ماذا ستتعلم في هذه الغرفة؟

• فهم الأهمية الجنائية لسجل النظام (Windows Registry) كأحد أهم مصادر الأدلة الرقمية.

• التمييز بين المفاتيح المنطقية (Root Keys / Hives) والتخزين الفيزيائي للملفات على القرص.

• معرفة الهيكل الشجري للسجل: المفاتيح (Keys)، المفاتيح الفرعية (Subkeys)، القيم (Values)، والأنواع (Data Types).

• تحديد مسارات ملفات الخلايا (Registry Hive Files) على القرص الصلب وآلية تحميلها أثناء التشغيل.

محتوى الدرس:

يُعتبر سجل النظام (Windows Registry) قاعدة البيانات المركزية المقسمة هرمياً والتي يستعين بها نظام التشغيل Windows لتخزين جميع إعدادات التكوين، تفضيلات المستخدمين، معلومات العتاد الصلب، والأدوات البرمجية المثبتة. بالنسبة للمحقق الجنائي، فإن الـ Registry يُعد بمثابة “الذاكرة طويلة المدى” للنظام.

1. الهيكل الشجري للسجل (Registry Structure): يتكون السجل من عناصر هرمية تشبه مجلدات نظام الملفات:

• Root Keys (المفاتيح الرئيسية): الجذور المنطقية لخريطة السجل، وأشهرها:

  • HKEY_LOCAL_MACHINE (HKLM): يحتوي إعدادات النظام المادية والبرمجية المطبقة على كافة المستخدمين.

  • HKEY_CURRENT_USER (HKCU): يحتوي تفضيلات وخيارات المستخدم الذي يسجل دخوله حالياً.

  • HKEY_USERS (HKU): يحتوي ملفات التعريف لكل حسابات المستخدمين على الجهاز.

• Keys & Subkeys: المجلدات والمجلدات الفرعية داخل الهيكل الشجري.

• Values (القيم): البيانات الفعلية المكتوبة داخل المفاتيح، وتتكون من: Value Name (الاسم)، Data Type (نوع البيانات)، و Value Data (المحتوى).

2. أشهر أنواع البيانات (Data Types):

• REG_SZ: سلسلة نصية مباشرة (String).

• REG_DWORD: رقم صحيح بطول 32-bit (يُستخدم غالباً لتفعيل/تعطيل الميزات عبر 0 أو 1).

• REG_BINARY: بيانات ثنائية خام (Raw Binary).

• REG_MULTI_SZ: قائمة من السلاسل النصية.

3. التخزين الفيزيائي ومفهوم الخلايا (Registry Hives): المفاتيح الرئيسية مثل HKCU أو HKLM ليست ملفات منفردة، بل هي عبارة عن تجميع منطقي لعدة ملفات ثنائية مخزنة على القرص الصلب تُسمى الخلايا (Hives).

المسارات الفيزيائية لأهم خلايا السجل:

• خلايا النظام العامة (System-wide Hives): مخزنة في المسار: C:\Windows\System32\config\ وتشمل ملفات: SAM, SYSTEM, SOFTWARE, SECURITY, DEFAULT.

• خلايا المستخدمين (User-specific Hives):

  • NTUSER.DAT: مخزن في جذر مجلد المستخدم C:\Users\<Username>\NTUSER.DAT (يحتوي إعدادات وخيارات المستخدم الخاصة).

  • UsrClass.dat: مخزن في C:\Users\<Username>\AppData\Local\Microsoft\Windows\UsrClass.dat (يحتوي إعدادات الاختصارات والواجهة).