Analýza registrů Windows

[macík]

Existuje něco jako firewall do registru? aby se mi zobrazilo, když nějaká aplikace chce zapsat do /Run, tak rozhodnout, vidět argumenty. Pozor, to je něco jiného než oprávnění (kde se nezapíše a basta a pokud vím, model oprávnění nerozpoznává původce-aplikaci). Možná to trochu zamotá, že některá aplikace budou zapisovat přímo přes funkci API a některé spuštěním podprocesu reg.exe

[Reklama]

[Miroslav Šilhavý]

Existuje něco jako firewall do registru? aby se mi zobrazilo, když nějaká aplikace chce zapsat do /Run, tak rozhodnout, vidět argumenty. Pozor, to je něco jiného než oprávnění (kde se nezapíše a basta a pokud vím, model oprávnění nerozpoznává původce-aplikaci). Možná to trochu zamotá, že některá aplikace budou zapisovat přímo přes funkci API a některé spuštěním podprocesu reg.exe

Existovala na to různá řešení, ale v provozu to dost zlobilo. V zásadě je jednodušší hlídat si elevaci práv UAC, bez ní to do registru nezapíše. Případně to lze sledovat procmonem: https://docs.microsoft.com/en-us/sysinternals/downloads/procmon.

[pp]

Co tohle s tím si vyhraješ
https://docs.microsoft.com/en-us/sysinternals/downloads/sysinternals-suite

[MD]

> Existuje něco jako firewall do registru?
> aby se mi zobrazilo, když nějaká aplikace
> chce zapsat do /Run, tak rozhodnout,
> vidět argumenty.

Tzv. personální firewally či security suites (v podstatě součást každého dnešního antiviru) toto dělají. Hlídají klíče, které slouží pro automaticeké spouštění aplikací/načítání knihoven atd.

> Pozor, to je něco jiného než oprávnění
> (kde se nezapíše a basta a pokud vím,
> model oprávnění nerozpoznává původce-
> aplikaci).

Ano, oprávnění procesu se odvíjí od access tokenu, kterým disponuje, což zjednodušeně odpovídá uživateli, pod nímž proces běží.

> Možná to trochu zamotá, že některá
> aplikace budou zapisovat přímo přes
> funkci API a některé spuštěním
> podprocesu reg.exe

Antiviry by to zmást nemělo (alespoň ty kvalitní), protože vytvoření nového procesu mohou sledovat, ba i dokumentovaným způsobem blokovat. A vidí i příkazovou řádku.

> sledovat UAC

Pokud by dané aplikaci stačilo "zaplevelit" pouze profil aktuálně přihlášeného uživatele (resp. toho, pod kterým běží), vystačí si bez elevace.

[Lojza]

Existuje něco jako firewall do registru? aby se mi zobrazilo, když nějaká aplikace chce zapsat do /Run, tak rozhodnout, vidět argumenty. Pozor, to je něco jiného než oprávnění (kde se nezapíše a basta a pokud vím, model oprávnění nerozpoznává původce-aplikaci). Možná to trochu zamotá, že některá aplikace budou zapisovat přímo přes funkci API a některé spuštěním podprocesu reg.exe

nejbliz je tomu asi

https://www.techrepublic.com/blog/smb-technologist/protect-your-windows-registry-with-registry-alert/

ke stazeni byl puvodne na sourceforge.net, tam uz projekt neni, otazka jestli podporuje i w10, 64 bit ...

ke stazeni treba tady

https://www.ghacks.net/2013/05/05/registry-alert-monitors-the-windows-registry-for-unwanted-modifications/

pripadne ke sledovani konkretniho *.exe by mohl pomoci i

https://www.nirsoft.net/utils/reg_file_from_application.html

[Reklama]