面向诊断的 Windows 遥测数据取证分析
密码学与安全
2020-03-02 v1
摘要
遥测是指从远程设备自动感知和收集数据。它常被用于为用户提供更好的服务。微软利用遥测定期收集 Windows 系统的相关信息，以帮助改善用户体验并修复潜在问题。Windows 遥测服务通过在本地系统上创建 RBS 文件来可靠地传输和管理遥测数据，这些文件可在数字取证调查中提供有用信息。结合传统 Windows 取证所得信息，调查人员可对来自各类痕迹的证据更有把握。一些仅能在运行中的系统上确认的信息（如计算机硬件序列号、外部存储设备的连接记录以及已执行进程的痕迹）可被获取。这些信息包含在为 Windows 遥测所创建的 RBS 文件中。本文介绍了如何获取遥测 RBS 文件，并分析了这些 RBS 文件的数据结构，从而能够确定 Windows 操作系统已收集的信息类型。我们还通过将传统痕迹与 RBS 文件进行比较，讨论了可靠性和新颖性，这在数字取证调查中可能具有实用价值。
引用
@article{arxiv.2002.12506,
title = {Forensic analysis of the Windows telemetry for diagnostics},
author = {Jaehyeok Han and Jungheum Park and Hyunji Chung and Sangjin Lee},
journal= {arXiv preprint arXiv:2002.12506},
year = {2020}
}