regras de Associação Difusas, Quantificadores Relativos, Suporte e Confiança - entre outros.

O maior ganho em utilizar a Lógica Difusa (ou Fuzzy Logic) está em sua capacidade de gerar respostas com base em informações qualitativamente incompletas e imprecisas ou ambíguas - como um conjunto de logs de segurança, por exemplo =) Em resumo, a lógica difusa generaliza a distribuição binária entre impossível e possível em uma representação gradativa (de 0 a 1) de possibilidade.

A melhor referência de introdução ao ssunto Fuzzy Logic que encontrei online foram estas aulas (powerpoint+video) da Universidade de Konstanz, na Alemanha (em inglês).

Conclusão:

Em ambos os casos, o objetivo é aproveitar o poder de reconhecimento de padrões que os algorítimos Fuzzy fornecem para melhorar a qualidade de identificação de objetos em produtos na área de Segurança.

Do ponto de vista de desenvolvimento de software, existem algumas implementações interessantes, seja via binders como o pyssdeep do python (fuzzy hashing) e o módulo AI::Fuzzy do Perl (fuzzy logic).

Do ponto de vista da implementação da tecnologia em produtos existentes no mercado - no que tange a utilização de Fuzzy Logic para SIEM/ Correlação de Eventos e Logs, a ArcSight é a melhor referência.

Já para Forense Computacional, a AccessData o Fuzzy Hashing no FTK saiu na frente e a Guidance Software utilizando "Entropy" em seu produto CyberSecurity também já apresenta alternativa com o mesmo objetivo.

Forense em Windows: Análise de Registro - Ferramentas e Referências

Assim como disponibilizei no final do mês passado referências e uma lista de ferramentas sobre o tema "Análise de Memória", o faço hoje no que diz respeito à Análise de Registro Windows.

O material publicado é parte do material base de criação das aulas/exercícios/prova da Disciplina "Forense em Windows" no Mestrado em Informática Forense da UnB.

Livros:

I - Windows Forensic Analysis v2, Harlan Carvey

Capítulo 3 – Windows Memory Analysis, Capítulo 4 – Registry Analysis

II - EnCE – The Official Encase Certified Examiner Study Guide, 2^nd Edition, Steve Bunting

Capítulos 3 – First Response e 9 – Windows Operating System Artifacts e 10 – Advanced Windows - Registry

III - Malware Forensics – Investigating and Analyzing Malicious Code, James Aquilina, - Eoghan Casey, Cameron Malin

Capítulos 3 – Memory Forensics: Analyzing Physical and Process Memory Dumps e 9 – Analysis of a Suspect Program

IV – Microsoft Windows Registry Guide, 2^nd Edition

V - Livro "Registry Forensics" ainda a ser publicado pelo Harlan Carvey <= Update: Publicado em Jan/2011 - http://www.amazon.com/Windows-Registry-Forensics-Advanced-Forensic/dp/1597495808

Papers / Documentações:

“Inside the Registry” Windows NT Magazine – Mark Russinovich

http://technet.microsoft.com/en-us/library/cc750583.aspx

Windows 7 UserAssist Registry Keys - Didier Stevens: Into The Box Magazine.

http://intotheboxes.wordpress.com/2010/04/05/into-the-boxes-issue-0x1/

Guide To Profiling USB Device Thumbdrives and Drive Enclosure on Win7, Vista, and XP http://blogs.sans.org/computer-forensics/files/2009/09/USBKEY-Guide.pdf

http://blogs.sans.org/computer-forensics/files/2009/09/USB_Drive_Enclosure-Guide.pdf

RegRipper Documentation - http://regripper.net/RR/Documents/Documents.zip - Registry Reference Deleted Apps ACMRU Windows Forensic Analysis - RegRipper version 2.02 Cheat Sheet

AccessData Registry Viewer Documentation http://www.accessdata.com/supplemental.html

Registry Quick Find Chart Registry Offset UserAssist Registry Key

Forensic Analysis of the Windows Registry in Memory - Brendan Dolan-Gavitt: http://www.dfrws.org/2008/proceedings/p26-dolan-gavitt.pdf

Recovering Deleted Data From the Windows Registry - Timothy Morgan: http://www.dfrws.org/2008/proceedings/p33-morgan.pdf

Forensic Analysis of Unnalocated Space in Windows Registry Hive Files – Jolantha Thomasen (University of Liverpool)

http://www.sentinelchicken.com/data/JolantaThomassenDISSERTATION.pdf

Ferramentas:

1) Virtual Machines:

1.0) VMWare Workstation, Server ou Player: http://www.vmware.com

1.1) VM SIFT Workstation 2.0: https://computer-forensics2.sans.org/community/siftkit/

2) Ferramentas Free/GPL:

2.1 - FTKImager - http://www.accessdata.com/downloads.html#FTKImager
2.2 - Process Monitor - Sysinternals - http://technet.microsoft.com/en-us/sysinternals/bb896645.aspx

2.4 – Reg Ripper (+ RegSlack, + RegScan, +RipXp) - http://regripper.net/?page_id=150

2.5 – Registry Viewer - AccessData: http://www.accessdata.com/downloads.html#ForensicProducts

2.6 – Registry Summary Report Files - AccessData: http://www.accessdata.com/downloads/rsrfiles/AllRSRFiles.zip

2.7 – RegExtract (GUI/CLI) – WoanWare: http://www.woanware.co.uk/downloads/

2.8 – RegShot - http://sourceforge.net/projects/regshot/files/

2.9 – RegLookup - http://projects.sentinelchicken.org/reglookup/download/

2.10 – USBDeview - http://www.nirsoft.net/utils/usb_devices_view.html

2.11 – USBDeviceForensics - http://www.woanware.co.uk/usbdeviceforensics/

2.12 – UserAssist - http://blog.didierstevens.com/programs/userassist/

2.12 – FGET – https://www.hbgary.com/community/free-tools/

2.13 – TimeLord - http://computerforensics.parsonage.co.uk/timelord/timelord.htm

2.14 – MiTec Windows Registry Recovery – http://www.mitec.cz/wrr.html

3) Ferramentas Comerciais:

3.1 – AccessData FTK 3.1 + Registry Viewer – http://www.accessdata.com

3.2 – Encase Forensics 6.17 – http://www.guidancesoftware.com

UserAssist Decoder V3.3 Enscript - https://support.guidancesoftware.com/forum/downloads.php?do=file&id=832 (requer acesso ao suporte da Guidance)

Registry Examiner Enpack - https://support.guidancesoftware.com/forum/downloads.php?do=file&id=752 (requer acesso ao suporte da Guidance)